Hoe herken je of een certificerende instelling voldoende scope-specifieke accreditatie heeft?

Je herkent of een certificerende instelling voldoende scope-specifieke accreditatie heeft door de officiële accreditatiestatus te controleren via het register van de Raad voor Accreditatie (RvA) en te verifiëren dat de genoemde norm én het toepassingsgebied expliciet in het accreditatiebesluit zijn opgenomen. Een instelling kan geaccrediteerd zijn voor ISO 9001, maar niet voor ISO 27001 of informatiebeveiliging; die specifieke scope maakt het verschil tussen een geldig en een ongeldig certificaat voor jouw situatie. In dit artikel beantwoorden we de meest gestelde vragen over scope-specifieke accreditatie, zodat je als organisatie een weloverwogen keuze maakt bij het selecteren van een auditinstelling. Heb je al een concrete vraag? Neem gerust contact op en wij helpen je verder.

Wat betekent het als een accreditatie scope-specifiek is?

Een scope-specifieke accreditatie betekent dat een certificerende instelling niet in het algemeen is goedgekeurd, maar uitsluitend voor een welomschreven combinatie van norm, sector en type organisatie. De accrediterende instantie heeft getoetst of de instelling de vereiste kennis, methodiek en onafhankelijkheid bezit voor precies dat toepassingsgebied, en niet breder.

In de praktijk betekent dit dat een auditinstelling die geaccrediteerd is voor informatiebeveiliging aantoonbaar beschikt over auditors met de juiste vakkennis op dat specifieke terrein. De scope omschrijft welke normen (zoals ISO 27001 of NEN 7510), welke sectoren en welke typen organisaties de instelling mag certificeren. Staat jouw sector of norm niet in de scope, dan is het afgegeven certificaat formeel niet geldig voor accreditatiedoeleinden.

Dit onderscheid is relevant omdat veel organisaties ervan uitgaan dat iedere geaccrediteerde instelling automatisch bevoegd is voor elke norm. Dat is een misverstand. Een instelling met een brede ISO 9001-accreditatie heeft daarmee niet automatisch het recht om ISO 27001-certificaten af te geven die door opdrachtgevers of toezichthouders worden erkend.

Waar vind je de officiële accreditatiegegevens van een certificerende instelling?

De officiële accreditatiegegevens van een certificerende instelling vind je in het publieke register van de Raad voor Accreditatie (RvA), te raadplegen via de website van de RvA. Iedere geaccrediteerde instelling heeft een uniek accreditatienummer en een bijbehorend accreditatiebesluit waarin de exacte scope staat beschreven.

Zoek in het register op de naam van de instelling of haar accreditatienummer. Het accreditatiebesluit dat je daar vindt, vermeldt:

• Welke normen de instelling mag toepassen (bijvoorbeeld ISO 27001, NEN 7510 of BIO)
• Welke sectoren of organisatietypen binnen de scope vallen
• De geldigheidsduur van de accreditatie
• Eventuele beperkingen of voorwaarden

DigiTrust is als auditinstelling geaccrediteerd door de RvA onder nummer C618. Dit accreditatiebesluit is openbaar en toont precies voor welke normen en sectoren wij bevoegd zijn om audits uit te voeren en certificaten af te geven. Controleer altijd het accreditatiebesluit zelf; een logo op een website is geen bewijs van de actuele scope.

Welke signalen wijzen op een ontoereikende of onjuiste accreditatie?

Signalen die wijzen op een ontoereikende of onjuiste accreditatie zijn onder meer: een ontbrekend of verlopen accreditatienummer, een scope die de gevraagde norm niet noemt, auditors zonder aantoonbare sectorkennis en het niet kunnen overleggen van een actueel accreditatiebesluit op verzoek.

