Na een ISO 27001-audit heb je voor een majeure afwijking doorgaans 90 dagen de tijd om een correctieve maatregel door te voeren en aan te tonen. Voor een mineure afwijking geldt een langere termijn, die vaak loopt tot de volgende periodieke audit. De exacte termijn hangt af van de certificerende instelling en de ernst van de bevinding. In dit artikel beantwoorden we de meest gestelde vragen over termijnen, correctieve maatregelen en wat er gebeurt als een afwijking niet op tijd wordt opgelost. Heb je een specifieke situatie en wil je direct advies? Neem gerust contact op en wij helpen je verder.
Wat zijn de gevolgen als een afwijking niet op tijd wordt opgelost?
Als een afwijking niet binnen de afgesproken termijn wordt opgelost, riskeert een organisatie het verlies van haar ISO 27001-certificaat. Bij een majeure non-conformiteit die niet tijdig is gecorrigeerd, kan de certificerende instelling besluiten de certificering op te schorten of in te trekken. Voor mineure afwijkingen geldt dat ze bij herhaling of ophoping kunnen worden opgewaardeerd naar majeur.
De gevolgen zijn daarmee niet alleen formeel van aard. Een ingetrokken of opgeschort certificaat heeft directe zakelijke impact: klanten, aanbestedende diensten en samenwerkingspartners stellen ISO 27001 steeds vaker als eis. Verlies van de certificering kan leiden tot het mislopen van contracten of het schenden van bestaande samenwerkingsovereenkomsten.
Daarnaast signaleert een niet-opgeloste afwijking een structureel probleem in het informatiebeveiligingsmanagement. Certificerende instellingen kijken niet alleen naar de afwijking zelf, maar ook naar de manier waarop een organisatie ermee omgaat. Een passieve of trage reactie wekt weinig vertrouwen in het vermogen van de organisatie om risico’s te beheersen.
Hoeveel tijd geeft een certificerende instelling voor een majeure afwijking?
Voor een majeure afwijking geldt in de meeste gevallen een hersteltermijn van maximaal 90 dagen na de auditdatum. Binnen die periode moet de organisatie niet alleen de oorzaak aanpakken, maar ook aantonen dat de correctieve maatregel effectief is geïmplementeerd. Sommige instellingen hanteren een strikte deadline van 30 of 60 dagen voor de eerste aantoonbare stap.
Een majeure non-conformiteit wijst op een fundamentele tekortkoming in het informatiebeveiligingsbeheersysteem (ISMS). Dit kan betekenen dat een vereist proces volledig ontbreekt, dat een beheersing structureel faalt, of dat er bewijs is dat de organisatie de norm systematisch niet naleeft. De ernst hiervan verklaart waarom de termijn relatief kort is en strikt wordt bewaakt.
In de praktijk wordt na het indienen van de correctieve maatregel vaak een aanvullende beoordeling of herbeoordeling ingepland. De certificerende instelling beoordeelt dan of de maatregel voldoende is en of de onderliggende oorzaak daadwerkelijk is weggenomen. Pas na een positieve beoordeling kan het certificeringstraject worden voortgezet of bevestigd.
Hoeveel tijd staat er voor het oplossen van een mineure afwijking?
Voor een mineure afwijking geldt doorgaans dat de correctieve maatregel uiterlijk bij de volgende geplande audit aantoonbaar is doorgevoerd. Afhankelijk van het auditschema betekent dit een termijn van zes maanden tot een jaar. De organisatie heeft dus meer ruimte, maar dat betekent niet dat de afwijking genegeerd mag worden.
Een mineure non-conformiteit is een geïsoleerde tekortkoming die niet direct het functioneren van het gehele ISMS ondermijnt. Denk aan een ontbrekende registratie, een procedure die niet volledig wordt nageleefd, of een beheersing die wel aanwezig is maar niet consequent wordt toegepast. De afwijking is reëel, maar beperkt in omvang en impact.
Wat belangrijk is: meerdere mineure afwijkingen op hetzelfde thema of gebied kunnen door de auditor worden samengevoegd en alsnog als majeur worden beoordeeld. Het is dus verstandig om mineure bevindingen serieus te nemen en de voortgang actief te documenteren, ook als de formele deadline nog ver weg lijkt.
Wat moet een correctieve maatregel bevatten om geaccepteerd te worden?
