Hoe herken je een vervalst of ongeldig ISO 27001 certificaat?

Een vervalst of ongeldig ISO 27001-certificaat herken je door te controleren of het certificaat is afgegeven door een geaccrediteerde certificeringsinstelling, of de geldigheidsperiode actueel is, en of het certificaat vindbaar is in een officieel register. Organisaties die een nep certificaat presenteren of werken met een verlopen certificaat, bieden geen enkele garantie dat hun informatiebeveiliging daadwerkelijk op orde is. Als je twijfelt aan de authenticiteit van een certificaat, kun je contact opnemen met een geaccrediteerde auditinstelling voor advies. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001-verificatie.

Waar kun je de geldigheid van een ISO 27001-certificaat controleren?

De geldigheid van een ISO 27001-certificaat controleer je via het register van de accreditatie-instantie die de certificerende instelling heeft geaccrediteerd. In Nederland is dat de Raad voor Accreditatie (RvA). Via de website van de RvA kun je opzoeken welke certificerende instellingen geaccrediteerd zijn en welke certificaten zij hebben afgegeven. Veel geaccrediteerde instellingen bieden ook een eigen online certificaatregister aan.

Naast het RvA-register kun je ook terecht bij internationale databases. Het International Accreditation Forum (IAF) beheert een wereldwijde database van geaccrediteerde certificaten. Als een organisatie beweert ISO 27001-gecertificeerd te zijn, maar het certificaat is nergens terug te vinden in een officieel register, is dat een sterke aanwijzing dat er iets niet klopt. Vraag in dat geval altijd om het originele certificaatdocument en controleer de uitgevende instelling zelfstandig.

Wat zijn de kenmerken van een geldig ISO 27001-certificaat?

Een geldig ISO 27001-certificaat bevat altijd een aantal vaste elementen die de authenticiteit en geldigheid aantonen. Het certificaat vermeldt de naam van de gecertificeerde organisatie, het toepassingsgebied van het certificaat, de afgiftedatum, de vervaldatum en het certificaatnummer. Daarnaast staat er altijd de naam en het accreditatielogo van de uitgevende certificeringsinstelling op vermeld.

Let ook op de volgende kenmerken:

• Verwijzing naar de juiste norm: het certificaat verwijst expliciet naar ISO/IEC 27001 en vermeldt de versie van de norm.
• Geldige looptijd: ISO 27001-certificaten hebben een geldigheid van drie jaar, mits jaarlijkse controle-audits worden uitgevoerd.
• Accreditatielogo: het logo van de nationale of internationale accreditatie-instantie (zoals de RvA) staat op het certificaat.
• Certificaatnummer: een uniek nummer waarmee het certificaat in een register te traceren is.
• Handtekening of officieel kenmerk: een autorisatie van de certificerende instelling.

Ontbreekt een van deze elementen, dan is extra waakzaamheid geboden bij de verificatie van informatiebeveiliging.

Welke signalen wijzen op een vervalst of onbetrouwbaar certificaat?

Signalen van een vervalst of onbetrouwbaar ISO 27001-certificaat zijn onder andere een onbekende of niet-geaccrediteerde uitgevende instelling, een certificaat dat niet vindbaar is in een officieel register, en ontbrekende of inconsistente informatie op het document zelf. Een nep certificaat is vaak moeilijk te herkennen op het eerste gezicht, maar bij nadere controle komen de gebreken snel naar voren.

Concrete waarschuwingssignalen zijn:

• De naam van de certificerende instelling is niet terug te vinden bij de RvA of een vergelijkbare accreditatie-instantie.
• Het certificaat bevat geen uniek certificaatnummer of het nummer is niet verifieerbaar.
• De geldigheidsperiode is verlopen en er zijn geen aanwijzingen dat controle-audits hebben plaatsgevonden.
• Het toepassingsgebied op het certificaat is vaag of extreem breed geformuleerd, zonder specifieke processen of locaties te benoemen.
• De organisatie weigert het certificaat te laten verifiëren of geeft geen contactgegevens van de uitgevende instelling.
• De opmaak van het certificaat wijkt af van de standaard, of logo’s zien er onprofessioneel of aangepast uit.

Wat is het verschil tussen een geaccrediteerd en een niet-geaccrediteerd certificaat?

