De juiste certificerende instelling voor ISO 27001 kies je op basis van accreditatie, sectorervaring en auditaanpak. Een geaccrediteerde instelling biedt de wettelijk erkende zekerheid die de markt en opdrachtgevers verwachten, terwijl de sectorervaring en werkwijze van de instelling bepalen hoe waardevol het certificeringstraject daadwerkelijk is. Heb je vragen over hoe dit werkt voor jouw organisatie? Neem gerust contact op en we helpen je graag verder. In dit artikel beantwoorden we de meest gestelde vragen over het kiezen van de juiste certificerende instelling.
Wat zijn de wettelijke eisen aan een certificerende instelling voor ISO 27001?
Een certificerende instelling voor ISO 27001 moet geaccrediteerd zijn door een nationale accreditatie-instantie, in Nederland de Raad voor Accreditatie (RvA). Accreditatie toont aan dat de instelling voldoet aan de internationale norm ISO/IEC 17021-1, die eisen stelt aan competentie, onpartijdigheid en consistentie van certificering. Zonder deze accreditatie heeft het afgegeven certificaat geen formeel erkende status.
In de praktijk betekent dit dat je als organisatie altijd moet controleren of de instelling die je overweegt een geldig accreditatiecertificaat heeft voor het uitvoeren van ISO 27001-audits. Dit certificaat is openbaar te raadplegen via de website van de RvA. Instellingen zonder accreditatie mogen wel audits uitvoeren, maar de certificaten die zij afgeven worden door opdrachtgevers, aanbestedende diensten en toezichthouders doorgaans niet geaccepteerd.
Daarnaast stelt de norm eisen aan de auditors zelf: zij moeten aantoonbare kennis hebben van informatiebeveiliging, de ISO 27001-norm en de sector waarin de organisatie actief is. Een goede certificerende instelling borgt dit via interne kwaliteitsprocedures en regelmatige toetsing van haar auditors.
Wat is het verschil tussen een geaccrediteerde en niet-geaccrediteerde instelling?
Het verschil tussen een geaccrediteerde en niet-geaccrediteerde certificerende instelling zit in de externe toetsing en formele erkenning. Een geaccrediteerde instelling wordt periodiek beoordeeld door de RvA op competentie, onpartijdigheid en werkwijze. Bij een niet-geaccrediteerde instelling ontbreekt deze onafhankelijke toetsing, waardoor de waarde van het certificaat voor externe partijen onzeker is.
Voor organisaties die ISO 27001-certificering nodig hebben in het kader van aanbestedingen, samenwerkingsovereenkomsten of wettelijke verplichtingen zoals NIS2 of AVG/GDPR, is een geaccrediteerd certificaat vrijwel altijd een harde eis. Opdrachtgevers en toezichthouders accepteren in de regel alleen certificaten van geaccrediteerde instellingen, omdat die een onafhankelijk bewijs leveren van de kwaliteit van het auditproces.
Een niet-geaccrediteerde instelling kan nuttig zijn voor interne assessments of voorbereiding op certificering, maar het certificaat dat zij afgeeft draagt geen formeel gewicht in de markt. Investeer je in een ISO 27001-traject, dan is kiezen voor een geaccrediteerde instelling de enige keuze die je certificering haar volledige waarde geeft.
Welke sectorervaring moet een ISO 27001-auditinstelling hebben?
Een ISO 27001-auditinstelling moet aantoonbare ervaring hebben in de sector waarin jouw organisatie actief is. Informatiebeveiliging is geen generiek vraagstuk: de risico’s, processen en regelgeving in de zorgsector verschillen fundamenteel van die in de maakindustrie, overheid of ICT. Een auditor zonder sectorkennis mist de context om bevindingen goed te duiden en aanbevelingen te doen die echt passen bij jouw organisatie.
Vraag bij een potentiële instelling altijd naar concrete voorbeelden van vergelijkbare organisaties die zij heeft gecertificeerd. Relevante sectorervaring omvat niet alleen kennis van de primaire processen, maar ook van sectorspecifieke wet- en regelgeving zoals NEN 7510 voor de zorg, BIO voor overheden of specifieke eisen vanuit kritieke infrastructuur.
Daarnaast is het waardevol als auditors zowel technische IT/OT-kennis als organisatorische inzichten combineren. Informatiebeveiliging raakt immers aan systemen, processen én mensen. Een instelling die alleen vanuit een juridisch of procesmatig perspectief auditeert, ziet technische risico’s mogelijk over het hoofd, en andersom.
Hoe vergelijk je de auditaanpak van verschillende instellingen?
Je vergelijkt de auditaanpak van verschillende instellingen door te kijken naar drie elementen: de mate van maatwerk, de communicatiestijl tijdens het traject en de balans tussen bevindingen en erkenning van sterke punten. Een instelling die werkt met een standaardchecklist levert minder waarde dan een instelling die de audit afstemt op de specifieke context en risico’s van jouw organisatie.
Maatwerk versus standaardisatie
Sommige instellingen hanteren een strak gestandaardiseerde aanpak die efficiënt is maar weinig ruimte laat voor de eigenheid van jouw organisatie. Andere instellingen, zoals wij bij DigiTrust, kiezen voor een contextgerichte benadering waarbij de audit aansluit op de werkelijke risico’s, processen en ambities van de organisatie. Vraag bij een oriëntatiegesprek hoe de instelling de audit voorbereidt en in hoeverre de aanpak wordt afgestemd op jouw sector en organisatiegrootte.