Een correctieve maatregel die wordt ingediend na een ISO 27001-audit moet minimaal drie elementen bevatten: een oorzaakanalyse, de concrete actie die is of wordt ondernomen, en bewijs van effectiviteit. Alleen het oplossen van het symptoom is niet voldoende; de onderliggende oorzaak moet zijn geïdentificeerd en aangepakt.
Een veelgemaakte fout is dat organisaties een correctieve maatregel indienen die alleen beschrijft wat er is gedaan, zonder te onderbouwen waarom het probleem is ontstaan. Auditors beoordelen een maatregel op drie niveaus:
- Directe correctie: Is de specifieke afwijking hersteld?
- Oorzaakanalyse: Is de grondoorzaak vastgesteld?
- Preventieve werking: Zijn maatregelen genomen om herhaling te voorkomen?
Bewijs kan bestaan uit aangepaste procedures, trainingsregistraties, technische configuraties, screenshots van systemen of gespreksverslagen. Hoe concreter en aantoonbaarder het bewijs, hoe groter de kans dat de maatregel wordt geaccepteerd. Een goed gedocumenteerde correctieve maatregel laat zien dat de organisatie haar ISMS serieus neemt en in staat is te leren van bevindingen. Meer weten over hoe een certificeringstraject in zijn werk gaat? Wij leggen het je graag uit.
Kan een hersteltermijn worden verlengd na een ISO 27001-audit?
In bepaalde gevallen kan een hersteltermijn worden verlengd, maar dit is geen automatisch recht en vereist altijd overleg met de certificerende instelling. Een verlenging wordt alleen overwogen als er aantoonbare voortgang is geboekt en er een gegronde reden is voor de vertraging, zoals technische complexiteit of organisatorische omstandigheden buiten de directe controle van de organisatie.
Een verzoek tot verlenging moet proactief worden ingediend, vóór het verstrijken van de oorspronkelijke termijn. Wie wacht tot de deadline is verstreken, heeft een veel zwakkere positie. Certificerende instellingen waarderen transparantie en tijdige communicatie. Een organisatie die aantoont dat ze actief bezig is met de oplossing en concreet aangeeft wat er nog nodig is, maakt meer kans op een positieve reactie.
Bij majeure afwijkingen is de ruimte voor verlenging aanzienlijk kleiner dan bij mineure. De normeisen en accreditatieregels stellen grenzen aan de maximale doorlooptijd. In de praktijk geldt: hoe eerder je communiceert over mogelijke vertraging, hoe groter de kans dat er een werkbare oplossing wordt gevonden zonder dat de informatiebeveiliging of de certificering in gevaar komt.
Heb je na een audit te maken met een afwijking en wil je weten wat jouw opties zijn? Neem contact op met ons team. Wij denken graag met je mee over een aanpak die past bij jouw situatie en helpen je om de certificering te behouden.
Veelgestelde vragen
Wat gebeurt er als een majeure afwijking niet binnen 90 dagen is opgelost?
Als een majeure afwijking niet binnen de gestelde termijn is gecorrigeerd, kan de certificerende instelling de ISO 27001-certificering opschorten of intrekken, wat directe zakelijke gevolgen heeft zoals het mislopen van contracten of het schenden van samenwerkingsovereenkomsten waarbij het certificaat als eis geldt.
Hoe zorg ik ervoor dat mijn correctieve maatregel wordt geaccepteerd door de auditor?
Een correctieve maatregel wordt geaccepteerd als deze een grondige oorzaakanalyse bevat, een concrete actie beschrijft én aantoonbaar bewijs levert van effectiviteit, zoals aangepaste procedures, trainingsregistraties of technische configuraties, zodat duidelijk is dat herhaling van de afwijking wordt voorkomen.
Wanneer kan ik een verlenging aanvragen voor het oplossen van een afwijking?
Een verlenging moet proactief worden aangevraagd vóór het verstrijken van de oorspronkelijke termijn, met aantoonbare voortgang en een gegronde reden voor de vertraging; bij majeure afwijkingen is de ruimte voor verlenging aanzienlijk kleiner dan bij mineure afwijkingen.
Waarom worden meerdere mineure afwijkingen soms als één majeure afwijking beoordeeld?
Wanneer meerdere mineure afwijkingen betrekking hebben op hetzelfde thema of gebied, kan een auditor deze samenvoegen en als majeur beoordelen, omdat ze samen wijzen op een structureel probleem in het informatiebeveiligingsbeheersysteem dat niet langer als geïsoleerd of beperkt van omvang kan worden beschouwd.
