4.4 - Information Security Management System

Doel

Het ISMS van YipYip B.V. geeft structuur aan de randvoorwaarden en primaire processen die nodig zijn voor de continue verbetering van de organisatie en informatiebeveiliging. Het systeem waarborgt dat YipYip als digital product agency — met klanten in de zorgsector — op gestructureerde wijze voldoet aan de eisen van ISO 27001:2022 en NEN7510:2024.

Het managementsysteem bestaat uit twee hoofdcategorieën gedocumenteerde informatie:

1. Beleid en procedures — richtlijnen, werkinstructies en procesafspraken
2. Documenten en registraties — bewijs van naleving, meetresultaten en logging

ISMS Overzicht

Structuur

Dit ISMS is opgezet volgens de High Level Structure (HLS) van ISO management systeem normen:

Clausule	Onderwerp	Locatie
4	Context	04-context/
5	Leiderschap	05-leiderschap/
6	Planning	06-planning/
7	Ondersteuning	07-ondersteuning/
8	Uitvoering	08-uitvoering/
9	Evaluatie	09-evaluatie/
10	Verbetering	10-verbetering/
Annex A	Controls	controls/

PDCA Cyclus

Het ISMS volgt de Plan-Do-Check-Act cyclus:

• Plan: Context analyse (4), risicobeoordeling (6.1), doelstellingen (6.2), planning controls
• Do: Implementatie controls (8), operationele procedures, training en awareness (7)
• Check: Monitoring en meting (9.1), interne audit (9.2), management review (9.3)
• Act: Afwijkingen behandelen (10.1), correctieve acties, continue verbetering (10.2)

ISMS Processen

Kernprocessen

Proces	Doel	Frequentie	Eigenaar
Risicobeoordeling	Identificeren en beoordelen risico’s	Jaarlijks + bij wijzigingen	IB-coördinator
Risicobehandeling	Selecteren en implementeren maatregelen	Continu	IB-coördinator
Interne audit	Beoordelen effectiviteit ISMS	Jaarlijks	Directie (stelt onafhankelijke auditor aan)
Directiebeoordeling	Strategische beoordeling ISMS	Jaarlijks	Directie
Incident management	Afhandelen gebeurtenissen en incidenten	Continu	IB-coördinator
Change management	Beheren wijzigingen	Continu	DevOps Lead

Ondersteunende Processen

Proces	Doel	Frequentie	Eigenaar
Documentbeheer	Beheren ISMS documentatie	Continu	IB-coördinator
Competentiebeheer	Training en ontwikkeling	Jaarlijks	IB-coördinator
Awareness	Bewustzijn medewerkers	Continu	IB-coördinator
Leveranciersbeheer	Beheersen leveranciersrisico’s	Jaarlijks	IB-coördinator

Gedocumenteerde Informatie

Verplichte Documenten (ISO 27001)

Document	Clausule	Locatie
ISMS Scope	4.3	04-context/4.3-scope.md
Informatiebeveiligingsbeleid	5.2	05-leiderschap/5.2-beleid.md
Risico-assessment proces	6.1.2	06-planning/6.1-risicobeoordeling/6.1.2-methodiek.md
Risicobehandelingsproces	6.1.3	06-planning/6.1-risicobeoordeling/6.1.3-behandelplan.md
Statement of Applicability	6.1.3	controls/_index.yaml
Doelstellingen	6.2	06-planning/6.2-doelstellingen.md
Competentie bewijs	7.2	07-ondersteuning/7.2-competentie.md
Operationele planning	8.1	08-uitvoering/8.1-planning.md
Risico-assessment resultaten	8.2	06-planning/6.1-risicobeoordeling/risico-register.yaml
Risicobehandelingsresultaten	8.3	08-uitvoering/8.3-risicobehandeling.md
Monitoring resultaten	9.1	09-evaluatie/9.1-monitoring.md
Audit programma en resultaten	9.2	09-evaluatie/9.2-interne-audit/
Management review resultaten	9.3	09-evaluatie/9.3-directiebeoordeling.md
Non-conformiteiten en acties	10.1	10-verbetering/10.1-afwijkingen.md

Registers

Register	Doel	Locatie
Asset register	Overzicht informatie-assets	registers/assets.yaml
Risico register	Geïdentificeerde risico’s	06-planning/6.1-risicobeoordeling/risico-register.yaml
Incident register	Gebeurtenissen en incidenten	Jira, project IMS (zie tools/jira/incidents.md)
Leveranciersregister	Leveranciersbeheer	registers/leveranciers.yaml
Wijzigingsregister	Change management	Git (pull requests) en Jira; zie registers/wijzigingen.yaml
Verwerkingsregister	Verwerkingen van persoonsgegevens	registers/verwerkingsactiviteiten.yaml

Instrumenten

Repository (Source of Truth)

• Platform: Git (deze repository)
• Inhoud: Beleid, procedures, controls, registers, templates
• Versiebeheer: Via Git commits
• Review: Via Pull Requests

Google Drive

• Documenten uit het oude ISMS (prefix “OUD”), waaronder de Sheet met contractuele verplichtingen (verwerkersovereenkomsten en SLA’s per klant)
• De Sheets voor risico-analyse, leveranciers en bedrijfsmiddelen worden gemigreerd naar de YAML-registers in deze repository en daarna uitgefaseerd

Jira (Workflow)

• Controleprogramma en audits: Planning en opvolging (project ISMS, epic ISMS-370)
• Gebeurtenissen en incidenten: Registratie, beoordeling en afhandeling (project IMS)
• Verbeteracties: Tracking tot afronding (project ISMS, epic ISMS-323)

Notion

• Personeelshandboek (eigenaar HR-manager)

Integratie met Bedrijfsprocessen

Het ISMS is geïntegreerd met:

Bedrijfsproces	Integratie
Strategie	Security als onderdeel van bedrijfsstrategie
Projecten	Security by design, risico-assessment
Operations	Dagelijkse beveiligingsactiviteiten
HR	Screening, training, uitdiensttreding
Inkoop	Leveranciersselectie en -beoordeling
IT	Technische controls, monitoring

Continue Verbetering

Het ISMS wordt continu verbeterd door:

1. Monitoring: Meten van prestatie-indicatoren
2. Audits: Interne en externe audits
3. Reviews: Jaarlijkse directiebeoordeling
4. Incidenten: Leren van beveiligingsincidenten
5. Feedback: Input van belanghebbenden
6. Trends: Volgen van bedreigingslandschap

Verantwoordelijkheden

Rol	Verantwoordelijkheid
Directie	Eindverantwoordelijkheid ISMS, beschikbaar stellen van middelen, beoordelen van het systeem op geschiktheid en effectiviteit, directievertegenwoordiger voor informatiebeveiliging
IB-coördinator	Dagelijks beheer en coördinatie ISMS, opzetten/beschrijven/implementeren/onderhouden van het systeem, rapportage aan directie, toezien op naleving ISO 27001:2022 en NEN7510:2024
DevOps Lead	Technische implementatie controls, beheer cloud-infrastructuur
Alle medewerkers	Naleving beleid en procedures, melden van beveiligingsincidenten

---

Vastgesteld door: Directie, YipYip B.V. Datum: 2026-01-28