Bijna elk ISMS begint in Excel. Een tabblad met de risicoanalyse, een tabblad met de Verklaring van Toepasselijkheid, een map met beleidsdocumenten ernaast. Dat is geen slordigheid. Het is de logische eerste stap, en voor een deel van de organisaties is het de goede stap.
De vraag is niet of Excel kan. De vraag is tot waar.
Dit artikel gaat over dat omslagpunt. Waar Excel echt voldoet, waar het formeel tekortschiet tegenover de eisen van ISO 27001, wat ISMS software daadwerkelijk oplost, en hoe je de overstap onderbouwt met iets anders dan een onderbuikgevoel.
Wat een ISMS is, en wat het niet is
Een ISMS, een Information Security Management System, is geen softwarepakket. Het is het geheel van beleid, processen, rollen en bewijsvoering waarmee je informatiebeveiliging bestuurt. ISO 27001 stelt eisen aan dat systeem, niet aan de tool waarin je het bijhoudt.
Dat is het belangrijkste dat je moet begrijpen voordat je een offerte opvraagt. Een auditor beoordeelt of je managementsysteem werkt. Of dat in Excel staat of in een platform van vijftienhonderd euro per maand interesseert hem niet, zolang je aan de eisen voldoet.
Wat hem wel interesseert: kun je aantonen dat het klopt, dat het actueel is en dat het is beoordeeld door iemand die daartoe bevoegd is.
Waar Excel gewoon voldoet
Wees eerlijk over deze categorie, want te veel adviseurs slaan hem over.
Excel voldoet prima als je situatie er ongeveer zo uitziet: één iemand beheert het ISMS, de scope is beperkt tot één locatie of één dienst, het aantal van toepassing zijnde controls is overzichtelijk, en er zijn weinig mensen die documenten moeten wijzigen of goedkeuren.
In die situatie is Excel niet alleen goedkoop maar ook sneller. Je hoeft niets te configureren, niemand te trainen, en je bent niet afhankelijk van een leverancier. Een goed ingericht Excelbestand met een duidelijke risicoanalyse, een complete Verklaring van Toepasselijkheid en een versiehistorie in de kop van elk document brengt je door een audit.
Wie in deze fase een platform aanschaft, koopt vooral overhead.
Waar het breekt
Het probleem met Excel is zelden een gebrek aan functies. Het is dat de eisen van de norm op vier punten iets vragen wat een spreadsheet niet uit zichzelf levert.
1. Aantoonbare versiebeheersing
ISO 27001 stelt in hoofdstuk 7.5 eisen aan gedocumenteerde informatie. Documenten moeten worden geïdentificeerd, beoordeeld en goedgekeurd, en wijzigingen moeten beheerst verlopen. Dat betekent dat je moet kunnen laten zien wie wat wanneer heeft gewijzigd en wie dat heeft geaccordeerd.
In Excel kan dat, maar alleen als iemand het handmatig bijhoudt. En handmatig bijhouden gaat mis op precies het moment dat het druk is. Een auditor die vraagt naar de wijzigingshistorie van je toegangsbeleid en een tabblad krijgt waar de laatste regel van veertien maanden geleden is, heeft zijn bevinding al.
Dit is het meest onderschatte breekpunt en tegelijk het makkelijkst te controleren.
2. De koppeling tussen risico, maatregel en bewijs
Je risicoanalyse benoemt een risico. Je Verklaring van Toepasselijkheid benoemt de maatregel die het afdekt. Ergens ligt een document, een screenshot of een logbestand dat bewijst dat die maatregel ook echt draait.
In Excel zijn dat drie losse dingen die je met de hand aan elkaar knoopt. Zolang niets verandert werkt dat. Zodra een risico verdwijnt of een maatregel wordt vervangen, moet je op drie plekken bijwerken. In de praktijk gebeurt dat op twee.
