Om te certificeren voor ISO 27001 doorloop je een gestructureerd traject waarbij je een Information Security Management System (ISMS) opzet, implementeert en laat beoordelen door een onafhankelijke certificatie-instelling. Het traject bestaat ruwweg uit drie fasen: voorbereiding, implementatie en de externe audit. De doorlooptijd en investering variëren per organisatie, maar met de juiste aanpak is certificering voor de meeste organisaties haalbaar. In de secties hieronder beantwoorden we de meest gestelde vragen over het certificeringstraject, zodat je precies weet wat je kunt verwachten. Wil je alvast direct sparren over jouw situatie? Neem gerust contact op en we helpen je verder.
Welke stappen zijn er in een ISO 27001-certificeringstraject?
Een ISO 27001-certificeringstraject bestaat uit drie hoofdfasen: de voorbereidingsfase waarin je het ISMS opzet en een risicoanalyse uitvoert, de implementatiefase waarin je beveiligingsmaatregelen invoert en inregelt, en de auditfase waarin een geaccrediteerde certificatie-instelling jouw ISMS beoordeelt. Pas na een geslaagde Stage 2-audit ontvang je het officiële certificaat.
Concreet ziet het certificeringstraject er als volgt uit:
- Scope bepalen: Stel vast op welke onderdelen van de organisatie de certificering van toepassing is.
- Risicoanalyse uitvoeren: Breng informatiebeveiligingsrisico’s in kaart en bepaal welke maatregelen nodig zijn.
- ISMS opzetten en documenteren: Stel beleid, procedures en verantwoordelijkheden op conform de norm.
- Maatregelen implementeren: Voer de benodigde technische en organisatorische beveiligingsmaatregelen door.
- Interne audit en directiebeoordeling: Controleer intern of het systeem werkt en stuur bij waar nodig.
- Stage 1-audit (documentatiereview): De externe auditor beoordeelt of je documentatie voldoet aan de norm.
- Stage 2-audit (implementatieaudit): De auditor toetst of de maatregelen daadwerkelijk in de praktijk worden toegepast.
- Certificaat ontvangen: Bij een positieve beoordeling ontvang je het ISO 27001-certificaat, geldig voor drie jaar.
Na certificering volgen jaarlijkse surveillance-audits om te bevestigen dat het ISMS actueel en effectief blijft.
Hoe lang duurt een ISO 27001-certificering gemiddeld?
Een ISO 27001-certificering duurt gemiddeld zes tot twaalf maanden, gerekend vanaf de start van de voorbereiding tot het ontvangen van het certificaat. Organisaties die al een stevige basis hebben op het gebied van informatiebeveiliging kunnen dit traject soms in vier tot zes maanden doorlopen, terwijl organisaties die vrijwel vanaf nul beginnen eerder richting de twaalf maanden gaan.
De doorlooptijd hangt af van meerdere factoren: de omvang en complexiteit van de organisatie, de beschikbare interne capaciteit, de kwaliteit van de bestaande documentatie en processen, en de snelheid waarmee bevindingen uit de interne audit worden opgepakt. Een realistische planning houdt rekening met de tijd die nodig is om het ISMS niet alleen op papier te hebben, maar ook aantoonbaar te laten werken in de dagelijkse praktijk. Dat laatste is precies wat de Stage 2-audit toetst.
Wat kost een ISO 27001-certificering?
De kosten voor een ISO 27001-certificering bestaan uit twee componenten: interne kosten voor de voorbereiding en implementatie, en externe auditkosten die je betaalt aan de certificatie-instelling. De auditkosten variëren doorgaans op basis van de omvang van de organisatie en de complexiteit van de scope, maar liggen voor een gemiddeld mkb-bedrijf ruwweg tussen de enkele duizenden en tienduizenden euro’s voor de volledige auditcyclus van drie jaar.
Naast de directe auditkosten zijn er ook indirecte kosten om rekening mee te houden:
- Interne uren van medewerkers die het ISMS opzetten en onderhouden
- Eventuele kosten voor consultancy of begeleiding bij de voorbereiding
- Kosten voor technische maatregelen die nog niet op orde zijn
- Kosten voor trainingsprogramma’s en bewustwordingssessies voor medewerkers
Een goede voorbereiding loont: hoe beter de interne basis, hoe efficiënter de audit verloopt en hoe lager de totale investering uitvalt.
Wat zijn de meest gemaakte fouten bij een ISO 27001-audit?
De meest gemaakte fouten bij een ISO 27001-audit zijn een te brede of juist te smalle scopedefinitie, onvoldoende aantoonbare werking van het ISMS in de praktijk, incomplete risicoanalyses en het ontbreken van bewijs van interne audits en directiebeoordelingen. Veel organisaties richten zich te sterk op documentatie en vergeten dat de auditor ook toetst of de maatregelen daadwerkelijk worden nageleefd.
Andere veelvoorkomende valkuilen zijn:
- Te weinig betrokkenheid van het management: ISO 27001 vereist aantoonbare betrokkenheid van de directie, niet alleen een handtekening onder een beleidsdocument.
- Onvoldoende bewustzijn bij medewerkers: Als medewerkers het informatiebeveiligingsbeleid niet kennen, is dat direct zichtbaar tijdens de audit.
- Maatregelen niet afgestemd op de risicoanalyse: De keuze voor beveiligingsmaatregelen moet aantoonbaar voortvloeien uit de geïdentificeerde risico’s.