Een geaccrediteerd ISO 27001-certificaat is afgegeven door een certificerende instelling die zelf is beoordeeld en goedgekeurd door een onafhankelijke accreditatie-instantie, zoals de RvA in Nederland. Een niet-geaccrediteerd certificaat is afgegeven door een instelling zonder die onafhankelijke toetsing, waardoor de betrouwbaarheid en internationale erkenbaarheid niet gegarandeerd zijn.

Het verschil is in de praktijk groot. Een geaccrediteerde certificering volgt strikte internationale procedures voor audits, beoordeling en certificaatverlening. De certificerende instelling wordt zelf regelmatig gecontroleerd op haar werkwijze en vakbekwaamheid. Bij een niet-geaccrediteerde instelling ontbreekt dit externe toezicht volledig. Dat betekent dat een niet-geaccrediteerd certificaat in aanbestedingen, samenwerkingsovereenkomsten en bij toezichthouders vaak niet geaccepteerd wordt.

Wij werken bij DigiTrust uitsluitend als volledig geaccrediteerde auditinstelling (RvA C618), wat betekent dat onze ISO 27001-certificering internationaal erkend en verifieerbaar is.

Wat zijn de risico’s van zakendoen met een organisatie met een ongeldig certificaat?

Zakendoen met een organisatie die een ongeldig of vervalst ISO 27001-certificaat presenteert, brengt aanzienlijke risico’s met zich mee op het gebied van informatiebeveiliging, aansprakelijkheid en compliance. Het certificaat biedt in dat geval geen enkele garantie dat de beveiliging van gegevens daadwerkelijk op orde is, wat directe gevolgen kan hebben voor jouw eigen organisatie.

De voornaamste risico’s zijn:

• Datalekken en beveiligingsincidenten: zonder daadwerkelijke ISO 27001-implementatie zijn beveiligingsmaatregelen mogelijk onvoldoende, wat de kans op incidenten vergroot.
• Juridische aansprakelijkheid: als persoonsgegevens of vertrouwelijke informatie door een beveiligingsincident uitlekken, kan jouw organisatie mede aansprakelijk worden gesteld.
• Compliance-problemen: in sectoren zoals zorg, overheid en kritieke infrastructuur kan het werken met niet-gecertificeerde partijen leiden tot overtredingen van wet- en regelgeving, waaronder de AVG en NIS2.
• Reputatieschade: een incident bij een leverancier of partner met een nep certificaat kan ook de reputatie van jouw eigen organisatie schaden.
• Verlies van aanbestedingen: als achteraf blijkt dat een partner geen geldig certificaat had, kan dit gevolgen hebben voor lopende contracten en toekomstige opdrachten.

Wat kun je doen als je een vervalst ISO 27001-certificaat vermoedt?

Als je vermoedt dat een ISO 27001-certificaat vervalst of ongeldig is, onderneem dan direct actie door het certificaat te verifiëren via het register van de RvA of de genoemde certificerende instelling. Neem bij twijfel ook direct contact op met de uitgevende instelling om de echtheid te bevestigen. Meld vermoedens van fraude bij de relevante toezichthouder.

Praktische stappen die je kunt zetten:

1. Noteer het certificaatnummer, de naam van de uitgevende instelling en de geldigheidsperiode.
2. Zoek de uitgevende instelling op in het RvA-register of het IAF-register om te controleren of zij geaccrediteerd is.
3. Neem direct contact op met de certificerende instelling en vraag om bevestiging van het certificaat op basis van het certificaatnummer.
4. Vraag de betrokken organisatie om aanvullende documentatie, zoals auditrapportages of een verklaring van de certificerende instelling.
5. Meld vermoedens van fraude bij de RvA of, bij ernstige gevallen, bij de Autoriteit Persoonsgegevens of een andere relevante toezichthouder.
6. Overweeg juridisch advies in te winnen als er al contracten of gegevensuitwisseling heeft plaatsgevonden.

Twijfel je over de authenticiteit van een certificaat of wil je zeker weten dat jouw eigen organisatie werkt met een erkende en geaccrediteerde certificeringspartner? Neem contact op met ons team bij DigiTrust. Wij helpen je graag verder met betrouwbare ISO 27001-verificatie en certificering.

Gerelateerde artikelen

• Kun je online controleren of een organisatie ISO 27001 gecertificeerd is?
• Hoe verloopt een overstap naar een andere certificerende instelling?
• Wat is het verschil tussen ISO 27001 en ISO 27002?
• Wat moet je doen als een organisatie sterk veranderd is tijdens de certificaatperiode?
• Hoe implementeer je een ISMS?