Dat verschil is precies wat een auditor zoekt: een control op van toepassing zonder onderliggend risico, of een risico zonder maatregel. Meer over waar dat misgaat staat in ons artikel over de ISO 27001 audit.
3. Terugkerende verplichtingen
Een ISMS is geen project maar een cyclus. Interne audits, directiebeoordeling, herbeoordeling van risico’s, evaluatie van leveranciers, opvolging van corrigerende maatregelen. Allemaal met een frequentie en een eigenaar.
Excel herinnert je nergens aan. De agenda van degene die het beheert wel, tot die persoon met vakantie gaat of van baan verandert. Bij een hercertificering is een gemiste directiebeoordeling geen detail maar een structurele bevinding.
4. Meerdere mensen tegelijk
Zodra je ISMS door meer dan één persoon wordt onderhouden, krijg je het klassieke probleem: twee versies van hetzelfde bestand, allebei bijgewerkt, geen van beide compleet. Gedeelde opslag lost het gedeeltelijk op, rechtenbeheer per veld niet.
Voor MSPs speelt dit extra, omdat je vaak niet alleen je eigen ISMS beheert maar ook klantomgevingen moet kunnen aantonen.
Wat ISMS software daadwerkelijk toevoegt
Kort samengevat lost goede ISMS software vooral de vier punten hierboven op. De onderdelen die het verschil maken:
Een gekoppeld datamodel. Risico’s, maatregelen, Annex A controls, bewijsstukken en eigenaren hangen aan elkaar. Wijzig je één ding, dan zie je meteen wat er verder aan hangt.
Automatische auditlog. Elke wijziging wordt vastgelegd met gebruiker en tijdstip, zonder dat iemand daar iets voor hoeft te doen. Dit is de functie die de meeste tijd bespaart tijdens een audit.
Workflow en goedkeuring. Een document krijgt een status, een reviewer en een goedkeurder. De norm vraagt hierom en de tool dwingt het af.
Herinneringen op de cyclus. Herbeoordelingen, audits en evaluaties staan met een datum en een eigenaar in het systeem.
Rapportage richting bestuur. Een dashboard waarmee je in vijf minuten laat zien waar je staat. Onder de Cyberbeveiligingswet is dat relevant geworden, omdat bestuurders eindverantwoordelijk zijn en dus moeten kunnen navertellen hoe het ervoor staat.
Wat het níet toevoegt: een werkend ISMS. Software met lege velden is duurder dan Excel met gevulde velden. Dat klinkt vanzelfsprekend, maar de meest voorkomende fout bij implementatie is precies dit: de tool aanschaffen en verwachten dat het proces daarna vanzelf ontstaat.
De kosten eerlijk vergelijken
De vergelijking die meestal wordt gemaakt is licentiekosten tegenover nul. Die klopt niet.
Excel kost geen licentie maar wel uren. De uren die iemand kwijt is aan handmatig bijwerken, aan het terugzoeken van bewijsstukken voor de audit, en aan het herstellen van wat er tussen twee versies is misgegaan. Die uren staan op geen enkele offerte, maar ze zijn er wel.
ISMS software kost een licentie plus implementatie plus training, en levert een deel van die uren terug. Of dat gunstig uitpakt hangt af van één variabele: hoeveel tijd je nu daadwerkelijk kwijt bent aan administratie.
Reken het uit voordat je een demo aanvraagt. Schat het aantal uren per maand aan ISMS-onderhoud, vermenigvuldig met een intern uurtarief, en zet dat naast de jaarlijkse licentie. Tel bij de Excelkant de piek rond de audit mee, want daar zit vaak het grootste deel.
Voor de bredere kostenopbouw van een certificeringstraject: zie ISO 27001 kosten.
Wanneer je zou moeten overstappen
Geen glijdende schaal maar concrete signalen. Als drie of meer van deze punten kloppen, is de overstap waarschijnlijk rendabel.
