Nee, je zakt niet direct als een auditor een afwijking constateert bij een ISO 27001-audit. Een afwijking betekent dat er iets niet voldoet aan de norm, maar het geeft je de kans om dit te herstellen. Of je alsnog je certificaat behaalt, hangt af van het type afwijking en hoe snel je met een goede correctieve actie komt. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en we denken graag met je mee. In dit artikel beantwoorden we de meest gestelde vragen over afwijkingen bij een ISO 27001-audit.
Wat is het verschil tussen een major en minor afwijking?
Een major afwijking (ook wel major nonconformity) is een ernstige tekortkoming waarbij een vereiste van de ISO 27001-norm volledig ontbreekt of structureel niet werkt. Een minor afwijking is een beperkte tekortkoming die wel degelijk aandacht verdient, maar waarbij het managementsysteem als geheel nog functioneert. Dit onderscheid bepaalt direct welke gevolgen de afwijking heeft voor je certificering.
Bij een major afwijking gaat het om situaties als:
- Een volledig ontbrekend proces dat de norm vereist
- Een fundamentele fout in de opzet van je informatiebeveiligingsmanagementsysteem (ISMS)
- Meerdere samenhangende minor afwijkingen die samen een patroon van structureel falen laten zien
Bij een minor afwijking gaat het om kleinere tekortkomingen, zoals een procedure die bestaat maar niet altijd consequent wordt gevolgd, of een document dat niet volledig up-to-date is. De norm is aanwezig en werkt grotendeels, maar er zijn verbeterpunten.
Het verschil is dus niet alleen een kwestie van ernst, maar ook van impact op het systeem als geheel. Een goede auditor kijkt naar de context en weegt af of een tekortkoming het ISMS fundamenteel ondermijnt of slechts een punt van verbetering is.
Wat gebeurt er na een major afwijking bij een ISO 27001-audit?
Na een major afwijking bij een ISO 27001-audit ontvang je geen certificaat totdat de afwijking aantoonbaar is opgelost. De auditor sluit de audit niet positief af zolang de major nonconformity openstaat. Je krijgt de kans om een correctieve actie in te dienen, maar in de meeste gevallen is een aanvullende audit of verificatiebezoek nodig voordat het certificaat wordt afgegeven.
Dit klinkt ingrijpender dan het in de praktijk vaak is. Een major afwijking is geen definitief oordeel dat je organisatie ongeschikt is. Het is een signaal dat er op een specifiek punt serieus werk verzet moet worden. Zodra je aantoont dat de oorzaak is weggenomen en het systeem structureel is verbeterd, kan de certificeringsprocedure worden afgerond.
Bij DigiTrust begeleiden we organisaties ook in deze fase. We leggen helder uit wat de afwijking precies inhoudt, wat we verwachten van de correctieve actie en hoe de vervolgstappen eruitzien. Transparantie in dit soort situaties maakt het verschil.
Kan een minor afwijking alsnog leiden tot het mislukken van de certificering?
Een enkele minor afwijking leidt niet tot het mislukken van de ISO 27001-certificering. Je kunt het certificaat gewoon ontvangen, mits je de minor afwijking binnen de afgesproken termijn oplost. Alleen wanneer er sprake is van een groot aantal minor afwijkingen, of wanneer dezelfde minor afwijking bij meerdere opeenvolgende audits terugkeert, kan de auditor besluiten dit te upgraden naar een major afwijking.
Dat laatste is een belangrijk punt. Een minor afwijking die jaar na jaar terugkomt, laat zien dat de organisatie niet leert of verbetert. Dat is in strijd met het principe van continue verbetering, dat centraal staat in ISO 27001. De norm verwacht niet dat alles perfect is, maar wel dat je actief werkt aan verbetering.
Kortom: een minor afwijking is beheersbaar, maar neem hem serieus. Los hem op, documenteer wat je hebt gedaan en zorg dat hij niet terugkeert bij de volgende controle-audit.
Hoe lang heb je de tijd om een afwijking op te lossen?
Voor een minor afwijking geldt doorgaans een termijn van negentig dagen om een correctieve actie in te dienen en de oplossing aan te tonen. Voor een major afwijking is de termijn afhankelijk van de ernst en de afspraken met de auditinstelling, maar ook hier wordt vaak een periode van enkele maanden gehanteerd. In sommige gevallen is een aanvullend verificatiebezoek nodig binnen die termijn.
De exacte termijnen worden vastgelegd in het auditrapport en zijn afhankelijk van de specifieke situatie. Wat altijd geldt: hoe sneller je reageert met een doordachte correctieve actie, hoe soepeler het vervolgproces verloopt. Wachten tot het laatste moment werkt zelden in je voordeel.
Het is ook verstandig om vroegtijdig contact op te nemen met je auditinstelling als je merkt dat de termijn krap wordt. Openheid en proactieve communicatie worden gewaardeerd en geven de auditor vertrouwen dat je de afwijking serieus neemt.
Wat moet een correctieve actie bevatten om geaccepteerd te worden?
