Wat is een schorsing van het ISO 27001 certificaat?

Een schorsing van het ISO 27001 certificaat betekent dat je certificaat tijdelijk wordt opgeschort. Je mag de certificering gedurende de schorsingsperiode niet meer gebruiken als bewijs van conformiteit. Dit gebeurt wanneer een organisatie niet langer voldoet aan de eisen van de norm, maar de situatie nog herstelbaar is. In dit artikel beantwoorden we de meest gestelde vragen over de schorsing van een ISO 27001 certificaat, van de oorzaken tot de oplossingen. Heb je direct een vraag? Neem gerust contact op en wij helpen je verder.

Wanneer wordt een ISO 27001 certificaat geschorst?

Een ISO 27001 certificaat wordt geschorst wanneer een organisatie tijdens een surveillance- of hercertificeringsaudit tekortkomingen vertoont die niet binnen de gestelde termijn zijn opgelost, of wanneer de organisatie niet meewerkt aan het auditproces. De schorsing is een formele maatregel van de certificerende instelling om aan te geven dat de certificaatstatus niet langer onvoorwaardelijk geldig is.

Concrete situaties die tot een ISO 27001 schorsing kunnen leiden, zijn onder andere:

• Het niet tijdig oplossen van een ernstige non-conformiteit (major non-conformity) na een audit
• Het niet uitvoeren van de verplichte jaarlijkse surveillanceaudit
• Het weigeren of niet mogelijk maken van een auditbezoek
• Aantoonbaar niet meer voldoen aan de eisen van de norm, bijvoorbeeld door grote organisatorische veranderingen
• Het niet betalen van certificeringskosten of het niet nakomen van contractuele verplichtingen aan de certificerende instelling

Een schorsing is nadrukkelijk geen definitieve maatregel. De certificerende instelling geeft hiermee aan dat er een probleem is dat aandacht vereist, maar dat herstel nog mogelijk is.

Wat zijn de gevolgen van een geschorst certificaat?

Wanneer een ISO 27001 certificaat geschorst is, mag de organisatie de certificering niet meer inzetten als geldig bewijs van conformiteit. Dit heeft directe praktische gevolgen: opdrachtgevers, aanbestedende diensten en zakelijke partners die ISO 27001 als eis stellen, kunnen de samenwerking ter discussie stellen of opschorten.

De gevolgen van een geschorst certificaat zijn concreet voelbaar op meerdere vlakken:

• Commercieel: Lopende contracten waarbij ISO 27001 een vereiste is, kunnen onder druk komen te staan. Nieuwe aanbestedingen worden mogelijk ontoegankelijk.
• Reputatie: De schorsing is doorgaans zichtbaar in het certificatenregister van de accrediterende instantie. Dit is openbaar raadpleegbaar.
• Intern: Een schorsing signaleert dat het informatiebeveiligingsmanagement niet op orde is, wat het interne vertrouwen kan aantasten.
• Juridisch en contractueel: In sommige gevallen zijn organisaties contractueel verplicht een geldig ISO 27001 certificaat te bezitten. Een schorsing kan dan leiden tot contractbreuk.

Hoe groot de impact is, hangt sterk af van de sector en de afhankelijkheid van het certificaat in klantrelaties. Voor IT-bedrijven, zorginstellingen en organisaties die werken met overheidsaanbestedingen is de impact doorgaans het grootst.

Hoe lang duurt een schorsing van een ISO 27001 certificaat?

Een schorsing van een ISO 27001 certificaat duurt in de meeste gevallen maximaal zes maanden. Binnen deze periode moet de organisatie de tekortkomingen hebben opgelost en dit aantoonbaar hebben gemaakt aan de certificerende instelling. Lukt dat niet, dan volgt doorgaans intrekking van het certificaat.

De exacte duur is afhankelijk van de aard van de tekortkoming en de afspraken met de certificerende instelling. Bij een minder ernstige situatie kan een kortere termijn worden afgesproken. De zes maanden gelden als bovengrens conform de internationale accreditatierichtlijnen waaraan gecertificeerde instellingen zich moeten houden.

Gedurende de schorsingsperiode blijft de verplichting bestaan om actief te werken aan herstel. Passiviteit leidt vrijwel altijd tot intrekking.

Hoe hef je een schorsing van een ISO 27001 certificaat op?