- Geen aandacht voor continu beheer: Een ISMS is geen eenmalig project maar een doorlopend systeem dat regelmatig wordt geëvalueerd en bijgesteld.
Moet elke organisatie ISO 27001-gecertificeerd zijn?
Nee, ISO 27001-certificering is niet wettelijk verplicht voor alle organisaties. Het is een vrijwillige norm. Toch kiezen steeds meer organisaties voor certificering omdat opdrachtgevers, aanbestedingen of sectorspecifieke regelgeving dit in de praktijk verplicht stellen, of omdat het een aantoonbaar bewijs van volwassen informatiebeveiliging biedt richting klanten en partners.
Voor bepaalde sectoren en situaties is de druk om te certificeren groter:
- IT-bedrijven en SaaS-aanbieders die werken voor enterprise-klanten of overheden
- Organisaties die deelnemen aan Europese aanbestedingen waarbij informatiebeveiliging een vereiste is
- Bedrijven die persoonsgegevens of gevoelige bedrijfsdata verwerken en hun verantwoordelijkheid willen aantonen
- Organisaties die vallen onder sectorspecifieke normen die raakvlakken hebben met ISO 27001, zoals NEN 7510 in de zorg
Ook zonder externe verplichting biedt certificering waarde: het dwingt een organisatie om informatiebeveiliging structureel en aantoonbaar te borgen.
Hoe kies je de juiste certificatie-instelling voor ISO 27001?
De juiste certificatie-instelling voor ISO 27001 is in de eerste plaats een geaccrediteerde instelling, erkend door de Raad voor Accreditatie (RvA). Accreditatie garandeert dat de audits voldoen aan internationale kwaliteitseisen en dat het certificaat wereldwijd erkend wordt. Naast accreditatie spelen sectorkennis, de aanpak van de auditors en de kwaliteit van de communicatie een belangrijke rol.
Let bij de keuze op de volgende criteria:
- Accreditatie: Controleer of de instelling RvA-geaccrediteerd is voor ISO 27001.
- Sectorervaring: Een auditor met kennis van jouw sector begrijpt de context van jouw risico’s en processen beter.
- Aanpak: Kies een instelling die verder kijkt dan een checklist en ook de sterke punten van jouw organisatie erkent.
- Transparantie: Een goede certificatie-instelling communiceert helder over het proces, de planning en wat er van jou verwacht wordt.
- Klanttevredenheid: Vraag naar ervaringen van andere klanten of bekijk beoordelingen.
Wij zijn RvA-geaccrediteerd (C618) en gespecialiseerd in informatiebeveiligingsnormen. Onze auditors combineren technische diepgang met sectorkennis en een menselijke aanpak. Wil je weten of wij de juiste partner zijn voor jouw ISO 27001-certificeringstraject? Neem contact op en we plannen graag een vrijblijvend kennismakingsgesprek.
Veelgestelde vragen
Wat gebeurt er als mijn organisatie de Stage 2-audit niet haalt?
V: Wat gebeurt er als mijn organisatie de Stage 2-audit niet haalt?nA: Als de Stage 2-audit niet direct wordt goedgekeurd, ontvang je een lijst met bevindingen die je binnen een afgesproken termijn moet oplossen voordat het certificaat wordt afgegeven. Dit is geen ongewone situatie: de meeste organisaties moeten na de audit nog een aantal verbeterpunten doorvoeren voordat het certificaat definitief wordt verstrekt.
Hoe houd ik mijn ISO 27001-certificaat geldig na de initiële certificering?
V: Hoe houd ik mijn ISO 27001-certificaat geldig na de initiële certificering?nA: Na de initiële certificering moet je jaarlijkse surveillance-audits ondergaan en na drie jaar een hercertificeringsaudit uitvoeren om het certificaat geldig te houden. Dit betekent dat je het ISMS actief moet blijven onderhouden, regelmatig interne audits moet uitvoeren en het management betrokken moet houden bij de continue verbetering van informatiebeveiliging.
Wanneer is het verstandig om externe begeleiding in te schakelen bij een ISO 27001-traject?
V: Wanneer is het verstandig om externe begeleiding in te schakelen bij een ISO 27001-traject?nA: Externe begeleiding is vooral waardevol als je organisatie weinig ervaring heeft met informatiebeveiliging, als de interne capaciteit beperkt is, of als je het traject zo efficiënt mogelijk wilt doorlopen. Een ervaren consultant helpt je veelgemaakte fouten te vermijden en zorgt dat je ISMS direct voldoet aan de eisen van de norm, wat de kans op een succesvolle audit vergroot.
Hoe bepaal ik de juiste scope voor mijn ISO 27001-certificering?
V: Hoe bepaal ik de juiste scope voor mijn ISO 27001-certificering?nA: De scope bepaal je op basis van de informatiestromen, systemen en processen die je wilt certificeren, waarbij je rekening houdt met de verwachtingen van klanten en de risico’s binnen jouw organisatie. Een te brede scope maakt het traject onnodig zwaar, terwijl een te smalle scope de geloofwaardigheid van het certificaat kan ondermijnen — een zorgvuldige afweging aan het begin van het traject is daarom essentieel.
Gerelateerde artikelen
- Hoe beoordeel je of het ISO 27001 certificaat van een leverancier echt geldig is?
- Hoe controleer je of een ISO 27001 certificerende instelling echt onafhankelijk is?
- Wat is het verschil tussen schorsing en intrekking van een certificaat?
- Hoe reageer je op bevindingen van de auditor?
- Wat is een VVT verklaring van toepasselijkheid bij een ISO 27001?