Een correctieve actie bij een ISO 27001-afwijking moet drie dingen aantonen: de oorzaakanalyse van de afwijking, de concrete maatregelen die zijn genomen om de oorzaak weg te nemen, en bewijs dat de maatregelen effectief zijn geweest. Een oppervlakkige beschrijving van wat er is aangepast, zonder onderbouwing van de oorzaak, wordt doorgaans niet geaccepteerd.
Een sterke correctieve actie bevat minimaal:
- Oorzaakanalyse: Waarom is de afwijking ontstaan? Denk aan een ontbrekende procedure, een communicatiefout of een gebrek aan bewustzijn bij medewerkers.
- Genomen maatregelen: Wat heb je concreet gedaan om de situatie te verhelpen? Dit kan een nieuwe procedure zijn, een training, een aanpassing in een systeem of een combinatie daarvan.
- Bewijs van effectiviteit: Hoe toon je aan dat de maatregel werkt? Denk aan logbestanden, getekende documenten, screenshots of getuigenissen van betrokkenen.
- Preventieve werking: Wat voorkomt dat dezelfde afwijking opnieuw optreedt?
Een correctieve actie die alleen de symptomen aanpakt zonder de onderliggende oorzaak weg te nemen, zal de auditor niet overtuigen. De kwaliteit van je analyse zegt veel over de volwassenheid van je ISMS.
Hoe voorkom je afwijkingen bij een ISO 27001-audit?
Afwijkingen bij een ISO 27001-audit voorkom je door je managementsysteem continu te onderhouden en niet alleen vlak voor de audit te activeren. De meest voorkomende oorzaken van afwijkingen zijn verouderde documentatie, onvoldoende bewustzijn bij medewerkers en processen die op papier bestaan maar in de praktijk niet worden gevolgd. Structurele aandacht voor deze drie gebieden vermindert het risico aanzienlijk.
Praktische stappen die helpen:
- Plan interne audits regelmatig in gedurende het jaar, niet alleen als voorbereiding op de externe audit
- Houd beleid en procedures actueel en zorg dat medewerkers weten waar ze deze kunnen vinden
- Voer periodieke bewustwordingstrainingen uit zodat informatiebeveiliging geen papieren werkelijkheid blijft
- Documenteer verbeteringen en incidenten consequent, zodat je een aantoonbare leercyclus hebt
- Betrek het management actief, want leiderschap is een expliciete vereiste van de norm
Een goede voorbereiding begint met inzicht in waar je staat. Wil je weten hoe jouw organisatie ervoor staat op het gebied van informatiebeveiliging? Wij kijken graag met je mee en helpen je om goed voorbereid de auditruimte in te gaan. Een afwijking is geen ramp, maar voorkomen is altijd beter. Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.
Veelgestelde vragen
Wat is het verschil tussen een major en een minor afwijking bij een ISO 27001-audit?
Een major afwijking betekent dat een essentieel onderdeel van de norm volledig ontbreekt of structureel niet werkt, waardoor je certificaat wordt uitgesteld totdat dit is opgelost. Een minor afwijking is een beperkte tekortkoming waarbij het systeem als geheel nog functioneert en je het certificaat kunt ontvangen, mits je de afwijking binnen de afgesproken termijn oplost.
Hoe zorg ik ervoor dat mijn correctieve actie wordt geaccepteerd door de auditor?
Een geaccepteerde correctieve actie bevat altijd drie onderdelen: een grondige oorzaakanalyse die uitlegt waarom de afwijking is ontstaan, concrete maatregelen die de oorzaak structureel wegnemen, en aantoonbaar bewijs dat de maatregelen effectief zijn, zoals logbestanden, getekende documenten of screenshots.
Wanneer kan een minor afwijking alsnog leiden tot het mislukken van mijn certificering?
Een minor afwijking wordt gevaarlijk wanneer dezelfde tekortkoming bij meerdere opeenvolgende audits terugkeert of wanneer er tegelijkertijd veel minor afwijkingen zijn, omdat de auditor dit kan opwaarderen naar een major afwijking. Dit signaleert dat je organisatie niet actief werkt aan continue verbetering, wat een kernvereiste is van ISO 27001.
Hoe voorkom ik afwijkingen bij mijn volgende ISO 27001-audit?
Afwijkingen voorkom je door je managementsysteem het hele jaar door actief te onderhouden in plaats van alleen vlak voor de audit: houd documentatie actueel, voer regelmatig interne audits en bewustwordingstrainingen uit, en zorg dat processen die op papier bestaan ook daadwerkelijk in de praktijk worden gevolgd.
Gerelateerde artikelen
- Wat gebeurt er als je scope wijzigt na een ISO 27001 certificering?
- Wanneer is het juiste moment om een ISO 27001 certificeringsaudit te plannen?
- Welke gebeurtenissen leiden meestal tot een schorsing van een ISO 27001 certificaat?
- Wat zijn de kostenbepalende factoren bij een ISO 27001 certificeringsaudit?
- Wanneer is ISO 27001 wettelijk verplicht?