Waarderend auditen versus puur corrigerend
Een auditaanpak die alleen tekortkomingen benoemt, mist een belangrijk deel van de waarde die een audit kan bieden. Instellingen die ook de sterke punten van een organisatie zichtbaar maken, de zogenoemde waarderende benadering, geven organisaties een realistischer beeld van hun volwassenheid en motiveren teams om verbeteringen vol te houden. Let bij het vergelijken van instellingen op hoe zij omgaan met positieve bevindingen en hoe zij de rapportage opbouwen.
Welke vragen moet je stellen voordat je een certificerende instelling kiest?
Voordat je een certificerende instelling kiest, stel je minimaal de volgende vragen: Is de instelling geaccrediteerd door de RvA voor ISO 27001? Welke sectorervaring hebben de auditors? Hoe ziet het auditproces er stap voor stap uit? En hoe gaat de instelling om met bevindingen en communicatie tijdens het traject?
Aanvullend is het verstandig te vragen naar:
- De achtergrond en certificering van de auditors die aan jouw traject werken
- Referenties of ervaringen van vergelijkbare organisaties
- De doorlooptijd van het certificeringstraject en de planning van auditmomenten
- Hoe de instelling omgaat met afwijkingen en wat het herstelproces inhoudt
- Wat er na het behalen van het certificaat gebeurt, inclusief jaarlijkse controle-audits
- Of de instelling ook begeleiding biedt bij aanpalende normen zoals NEN 7510 of BIO
Een goede certificerende instelling beantwoordt deze vragen transparant en zonder omhaal. Als een instelling vaag blijft over haar werkwijze of auditorprofielen, is dat een signaal om verder te zoeken.
Wat kost een ISO 27001-certificering bij een geaccrediteerde instelling?
De kosten van een ISO 27001-certificering bij een geaccrediteerde instelling variëren afhankelijk van de omvang van de organisatie, de complexiteit van het ISMS en het aantal locaties of systemen dat binnen de scope valt. Er is geen vaste marktprijs, maar de investering bestaat doorgaans uit kosten voor de initiële certificeringsaudit en de jaarlijkse controle-audits gedurende de driejarige certificatiecyclus.
Factoren die de prijs beïnvloeden zijn onder andere:
- Het aantal medewerkers en de omvang van de organisatie
- De breedte van de scope: hoeveel processen, systemen en locaties vallen onder de certificering
- De complexiteit van de IT/OT-omgeving
- De mate van voorbereiding: is het ISMS al ingericht of moet er nog veel worden opgebouwd
- De sectorspecifieke eisen die extra auditexpertise vereisen
Het is verleidelijk om te kiezen voor de goedkoopste aanbieder, maar een te lage prijs gaat vaak ten koste van de diepgang van de audit of de sectorkennis van de auditor. Een certificering die niet grondig is uitgevoerd, biedt schijnveiligheid en wordt door de markt vroeg of laat doorzien. Vraag altijd een gespecificeerde offerte op zodat je appels met appels vergelijkt, en let niet alleen op de prijs maar ook op wat er voor die prijs wordt geleverd.
Wil je weten wat een ISO 27001-audit voor jouw organisatie concreet inhoudt en wat de kosten zijn? Neem contact op met ons team en plan een vrijblijvend kennismakingsgesprek. We denken graag met je mee over de beste aanpak voor jouw situatie.
Veelgestelde vragen
Wat maakt een geaccrediteerde certificerende instelling beter dan een niet-geaccrediteerde?
Een geaccrediteerde instelling wordt periodiek extern getoetst op competentie en onpartijdigheid, waardoor haar certificaten formeel erkend worden door opdrachtgevers, aanbestedende diensten en toezichthouders. Zonder accreditatie heeft een ISO 27001-certificaat geen officiële marktwaarde en wordt het in de praktijk zelden geaccepteerd bij aanbestedingen of wettelijke verplichtingen zoals NIS2 of AVG/GDPR.
Hoe weet ik of een certificerende instelling voldoende sectorervaring heeft voor mijn organisatie?
Vraag de instelling naar concrete voorbeelden van vergelijkbare organisaties die zij heeft gecertificeerd en controleer of de auditors bekend zijn met sectorspecifieke regelgeving zoals NEN 7510, BIO of eisen rondom kritieke infrastructuur. Een instelling met echte sectorkennis kan bevindingen beter duiden en aanbevelingen doen die daadwerkelijk passen bij jouw processen, risico’s en organisatiecontext.
Waarom verschilt de prijs van een ISO 27001-certificering zo sterk tussen instellingen?
De prijs wordt bepaald door factoren zoals de omvang van je organisatie, de breedte van de scope, de complexiteit van de IT/OT-omgeving en de benodigde sectorspecifieke auditexpertise. Een opvallend lage prijs gaat vaak ten koste van de diepgang van de audit of de kennis van de auditor, wat kan leiden tot een certificering die schijnveiligheid biedt in plaats van echte zekerheid.
Wanneer is het juiste moment om een certificerende instelling te kiezen?
Het is verstandig om al vroeg in het inrichtingstraject van je ISMS contact op te nemen met een certificerende instelling, zodat je de audit kunt afstemmen op de werkelijke scope en planning van jouw organisatie. Een vroeg gesprek geeft je inzicht in de verwachtingen van de auditor en helpt je voorkomen dat je achteraf onderdelen van je ISMS moet aanpassen om aan de certificeringseisen te voldoen.
