Je kunt controleren of een ISO 27001-certificaat van een leverancier echt geldig is door het certificaat te verifiëren via de openbare registers van een geaccrediteerde certificerende instelling of via de accreditatiedatabase van de Raad voor Accreditatie (RvA). Een geldig certificaat bevat een uniek certificaatnummer, een duidelijk omschreven scope, de geldigheidsdatum en de naam van de certificerende instelling. In dit artikel beantwoorden we de meest gestelde vragen over het controleren van ISO 27001-certificaten, zodat je weloverwogen beslissingen kunt nemen bij het selecteren van leveranciers. Wil je alvast direct advies? Neem gerust contact op en wij helpen je graag verder.
Waar kun je een ISO 27001-certificaat officieel controleren?
Een ISO 27001-certificaat kun je officieel controleren via het openbare certificaatregister van de certificerende instelling die het certificaat heeft afgegeven. De meeste geaccrediteerde instellingen bieden een zoekfunctie op hun website aan waar je op bedrijfsnaam of certificaatnummer kunt zoeken. Daarnaast kun je de Raad voor Accreditatie (RvA) raadplegen voor een overzicht van geaccrediteerde certificerende instellingen in Nederland.
Wanneer je een certificaat ontvangt van een leverancier, vraag dan altijd om het volledige certificaatdocument, niet alleen een logo of een verwijzing ernaar. Op het document staan het certificaatnummer, de naam van de gecertificeerde organisatie, de scope, de geldigheidsduur en de naam van de certificerende instelling. Met het certificaatnummer kun je vervolgens direct bij de betreffende instelling verifiëren of het certificaat actueel en ongeschorst is.
Internationaal bestaat ook de mogelijkheid om certificaten te verifiëren via de IAF CertSearch-database, een wereldwijde database van certificaten afgegeven door IAF-geaccrediteerde instellingen. Dit is met name nuttig als je werkt met buitenlandse leveranciers die zijn gecertificeerd door een instelling buiten Nederland.
Wat betekent de scope op een ISO 27001-certificaat?
De scope op een ISO 27001-certificaat beschrijft exact welke onderdelen van de organisatie, welke processen, locaties en informatiesystemen onder de certificering vallen. De ISO 27001-scope is een van de meest kritische elementen van het certificaat, omdat een leverancier gecertificeerd kan zijn voor slechts een klein deel van zijn activiteiten, terwijl de diensten die hij aan jou levert buiten die scope vallen.
Stel je voor dat een softwareleverancier ISO 27001-gecertificeerd is, maar de scope omvat alleen de interne HR-afdeling en niet de softwareontwikkelingsomgeving. In dat geval biedt het certificaat geen garantie voor de informatiebeveiliging van de dienst die jij afneemt. Het is daarom essentieel om de scope niet alleen te lezen, maar ook te beoordelen op relevantie voor de specifieke samenwerking.
Let bij de scope op de volgende elementen:
- Welke diensten of producten zijn expliciet opgenomen?
- Welke locaties of vestigingen vallen onder de certificering?
- Zijn er uitsluitingen vermeld, en zijn die gerechtvaardigd?
- Sluit de scope aan bij de diensten die de leverancier aan jou levert?
Een goed geformuleerde scope is specifiek en niet vaag. Wees alert op omschrijvingen die bewust breed of juist erg beperkt zijn geformuleerd om zo min mogelijk te omvatten.
Hoe weet je of de certificerende instelling zelf geaccrediteerd is?
Een certificerende instelling is geaccrediteerd als zij officieel erkend is door een nationale accreditatieorganisatie, zoals de Raad voor Accreditatie (RvA) in Nederland. Accreditatie betekent dat de instelling zelf periodiek wordt gecontroleerd op haar competentie, onpartijdigheid en werkwijze. Alleen certificaten afgegeven door geaccrediteerde instellingen worden internationaal erkend.
Je kunt de accreditatiestatus van een certificerende instelling controleren via de website van de RvA op rva.nl. Hier vind je een register van alle geaccrediteerde instellingen in Nederland, inclusief het accreditatienummer en de scope van de accreditatie. Zoek naar het accreditatienummer dat op het certificaat van de leverancier vermeld staat en verifieer of dit overeenkomt met de registratie bij de RvA.
Een instelling zonder accreditatie kan technisch gezien ook een ISO 27001-certificaat afgeven, maar dat certificaat heeft geen formele erkenning en wordt door de meeste opdrachtgevers, overheden en aanbestedende partijen niet geaccepteerd. Bij gecertificeerde ISO 27001-trajecten is accreditatie dan ook een basisvereiste. Wij zijn geaccrediteerd door de RvA onder nummer C618, wat betekent dat onze certificaten internationaal erkend worden en voldoen aan de hoogste kwaliteitseisen.
Wanneer is een ISO 27001-certificaat verlopen of geschorst?
Een ISO 27001-certificaat is verlopen als de einddatum op het certificaat is verstreken. De geldigheid van een ISO 27001-certificaat bedraagt standaard drie jaar, mits de organisatie jaarlijkse controle-audits (surveillance-audits) met goed gevolg doorloopt. Wordt een surveillance-audit niet uitgevoerd of niet succesvol afgerond, dan kan het certificaat worden geschorst of ingetrokken.
