Hoe bereid je een organisatie voor op de eerste dag van een ISO 27001 audit?

Een goede voorbereiding op de eerste dag van een ISO 27001-audit begint weken van tevoren, niet de avond ervoor. Zorg dat je documentatie op orde is, je medewerkers weten wat ze kunnen verwachten en je managementsysteem aantoonbaar functioneert. Deze aanpak geldt voor elke organisatie die serieus werkt aan informatiebeveiliging en de certificering wil halen. In dit artikel beantwoorden we de meest gestelde vragen over het ISO 27001-auditproces, van de eerste auditdag tot het moment dat je écht klaar bent voor certificering. Heb je alvast een vraag? Neem gerust contact op en wij helpen je verder.

Wat verwacht een auditor op de eerste auditdag?

Op de eerste dag van een ISO 27001-audit verwacht de auditor een georganiseerde ontvangst, toegang tot relevante documentatie en beschikbaarheid van de juiste contactpersonen. De auditor wil snel een beeld krijgen van hoe de organisatie is ingericht en hoe het Information Security Management System (ISMS) in de praktijk functioneert.

Concreet betekent dit dat de auditor doorgaans begint met een openingsgesprek, ook wel de kick-off genoemd. Hierin worden de agenda, de scope van de audit en de praktische afspraken doorgenomen. Daarna volgt een eerste documentbeoordeling en worden gesprekken gepland met medewerkers op verschillende niveaus in de organisatie.

Wat auditors direct opvalt, is de mate van voorbereiding. Een organisatie die haar ISMS goed heeft ingericht, merkt dat aan de rust en het zelfvertrouwen waarmee medewerkers vragen beantwoorden. Een gehaaste of chaotische ontvangst geeft een minder gunstige eerste indruk, ook al zegt dat nog niets over de inhoudelijke kwaliteit van het systeem.

Welke documenten moeten klaarliggen voor de audit begint?

Voordat de ISO 27001-audit van start gaat, moeten de kerndocumenten van het ISMS direct beschikbaar zijn. Denk aan het informatiebeveiligingsbeleid, de risicobeoordelingen, de verklaring van toepasselijkheid (Statement of Applicability) en de interne auditrapportages. Zonder deze documenten kan de auditor zijn werk niet goed uitvoeren.

Een praktische checklist van documenten die klaar moeten liggen:

• Informatiebeveiligingsbeleid en onderliggende deelbeleiden
• Risicobeoordeling en risicobehandelingsplan
• Verklaring van toepasselijkheid (SoA)
• Interne auditrapportages van het afgelopen jaar
• Notulen van managementreviews
• Registraties van incidenten en afwijkingen
• Bewijs van bewustwordingstrainingen voor medewerkers
• Procedures voor toegangsbeheer, back-up en continuïteit

Het gaat niet alleen om het hebben van deze documenten, maar ook om de vindbaarheid ervan. Een auditor die tien minuten moet wachten terwijl iemand een document zoekt, trekt conclusies over de volwassenheid van het systeem. Zorg dus voor een logische, toegankelijke documentstructuur, bij voorkeur in een centraal systeem.

Hoe bereid je medewerkers voor op auditorvragen?

Medewerkers voorbereiden op een ISO 27001-audit betekent niet dat je ze een script geeft. Het betekent dat ze begrijpen wat het ISMS inhoudt, wat hun eigen rol daarin is en hoe ze eerlijk en concreet kunnen antwoorden op vragen over hun dagelijkse werkwijze.

Auditors stellen bewust open vragen om te toetsen of medewerkers de beveiligingsprocedures echt kennen en toepassen. Vragen als “Hoe ga jij om met een verdacht e-mailbericht?” of “Wat doe je als je een datalek vermoedt?” zijn typische voorbeelden. Een antwoord als “Dat staat ergens in een beleid” is een rode vlag. Een antwoord als “Ik meld het direct bij onze security officer via ons ticketsysteem” laat zien dat het systeem werkt.

Praktische stappen voor medewerkersbegeleiding:

1. Organiseer een korte informatiesessie over de auditprocedure en wat medewerkers kunnen verwachten.
2. Bespreek de meest voorkomende auditorvragen per afdeling of functiegroep.
3. Benadruk dat eerlijkheid de beste strategie is. Auditors waarderen openheid over verbeterpunten.
4. Zorg dat medewerkers weten bij wie ze terechtkunnen als ze een vraag niet zeker weten.

