9.3 - Directiebeoordeling (Management Review)

De directie beoordeelt jaarlijks het ISMS op doeltreffendheid. De IB-coördinator bereidt de review voor en notuleert.

Frequentie

• Volledige review: jaarlijks (december)
• Tussentijdse update: halfjaarlijks (juni) — kort, alleen afwijkingen
• Ad hoc: bij significante incidenten of organisatiewijzigingen

Input

De IB-coördinator bereidt de volgende stukken voor (conform ISO 27001 § 9.3):

1. Status acties uit vorige directiebeoordeling
2. Wijzigingen in interne en externe context (4.1) en in de behoeften en verwachtingen van belanghebbenden (4.2)
3. Prestaties informatiebeveiliging, inclusief trends:
   • non-conformiteiten en correctieve acties
   • monitoring- en meetresultaten (KPI’s, kwartaalrapporten C.21)
   • auditresultaten
   • voortgang doelstellingen
   • gebeurtenissen en incidenten (Jira-project IMS)
4. Feedback van belanghebbenden (klanten, medewerkers, toezichthouders)
5. Resultaten risicobeoordeling en status behandelplannen
6. Kansen voor verbetering

Output

De directie neemt besluiten over:

• Noodzakelijke verbeteringen aan het ISMS
• Wijzigingen in beleid, doelstellingen of risicoacceptatie
• Benodigde middelen (budget, capaciteit, tooling)

Alle besluiten en acties worden vastgelegd met eigenaar en deadline.

Notulen

Notulen worden opgeslagen als 09-evaluatie/9.3-directiebeoordeling-YYYY.md en bevatten:

• datum en aanwezigen
• besproken input
• besluiten
• acties met eigenaar en deadline
• datum volgende review

Historie

Nog geen directiebeoordeling uitgevoerd sinds het ISMS in januari 2026 opnieuw is ingericht; de laatste directieoverleggen met informatiebeveiliging op de agenda dateren uit 2023 (verslagen in Google Drive). De eerste volledige directiebeoordeling is beoogd in december 2026 (C.23), na de risicobeoordeling (ISMS-371) en vóór de onafhankelijke interne audit.

---

Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29