Een geschorst certificaat is formeel niet meer geldig, ook al is de einddatum nog niet bereikt. Schorsing kan plaatsvinden als een organisatie ernstige tekortkomingen heeft die niet binnen de gestelde termijn zijn opgelost, of als de jaarlijkse audit niet heeft plaatsgevonden. De certificerende instelling is verplicht om schorsingen te registreren in haar openbare register.
Controleer bij het beoordelen van een leverancierscertificaat altijd:
- De einddatum van het certificaat.
- De datum van de meest recente surveillance-audit.
- Of het certificaat actief of geschorst in het register van de certificerende instelling staat.
- Of het certificaat is afgegeven na de meest recente versie van de norm (ISO 27001:2022).
Een certificaat dat al meer dan een jaar geleden is afgegeven zonder dat er een recente surveillance-audit heeft plaatsgevonden, verdient extra aandacht. Vraag de leverancier om het auditrapport van de meest recente controle-audit als aanvullend bewijs.
Welke vragen kun je een leverancier stellen over zijn certificering?
Om de geldigheid en relevantie van een ISO 27001-certificaat van een leverancier goed te beoordelen, zijn gerichte vragen onmisbaar. De juiste vragen helpen je niet alleen om het certificaat te verifiëren, maar ook om te begrijpen hoe serieus de leverancier omgaat met informatiebeveiliging in de praktijk.
Stel de volgende vragen aan een leverancier:
- Wat is het certificaatnummer en wie is de certificerende instelling? Zo kun je het certificaat zelfstandig verifiëren.
- Wat omvat de scope van jullie certificering precies? Vraag door op welke diensten, systemen en locaties de scope betrekking heeft.
- Wanneer heeft de laatste surveillance-audit plaatsgevonden? Dit geeft inzicht in hoe recent de beoordeling is.
- Zijn er bevindingen of verbeterpunten uit de laatste audit? Een serieuze leverancier is hier transparant over.
- Is de certificerende instelling geaccrediteerd door de RvA of een vergelijkbare instantie? Zo bevestig je de formele erkenning.
- Vallen de diensten die jullie aan ons leveren volledig binnen de gecertificeerde scope? Dit is de meest directe vraag om relevantie te toetsen.
Een leverancier die ISO 27001 serieus neemt, zal deze vragen zonder aarzeling beantwoorden en desgewenst het volledige certificaatdocument en een samenvatting van het auditrapport overleggen. Terughoudendheid of vage antwoorden zijn een signaal dat nadere controle gewenst is.
Wil je hulp bij het beoordelen van leverancierscertificaten, of ben je zelf op zoek naar een betrouwbare ISO 27001-certificering voor jouw organisatie? Neem contact op met ons team van ervaren auditors en ontdek hoe wij jouw organisatie verder kunnen helpen.
Veelgestelde vragen
Waar kan ik een ISO 27001-certificaat van een leverancier officieel controleren?
V: Waar kan ik een ISO 27001-certificaat van een leverancier officieel controleren? A: Je kunt een ISO 27001-certificaat verifiëren via het openbare register van de certificerende instelling die het certificaat heeft afgegeven, of via de accreditatiedatabase van de Raad voor Accreditatie (RvA) op rva.nl. Voor buitenlandse leveranciers biedt de IAF CertSearch-database een wereldwijd overzicht van certificaten afgegeven door geaccrediteerde instellingen.
Wat moet ik controleren in de scope van een ISO 27001-certificaat?
V: Wat moet ik controleren in de scope van een ISO 27001-certificaat? A: Je moet nagaan of de scope van het certificaat de specifieke diensten, systemen en locaties omvat die de leverancier aan jou levert, want een leverancier kan gecertificeerd zijn voor slechts een deel van zijn activiteiten. Let ook op vage of bewust beperkte omschrijvingen die weinig zekerheid bieden over de daadwerkelijke informatiebeveiliging.
Hoe weet ik of een ISO 27001-certificaat nog geldig is en niet geschorst?
V: Hoe weet ik of een ISO 27001-certificaat nog geldig is en niet geschorst? A: Controleer in het openbare register van de certificerende instelling of het certificaat de status ‘actief’ heeft, want een certificaat kan worden geschorst vóór de einddatum als een leverancier ernstige tekortkomingen niet oplost of een jaarlijkse surveillance-audit mist. Vraag bij twijfel ook om het meest recente auditrapport als aanvullend bewijs.
Waarom is het belangrijk dat de certificerende instelling zelf geaccrediteerd is?
V: Waarom is het belangrijk dat de certificerende instelling zelf geaccrediteerd is? A: Alleen certificaten afgegeven door geaccrediteerde instellingen worden internationaal erkend en geaccepteerd door opdrachtgevers, overheden en aanbestedende partijen, omdat accreditatie garandeert dat de instelling periodiek wordt gecontroleerd op competentie en onpartijdigheid. Je kunt de accreditatiestatus eenvoudig verifiëren via het register op rva.nl.
