De juiste certificerende instelling kies je op basis van accreditatie, sectorervaring en de manier waarop de instelling audits uitvoert. Niet elke instelling is gelijk: de kwaliteit van de audit, de diepgang van het onderzoek en de kennis van jouw branche kunnen sterk verschillen. In dit artikel beantwoorden we de meest gestelde vragen, zodat je een weloverwogen keuze kunt maken. Twijfel je of wil je direct advies? Neem gerust contact op en we helpen je verder.
Welke criteria bepalen of een certificerende instelling betrouwbaar is?
Een betrouwbare certificerende instelling beschikt over een officiële accreditatie van een nationale accreditatie-instantie, heeft aantoonbare ervaring met de relevante norm en werkt met gekwalificeerde auditors. Daarnaast is transparantie over het auditproces een belangrijk kenmerk: een serieuze instelling legt helder uit wat er wordt getoetst, hoe het proces verloopt en wat de uitkomsten betekenen.
Naast accreditatie zijn er nog enkele concrete criteria die je kunt gebruiken om instellingen te beoordelen:
- Onafhankelijkheid: een certificerende instelling mag geen advies- of implementatiediensten aanbieden aan dezelfde klant die zij certificeert. Dit borgt de objectiviteit van het oordeel.
- Auditorskwalificaties: controleer of de auditors gekwalificeerd zijn voor de specifieke norm die jij nastreeft, zoals ISO 27001 certificering of NEN 7510.
- Klantreferenties en beoordelingen: ervaringen van andere organisaties geven een realistisch beeld van de werkwijze en kwaliteit van de instelling.
- Communicatie en begeleiding: een goede instelling communiceert helder over planning, bevindingen en vervolgstappen, zonder vakjargon dat meer verwarring dan duidelijkheid brengt.
Wat is het verschil tussen een geaccrediteerde en een niet-geaccrediteerde instelling?
Een geaccrediteerde certificerende instelling is formeel beoordeeld en goedgekeurd door een nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland. Een niet-geaccrediteerde instelling heeft deze toetsing niet ondergaan. Het verschil is cruciaal: alleen een certificaat van een geaccrediteerde instelling heeft internationale erkenning en voldoet aan de eisen van aanbestedingen, klanten en toezichthouders.
De RvA-accreditatie garandeert dat de instelling voldoet aan de internationale norm ISO/IEC 17021, die eisen stelt aan competentie, onpartijdigheid en consistentie van certificeringsprocessen. Zonder die accreditatie heeft een certificaat juridisch en commercieel weinig waarde. Sommige opdrachtgevers accepteren zelfs expliciet alleen certificaten van RvA-geaccrediteerde instellingen.
Een praktisch aandachtspunt: vraag altijd naar het accreditatienummer van de instelling en verifieer dit via de openbare registers van de RvA. Wij zijn bijvoorbeeld geaccrediteerd onder RvA C618, wat je direct kunt controleren. Transparantie hierover is voor elke serieuze auditinstelling vanzelfsprekend.
Hoe weet je of een certificerende instelling ervaring heeft in jouw sector?
Je kunt de sectorervaring van een certificerende instelling beoordelen door te vragen naar referenties binnen jouw branche, de achtergrond van de ingezette auditors te bekijken en te toetsen of de instelling vertrouwd is met sectorspecifieke regelgeving die naast de norm geldt. Generieke auditkennis is niet altijd voldoende: een zorginstelling die NEN 7510 certificering nastreeft, heeft andere context nodig dan een softwarebedrijf dat ISO 27001 wil behalen.
Sectorervaring uit zich op meerdere manieren. Een auditor met een achtergrond in de zorgsector begrijpt de verwevenheid van informatiebeveiliging met patiëntgegevens en medische systemen. Een auditor met IT-achtergrond kan technische omgevingen zoals cloudomgevingen of OT-systemen beter beoordelen. Vraag de instelling dan ook concreet: welke auditors zetten jullie in voor mijn sector, en wat is hun achtergrond?
Kijk ook naar de sectoren die de instelling actief bedient. Werkt zij structureel met ICT-bedrijven, overheden, zorginstellingen of de maakindustrie? Dat geeft een indicatie van de breedte en diepte van de sectorkennis.
Welke vragen moet je stellen voordat je een certificerende instelling kiest?
Voordat je een certificerende instelling kiest, moet je minimaal vragen naar de accreditatiestatus, de ervaring met jouw specifieke norm en sector, de samenstelling van het auditteam en de manier waarop bevindingen worden teruggekoppeld. Deze vragen helpen je om instellingen objectief te vergelijken en verrassingen tijdens het traject te voorkomen.