- Meer dan één persoon werkt aan het ISMS
- Je hebt een audit gehad met een bevinding op documentbeheer of actualiteit
- Je kunt niet binnen een dag laten zien wanneer een beleidsdocument voor het laatst is beoordeeld
- Je onderhoudt naast je eigen ISMS ook klantomgevingen
- Je gaat van één norm naar meerdere, bijvoorbeeld ISO 27001 plus NEN 7510 of de Cyberbeveiligingswet
- De scope groeit met nieuwe locaties, diensten of entiteiten
- Bewijsstukken staan verspreid over meerdere systemen
Klopt er één of twee? Blijf dan bij Excel en verbeter eerst de discipline. Dat is goedkoper en effectiever.
Waar je op let bij selectie
Als je wel overstapt, beoordeel dan op de dingen die je daadwerkelijk gaat gebruiken, niet op de featurelijst.
Exporteerbaarheid. Kun je je data er weer uitkrijgen, in een bruikbaar formaat? Dit is de belangrijkste vraag en de minst gestelde.
Aansluiting op jouw normen. Ondersteunt het de versie van de norm waarop je certificeert, en de combinatie van normen die jij nodig hebt?
Auditlog en rechtenmodel. Voldoet het aan wat hoofdstuk 7.5 vraagt, zonder dat je er zelf omheen moet werken?
Bewijsbeheer. Kun je bestanden koppelen aan controls, of moet je met links naar een externe map werken?
Werkbaarheid voor niet-specialisten. De risico-eigenaren in je organisatie zijn geen securitymensen. Als zij het niet snappen, vult niemand het in.
Een bredere vergelijking van platformen staat in GRC tools vergelijking 2026.
Zo pak je de migratie aan
Migreer nooit een rommelig ISMS. Je verplaatst dan het probleem naar een duurdere omgeving.
De volgorde die werkt: eerst je Verklaring van Toepasselijkheid opschonen zodat elke control een motivering en een status heeft. Dan je risicoanalyse actualiseren en per risico een eigenaar aanwijzen. Dan pas overzetten.
Voer daarna drie maanden lang beide systemen niet parallel. Kies een knipdatum en houd je eraan, anders onderhoud je twee onvolledige registraties.
Kort samengevat
Excel is geen slechte keuze, het is een keuze met een houdbaarheidsdatum. Die datum wordt bepaald door het aantal mensen dat eraan werkt en het aantal verplichtingen dat je moet aantonen, niet door de omvang van je bedrijf.
Weet je niet zeker waar je staat? Begin met de ISO 27001 checklist om te bepalen welke controls van toepassing zijn, of doe de gratis NIS2 zelfevaluatie als de Cyberbeveiligingswet voor jou de aanleiding is.
Veelgestelde vragen
Is ISMS software verplicht voor ISO 27001? Nee. De norm stelt eisen aan het managementsysteem en aan de beheersing van gedocumenteerde informatie, niet aan het gereedschap. Een goed bijgehouden Excelomgeving kan volledig voldoen.
Kan ik met Excel door een ISO 27001 audit komen? Ja, mits je documentbeheer op orde is. Het knelpunt is meestal niet de inhoud maar de aantoonbaarheid: wie heeft wat wanneer gewijzigd en goedgekeurd.
Wat kost ISMS software? Dat varieert sterk per leverancier en per aantal gebruikers. Zinvoller dan de licentieprijs is de vergelijking met je huidige tijdsbesteding aan handmatig onderhoud, inclusief de piek rond de audit.
Wat is het verschil tussen ISMS software en een GRC-platform? ISMS software richt zich op één managementsysteem, doorgaans ISO 27001. Een GRC-platform dekt breder: risico, compliance over meerdere raamwerken en vaak ook auditmanagement. Voor één norm is een GRC-platform meestal overkill.
Wanneer is het moment om over te stappen? Als meer dan één persoon aan het ISMS werkt, als je een auditbevinding op documentbeheer hebt gehad, of als je van één norm naar meerdere gaat.