Let in het bijzonder op de volgende waarschuwingssignalen:

• Geen RvA-accreditatie: De instelling is niet terug te vinden in het officiële register, of werkt met een buitenlandse accreditatie die in Nederland niet erkend wordt voor het beoogde doel.
• Verouderd accreditatiebesluit: Accreditaties worden periodiek herbeoordeeld. Een besluit dat al jaren niet vernieuwd is, kan betekenen dat de accreditatie is ingetrokken of gewijzigd.
• Vage of brede scopeomschrijving: Een omschrijving als “managementsystemen in het algemeen” zonder expliciete vermelding van informatiebeveiliging of de specifieke norm is een teken dat de scope mogelijk niet toereikend is.
• Geen sectorspecifieke expertise: Auditors die niet aantoonbaar bekend zijn met jouw branche of de technische context van informatiebeveiliging, kunnen een indicatie zijn dat de instelling buiten haar geaccrediteerde scope opereert.
• Onduidelijkheid over het certificeringsproces: Een betrouwbare instelling legt transparant uit hoe het auditproces verloopt en welke normen van toepassing zijn. Vaagheid hierover is een waarschuwing.

Wat is het verschil tussen accreditatie en certificering?

Accreditatie is de formele erkenning dat een certificerende instelling competent en onafhankelijk genoeg is om certificeringsaudits uit te voeren. Certificering is het resultaat van zo’n audit: de bevestiging dat een organisatie voldoet aan een bepaalde norm. Accreditatie gaat over de instelling; certificering gaat over de organisatie die geauditeerd wordt.

Simpel gezegd: de RvA accrediteert de auditinstelling, en de auditinstelling certificeert vervolgens jouw organisatie. Zonder een geldige accreditatie heeft de certificerende instelling geen erkende bevoegdheid om certificaten af te geven die door opdrachtgevers, toezichthouders of aanbestedende partijen worden geaccepteerd.

Dit onderscheid is in de praktijk cruciaal. Een organisatie kan een certificaat ontvangen van een niet-geaccrediteerde instelling, maar dat certificaat heeft geen formele waarde in aanbestedingen of bij wettelijke verplichtingen. Voor normen als ISO 27001-certificering geldt dat de markt en regelgeving steeds vaker eisen dat het certificaat afkomstig is van een RvA-geaccrediteerde instelling.

Welke vragen kun je een certificerende instelling direct stellen?

Je kunt een certificerende instelling direct vragen naar haar accreditatienummer, de exacte scope van haar accreditatie, de sectorkennis van de betrokken auditors en de meest recente datum van herbeoordeling door de accrediterende instantie. Een betrouwbare instelling beantwoordt deze vragen zonder aarzeling en met concrete documentatie.

Gebruik de volgende vragen als leidraad bij je selectiegesprek:

1. “Wat is uw RvA-accreditatienummer en kan ik het accreditatiebesluit inzien?” — Dit is de meest directe controle op de geldigheid en scope van de accreditatie.
2. “Valt ISO 27001-certificering voor mijn sector expliciet binnen uw accreditatiescope?” — Vraag dit specifiek, ook als de instelling aangeeft geaccrediteerd te zijn.
3. “Welke kennis en ervaring hebben de auditors die mijn audit uitvoeren op het gebied van informatiebeveiliging en mijn branche?” — Sectorspecifieke kennis is essentieel voor een audit die écht waarde toevoegt.
4. “Wanneer heeft de laatste herbeoordeling door de RvA plaatsgevonden?” — Dit geeft inzicht in hoe actueel de accreditatie is.
5. “Wordt mijn certificaat opgenomen in een openbaar certificatenregister?” — Erkende certificaten zijn doorgaans raadpleegbaar via een publiek register.

Een instelling die moeite heeft met het beantwoorden van deze vragen, of die geen concrete documentatie kan overleggen, is een signaal om verder te zoeken. Wil je weten hoe wij bij DigiTrust deze vragen beantwoorden en wat onze scope-specifieke accreditatie voor jouw organisatie betekent? Neem contact op en plan een vrijblijvend kennismakingsgesprek.

Gerelateerde artikelen

• Hoe kies je tussen dezelfde of een andere certificerende instelling bij ISO 27001 hercertificering?
• Wat gebeurt er concreet nadat een auditor een afwijking heeft vastgesteld?
• Hoe pak je het aan als je een ISO 27001 certificering wilt halen?
• Kun je meedoen aan een aanbesteding zonder ISO 27001 certificering?
• Welke software helpt bij ISMS beheer?