Een schorsing van een ISO 27001 certificaat hef je op door de geconstateerde tekortkomingen aantoonbaar te corrigeren en dit te laten beoordelen door de certificerende instelling. De instelling beoordeelt of de corrigerende maatregelen voldoende zijn en of het managementsysteem opnieuw aan de norm voldoet.

De stappen om een schorsing op te heffen zijn doorgaans als volgt:

1. Analyse van de oorzaak: Breng precies in kaart waarom de non-conformiteit of het probleem is ontstaan.
2. Corrigerende maatregelen: Voer de benodigde verbeteringen door in het informatiebeveiligingsmanagementsysteem.
3. Documentatie: Leg alle maatregelen en verbeteringen schriftelijk vast als bewijs.
4. Melding aan de certificerende instelling: Dien het herstelplan inclusief bewijsmateriaal in bij de instelling.
5. Herbeoordeling: De certificerende instelling voert een (aanvullende) audit of documentbeoordeling uit om te verifiëren of de situatie is hersteld.
6. Opheffing schorsing: Bij een positieve beoordeling wordt de schorsing opgeheven en is het certificaat opnieuw geldig.

Snelheid en volledigheid zijn hierbij cruciaal. Hoe sneller en grondiger een organisatie reageert, hoe groter de kans dat de schorsing binnen de termijn wordt opgeheven.

Wat is het verschil tussen een schorsing en een intrekking van het certificaat?

Het verschil tussen een schorsing en een intrekking is dat een schorsing tijdelijk en herstelbaar is, terwijl een intrekking definitief is. Bij een schorsing wordt het certificaat opgeschort, maar blijft het formeel bestaan. Bij een intrekking wordt het certificaat volledig ingetrokken en is het niet meer geldig.

Een intrekking volgt wanneer:

• De schorsingsperiode is verstreken zonder afdoende herstel
• De tekortkomingen dermate ernstig zijn dat herstel niet realistisch wordt geacht
• De organisatie zelf verzoekt om beëindiging van de certificering

Na een intrekking moet een organisatie een volledig nieuw certificeringstraject doorlopen om opnieuw gecertificeerd te worden. Dat is een aanzienlijk langduriger en kostbaarder proces dan het opheffen van een schorsing. Dit benadrukt hoe belangrijk het is om bij een schorsing snel en adequaat te handelen.

Hoe voorkom je een schorsing van je ISO 27001 certificaat?

Een schorsing van je ISO 27001 certificaat voorkom je door het managementsysteem continu te onderhouden, auditverplichtingen na te komen en non-conformiteiten tijdig op te lossen. Certificering is geen eenmalige prestatie, maar een doorlopend proces dat structurele aandacht vraagt.

Praktische maatregelen om een schorsing van de certificering informatiebeveiliging te voorkomen:

• Plan audits ruim op tijd in: Zorg dat surveillance- en hercertificeringsaudits tijdig worden ingepland en niet worden uitgesteld.
• Voer interne audits uit: Regelmatige interne audits helpen om tekortkomingen te signaleren voordat een externe auditor ze constateert.
• Houd documentatie actueel: Zorg dat beleidsdocumenten, risicobeoordelingen en procedures up-to-date zijn en aansluiten op de werkelijke situatie in de organisatie.
• Behandel non-conformiteiten voortvarend: Los bevindingen uit audits direct en grondig op, en documenteer de corrigerende maatregelen zorgvuldig.
• Betrek het management actief: ISO 27001 vereist aantoonbare betrokkenheid van het management. Zorg dat dit ook in de praktijk zichtbaar is.
• Communiceer veranderingen: Grote organisatorische veranderingen, zoals fusies, nieuwe systemen of gewijzigde processen, kunnen de scope van het managementsysteem raken. Informeer je certificerende instelling tijdig.

Organisaties die informatiebeveiliging structureel inbedden in hun bedrijfsvoering in plaats van het te behandelen als een compliance-vinkje, lopen aanzienlijk minder risico op een schorsing. Wil je zeker weten dat jouw organisatie op koers ligt? Neem contact op en wij kijken graag met je mee.

Gerelateerde artikelen

• Wat zijn goede redenen om na jaren over te stappen naar een andere certificerende instelling?
• Waar moet een directiebeoordeling bij een NEN 7510 certificering aan voldoen?
• Wat zijn de meest voorkomende issues bij het certificeren tegen de ISO 27001?
• Hoe los je ISO 27001 non-conformiteiten op?
• Wat zijn de jaarlijkse kosten van ISO 27001 onderhoud?