Een praktische lijst met vragen die je kunt stellen:
- Bent u geaccrediteerd door de RvA voor de norm die ik nastreef, en wat is uw accreditatienummer?
- Welke auditors worden ingezet voor mijn certificeringstraject, en wat is hun achtergrond?
- Heeft u ervaring met organisaties in mijn sector of van vergelijkbare omvang?
- Hoe verloopt de communicatie tijdens het auditproces, en hoe worden bevindingen teruggekoppeld?
- Wat zijn de kosten en wat is inbegrepen in het tarief?
- Hoe gaat u om met tekortkomingen die tijdens de audit worden gevonden?
De antwoorden op deze vragen geven je niet alleen inzicht in de kwaliteit van de instelling, maar ook in de manier van samenwerken. Een instelling die moeite heeft met transparante antwoorden op deze basisvragen is mogelijk niet de partner die je zoekt.
Maakt het uit welke certificerende instelling je kiest als de norm hetzelfde is?
Ja, het maakt zeker uit. Hoewel de norm die wordt gecertificeerd overal gelijk is, verschilt de kwaliteit van de audit, de diepgang van de beoordeling en de toegevoegde waarde voor jouw organisatie sterk per instelling. Een certificaat van een geaccrediteerde instelling met sectorervaring en gekwalificeerde auditors heeft meer gewicht dan een certificaat van een instelling die de norm oppervlakkig toetst.
Een audit is meer dan een administratieve horde. De beste instellingen brengen niet alleen in kaart waar je niet aan de norm voldoet, maar ook waar je organisatie al sterk is en hoe je je beveiliging structureel kunt verbeteren. Dat is precies wat wij bedoelen met waarderend auditen: een aanpak waarbij sterke punten worden erkend en verbeterpunten constructief worden besproken.
Daarnaast speelt de reputatie van de instelling mee bij externe partijen. Klanten, aanbesteders en toezichthouders kennen soms specifieke instellingen en hechten waarde aan de naam achter het certificaat. Kies dus niet alleen op prijs, maar op de combinatie van accreditatie, vakkennis en de manier waarop de instelling jouw organisatie door het certificeringstraject begeleidt.
Wil je weten of wij de juiste partner zijn voor jouw certificering informatiebeveiliging? Neem contact op en we bespreken vrijblijvend wat we voor jouw organisatie kunnen betekenen.
Veelgestelde vragen
Wat maakt een geaccrediteerde certificerende instelling betrouwbaarder dan een niet-geaccrediteerde?
Een geaccrediteerde instelling is officieel getoetst door een nationale accreditatie-instantie zoals de RvA en voldoet aan de internationale norm ISO/IEC 17021, wat onpartijdigheid en competentie garandeert. Alleen een certificaat van zo’n instelling wordt erkend door klanten, aanbesteders en toezichthouders, en heeft daardoor echte juridische en commerciële waarde.
Hoe controleer ik of een certificerende instelling echt geaccrediteerd is?
Vraag de instelling naar haar accreditatienummer en verifieer dit via het openbare register van de Raad voor Accreditatie op de RvA-website. Een serieuze instelling geeft dit nummer zonder aarzeling en is volledig transparant over de scope van haar accreditatie, zodat je zeker weet dat de juiste norm gedekt is.
Waarom is sectorervaring van een certificerende instelling zo belangrijk?
Een auditor met kennis van jouw sector begrijpt de specifieke context, regelgeving en risico’s die bij jouw organisatie horen, waardoor de audit diepgaander en relevanter is. Zonder die sectorkennis bestaat het risico dat de audit oppervlakkig blijft en dat belangrijke, branchespecifieke kwetsbaarheden of vereisten over het hoofd worden gezien.
Welke vragen stel ik het beste aan een certificerende instelling vóór ik een keuze maak?
Vraag minimaal naar de accreditatiestatus en het accreditatienummer, de achtergrond van de auditors die worden ingezet, ervaring met jouw sector en de manier waarop bevindingen worden teruggekoppeld. De kwaliteit en transparantie van de antwoorden geven je direct een goed beeld van hoe de instelling werkt en of zij de juiste partner voor jou is.
Gerelateerde artikelen
- Hoe beoordeel je of het ISO 27001 certificaat van een leverancier echt geldig is?
- Hoe reageer je richting een klant die op korte termijn een ISO 27001 certificaat verwacht?
- Hoe werkt een gecombineerde audit voor ISO 27001 en NEN 7510?
- Hoe verloopt een overstap naar een andere certificerende instelling?
- Welke software helpt bij ISMS beheer?
