Een ISO 27001-certificerende instelling is echt onafhankelijk als zij beschikt over een geldige accreditatie van een erkende nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland. Accreditatie garandeert dat de instelling voldoet aan internationale eisen voor onpartijdigheid en bekwaamheid. Heb je vragen over hoe dit werkt in de praktijk? Neem gerust contact op en wij helpen je graag verder. In dit artikel beantwoorden we de meest gestelde vragen over het controleren van onafhankelijkheid bij een certificerende instelling.
Wat zijn de officiële accreditatie-eisen voor een ISO 27001-certificerende instelling?
Een ISO 27001-certificerende instelling moet voldoen aan de eisen van de internationale norm ISO/IEC 17021-1. Deze norm stelt verplichtingen aan de bekwaamheid, onpartijdigheid en consistente werkwijze van de instelling. Accreditatie door een erkende nationale instantie bevestigt dat de instelling aan al deze eisen voldoet en regelmatig wordt gecontroleerd.
De norm ISO/IEC 17021-1 is de wereldwijd erkende standaard voor instellingen die managementsystemen certificeren. Zij beschrijft onder meer hoe een instelling haar auditors selecteert en traint, hoe zij omgaat met belangenconflicten en hoe zij de kwaliteit van haar auditprocessen borgt.
Naast de basisnorm gelden voor ISO 27001-audits aanvullende sectorspecifieke competentie-eisen, vastgelegd in ISO/IEC 27006. Dit document specificeert welke kennis en ervaring auditors moeten bezitten om informatiebeveiliging op een deskundige manier te beoordelen. Een geaccrediteerde certificerende instelling toont aan al deze eisen te voldoen, niet alleen op papier, maar ook in de dagelijkse praktijk.
Hoe controleer je of een certificerende instelling echt geaccrediteerd is?
Je controleert of een geaccrediteerde certificeringsinstelling daadwerkelijk erkend is door het accreditatienummer op te zoeken in het openbare register van de Raad voor Accreditatie (RvA). Dit register is gratis toegankelijk via de website van de RvA en toont welke instellingen geaccrediteerd zijn, voor welke normen en tot wanneer de accreditatie geldig is.
Concrete stappen om de accreditatie te verifiëren:
- Vraag de certificerende instelling naar haar accreditatienummer.
- Ga naar het openbare register op de website van de RvA.
- Zoek het nummer op en controleer of ISO 27001 (en eventueel ISO/IEC 27006) expliciet in de scope staat vermeld.
- Controleer de geldigheidsdatum van de accreditatie.
- Ga na of de instelling lid is van een erkende brancheorganisatie, zoals Cyberveilig Nederland.
Wij zijn bij DigiTrust geaccrediteerd door de RvA onder nummer C618. Dit nummer is openbaar verifieerbaar en geeft organisaties de zekerheid dat onze ISO 27001-certificering voldoet aan alle internationale onafhankelijkheidseisen.
Wat zijn de tekenen dat een certificerende instelling niet onafhankelijk is?
Een certificerende instelling is mogelijk niet onafhankelijk als zij ook consultancy of implementatiehulp aanbiedt aan dezelfde organisatie die zij certificeert, als zij geen aantoonbare accreditatie heeft of als zij druk uitoefent om snel een certificaat te verlenen zonder grondige audit. Dit zijn duidelijke rode vlaggen die de betrouwbaarheid van een ISO 27001-audit ondermijnen.
Let specifiek op de volgende waarschuwingssignalen:
- Geen accreditatienummer: De instelling kan geen verifieerbaar RvA-nummer of vergelijkbare accreditatie overleggen.
- Gecombineerde rollen: Dezelfde persoon of hetzelfde bedrijf heeft zowel geholpen met de implementatie als de audit uitgevoerd.
- Onrealistische doorlooptijden: Een volledige ISO 27001-certificering die in enkele dagen wordt beloofd, zonder serieuze auditactiviteiten.
- Vage contractvoorwaarden: Geen duidelijkheid over wat de audit inhoudt, welke auditors worden ingezet of hoe bevindingen worden gerapporteerd.
- Financiële afhankelijkheid: De instelling is voor een onevenredig groot deel van haar omzet afhankelijk van één klant, wat objectiviteit kan aantasten.
Onpartijdigheid is niet alleen een formele eis, maar ook een praktische noodzaak. Een audit die niet onafhankelijk is uitgevoerd, levert een certificaat op dat weinig zegt over de werkelijke staat van informatiebeveiliging binnen een organisatie.
Wat is het verschil tussen een geaccrediteerde en een niet-geaccrediteerde certificering?
Een geaccrediteerde certificering is afgegeven door een instelling die door een erkende nationale accreditatie-instantie is beoordeeld en goedgekeurd. Een niet-geaccrediteerde certificering mist die externe toetsing, waardoor de waarde en betrouwbaarheid ervan niet gegarandeerd zijn. Voor aanbestedingen, wet- en regelgeving en internationale erkenning is een geaccrediteerde certificering doorgaans de enige geldige optie.
Het verschil in praktische waarde is aanzienlijk:
- Internationale erkenning: Geaccrediteerde certificaten worden wereldwijd erkend via de IAF MLA-overeenkomst. Niet-geaccrediteerde certificaten hebben geen vergelijkbare status.