Wat is het verschil tussen een stage 1- en stage 2-audit?

Een ISO 27001-certificeringsaudit bestaat uit twee fasen. De stage 1-audit is een documentbeoordeling waarbij de auditor toetst of het ISMS op papier voldoende is uitgewerkt. De stage 2-audit is de implementatiebeoordeling, waarbij de auditor controleert of het systeem in de praktijk daadwerkelijk werkt zoals beschreven.

Stage 1: de documentbeoordeling

Tijdens de stage 1-audit beoordeelt de auditor de opzet van het ISMS. Hij kijkt of de scope correct is afgebakend, of de risicoanalyse deugdelijk is uitgevoerd en of alle vereiste documentatie aanwezig is. Deze fase eindigt met een rapport waarin eventuele tekortkomingen worden benoemd die vóór de stage 2-audit moeten worden opgelost.

Stage 2: de implementatiebeoordeling

In de stage 2-audit toetst de auditor of de beheersmaatregelen ook in de dagelijkse praktijk worden toegepast. Dit gebeurt via interviews, observaties en het opvragen van bewijsmateriaal. Denk aan logboeken, toegangsregistraties, trainingsverslagen en incidentmeldingen. Een positieve beoordeling in deze fase leidt tot het ISO 27001-certificaat, dat drie jaar geldig is en jaarlijks wordt gevolgd door een controle-audit.

Welke veelgemaakte fouten ondermijnen een ISO 27001-audit?

De meest voorkomende fouten bij een ISO 27001-audit zijn niet technisch van aard, maar organisatorisch. Denk aan ontbrekende bewijsstukken, medewerkers die de procedures niet kennen en een risicoanalyse die al maanden niet is bijgewerkt. Deze fouten zijn vrijwel allemaal te voorkomen met een goede voorbereiding.

Veelgemaakte fouten op een rij:

• Verouderde documentatie: beleid dat niet is herzien na organisatorische of technische wijzigingen.
• Ontbrekende managementbetrokkenheid: het management kan geen vragen beantwoorden over de ISMS-doelstellingen.
• Geen bewijs van interne audits: de interne audit heeft plaatsgevonden, maar er zijn geen rapportages of notulen.
• Medewerkers zijn verrast door de audit: ze weten niet dat er een audit is of wat er van hen verwacht wordt.
• Scope-onduidelijkheid: de scope van het ISMS is te vaag omschreven of wijkt af van de werkelijkheid.
• Onrealistische risicobehandeling: risico’s zijn geaccepteerd zonder onderbouwing of goedkeuring van het management.

Wanneer is een organisatie écht klaar voor de certificeringsaudit?

Een organisatie is klaar voor de ISO 27001-certificeringsaudit wanneer het ISMS aantoonbaar operationeel is, alle vereiste documentatie actueel en beschikbaar is, minimaal één interne auditcyclus is doorlopen en het management een volledige managementreview heeft uitgevoerd. Dit is geen formaliteit, maar bewijs dat het systeem echt werkt.

Een goede graadmeter is de vraag: kunnen we aan een buitenstaander uitleggen hoe we informatiebeveiliging organiseren, welke risico’s we kennen en hoe we die beheersen? Als het antwoord ja is en je kunt dat onderbouwen met documenten en gedrag, dan ben je klaar.

Bij DigiTrust hanteren we een contextgerichte aanpak voor ISO 27001-certificering. Dat betekent dat we niet werken met een standaard checklist, maar kijken naar wat jouw organisatie nodig heeft en wat al goed gaat. Onze auditors combineren technische kennis met sectorspecifieke expertise, zodat de audit écht waarde toevoegt en niet alleen een papieren exercitie is.

Wil je weten of jouw organisatie klaar is voor de eerste auditdag? Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.

Gerelateerde artikelen

• Hoe plan je een realistisch tijdpad naar een ISO 27001 certificering?
• Wat is een readiness assessment en wat controleert de ISO 27001 auditor daarbij?
• Waarom is informatiebeveiliging meer dan alleen een goede firewall?
• Moet een ICT leverancier aan de zorg gecertificeerd zijn?
• Wat moet je doen om te certificeren voor NEN 7510?