- Wettelijke en contractuele vereisten: Overheden, aanbestedende diensten en grote opdrachtgevers eisen vrijwel altijd een geaccrediteerd certificaat. Een niet-geaccrediteerd certificaat voldoet hier niet aan.
- Toezicht en kwaliteitsborging: Geaccrediteerde instellingen worden periodiek gecontroleerd door de accreditatie-instantie. Niet-geaccrediteerde instellingen kennen geen vergelijkbaar extern toezicht.
- Auditorbekwaamheid: Geaccrediteerde instellingen moeten aantonen dat hun auditors voldoen aan vastgelegde competentie-eisen. Bij niet-geaccrediteerde instellingen ontbreekt deze garantie.
Kortom: een niet-geaccrediteerde certificering kan op papier lijken op een echte ISO 27001-certificering, maar biedt geen aantoonbare garantie voor de kwaliteit van het auditproces of de onafhankelijkheid van de instelling.
Welke vragen kun je een certificerende instelling stellen om onafhankelijkheid te toetsen?
Om de onafhankelijkheid van een ISO 27001-certificerende instelling te toetsen, stel je vragen die gericht zijn op haar accreditatiestatus, de scheiding van rollen en de manier waarop zij omgaat met mogelijke belangenconflicten. Een betrouwbare instelling beantwoordt deze vragen transparant en volledig.
Gebruik de volgende vragen als leidraad bij je beoordeling:
- Wat is uw accreditatienummer en bij welke accreditatie-instantie bent u geaccrediteerd? Dit is de meest directe manier om de formele onafhankelijkheid te verifiëren.
- Biedt u ook consultancy of implementatieondersteuning aan bij dezelfde organisaties die u certificeert? Een instelling die beide doet voor dezelfde klant, heeft een potentieel belangenconflict.
- Hoe waarborgt u de onpartijdigheid van uw auditors? Vraag naar concrete procedures, zoals roulatie van auditors of een onpartijdigheidscomité.
- Welke opleiding en ervaring hebben uw auditors op het gebied van informatiebeveiliging? Bekwaamheid en onafhankelijkheid gaan hand in hand bij een kwalitatieve ISO 27001-audit.
- Hoe gaat u om met bevindingen die negatief uitpakken voor de klant? Een onafhankelijke instelling rapporteert bevindingen objectief, ook als dit betekent dat een certificaat (nog) niet wordt afgegeven.
- Kunt u referenties of openbare informatie over uw auditprocessen delen? Transparantie over werkwijze en resultaten is een kenmerk van een betrouwbare instelling.
Een certificerende instelling die moeite heeft met het beantwoorden van deze vragen, of die antwoorden geeft die vaag of ontwijkend zijn, verdient nader onderzoek. Onafhankelijkheid is geen bijzaak, maar de kern van wat een ISO 27001-certificering zijn waarde geeft. Wil je weten hoe wij bij DigiTrust omgaan met onafhankelijkheid en onpartijdigheid? Neem contact op voor een vrijblijvend gesprek met een van onze auditors.
Veelgestelde vragen
Wat maakt een ISO 27001-certificerende instelling echt onafhankelijk?
V: Wat maakt een ISO 27001-certificerende instelling echt onafhankelijk? A: Een certificerende instelling is echt onafhankelijk wanneer zij beschikt over een geldige accreditatie van een erkende instantie, zoals de Raad voor Accreditatie (RvA), en geen consultancy verleent aan de organisaties die zij certificeert. Dit garandeert dat de audit objectief wordt uitgevoerd en het certificaat daadwerkelijk iets zegt over de staat van informatiebeveiliging.
Hoe controleer ik of een certificerende instelling daadwerkelijk geaccrediteerd is?
V: Hoe controleer ik of een certificerende instelling daadwerkelijk geaccrediteerd is? A: Je kunt dit eenvoudig nagaan door het accreditatienummer van de instelling op te zoeken in het openbare register op de website van de Raad voor Accreditatie (RvA), waar je direct kunt zien voor welke normen de accreditatie geldt en tot wanneer deze geldig is. Een betrouwbare instelling deelt haar accreditatienummer altijd transparant en zonder aarzeling.
Waarom is een geaccrediteerde certificering belangrijker dan een niet-geaccrediteerde?
V: Waarom is een geaccrediteerde certificering belangrijker dan een niet-geaccrediteerde? A: Een geaccrediteerde certificering wordt internationaal erkend via de IAF MLA-overeenkomst en is vrijwel altijd vereist bij aanbestedingen, wettelijke verplichtingen en contracten met grote opdrachtgevers, terwijl een niet-geaccrediteerd certificaat geen vergelijkbare status of externe kwaliteitsborging biedt. Zonder accreditatie is er geen garantie dat het auditproces onafhankelijk en deskundig is uitgevoerd.
Welke waarschuwingssignalen wijzen erop dat een certificerende instelling niet betrouwbaar is?
V: Welke waarschuwingssignalen wijzen erop dat een certificerende instelling niet betrouwbaar is? A: Rode vlaggen zijn onder meer het ontbreken van een verifieerbaar accreditatienummer, het combineren van consultancy en certificering voor dezelfde klant, en het beloven van een volledig certificaat binnen onrealistisch korte tijd zonder grondige auditactiviteiten. Deze signalen wijzen op een gebrek aan onpartijdigheid en ondermijnen de betrouwbaarheid van het afgegeven certificaat.
