Na het behalen van een ISO 27001-certificering worden jaarlijkse surveillance audits uitgevoerd. Het certificaat heeft een geldigheidsduur van drie jaar, en in elk van de twee tussenliggende jaren vindt een surveillance audit plaats om te controleren of het managementsysteem nog steeds voldoet aan de norm. Dit geldt voor alle gecertificeerde organisaties, ongeacht sector of omvang. In dit artikel beantwoorden we de meest gestelde vragen over de ISO 27001-auditcyclus. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en wij helpen je graag verder.
Wat gebeurt er na het behalen van een ISO 27001-certificaat?
Na het behalen van een ISO 27001-certificaat begint een driejarige certificeringscyclus. Het certificaat is drie jaar geldig, maar de gecertificeerde status wordt niet automatisch gehandhaafd. Gedurende die drie jaar moet de organisatie aantonen dat het Information Security Management System (ISMS) actief wordt onderhouden en verbeterd.
De cyclus bestaat uit drie fasen:
- Jaar 1: Initiële certificering, gevolgd door de eerste surveillance audit.
- Jaar 2: Tweede surveillance audit.
- Jaar 3: Hercertificeringsaudit voor verlenging van het certificaat.
Na een positieve hercertificeringsaudit begint de cyclus opnieuw. Dit ritme zorgt ervoor dat informatiebeveiliging geen eenmalig project is, maar een structureel onderdeel van de bedrijfsvoering blijft. Organisaties die dit goed inrichten, merken dat het systeem steeds volwassener en effectiever wordt.
Hoe vaak worden surveillance audits uitgevoerd?
Surveillance audits worden eenmaal per jaar uitgevoerd. Binnen de driejarige certificeringscyclus vinden er twee surveillance audits plaats: één in het eerste jaar na certificering en één in het tweede jaar. De surveillanceauditfrequentie is vastgelegd in de ISO 27001-norm en geldt voor alle gecertificeerde organisaties wereldwijd.
De exacte timing van de jaarlijkse surveillance audit wordt doorgaans vastgelegd in een auditplan dat na de initiële certificering wordt opgesteld. In de praktijk wordt de audit gepland binnen twaalf maanden na de vorige audit. Kleine afwijkingen in planning zijn soms mogelijk, maar de auditinstelling en accrediterende instantie stellen hier strikte grenzen aan om de integriteit van het certificaat te waarborgen.
Het is belangrijk te weten dat de surveillance audit doorgaans minder uitgebreid is dan de initiële certificeringsaudit. Ze is gericht op specifieke onderdelen van het ISMS, niet op een volledige herbeoordeling van alle controls. Toch is ze geen formaliteit: de auditor beoordeelt kritisch of het systeem in de praktijk werkt.
Wat wordt er tijdens een surveillance audit gecontroleerd?
Tijdens een surveillance audit controleert de auditor of het ISMS nog steeds effectief functioneert en of de organisatie actief werkt aan continue verbetering. De focus ligt op de kernprocessen van het managementsysteem, niet op een volledige herhaling van de initiële audit.
Typische onderwerpen die aan bod komen zijn:
- Interne audits: Zijn deze uitgevoerd en zijn de bevindingen opgevolgd?
- Managementreview: Heeft de directie het ISMS formeel beoordeeld?
- Corrigerende maatregelen: Zijn bevindingen uit vorige audits adequaat afgehandeld?
- Doelstellingen en prestaties: Worden de informatiebeveiligingsdoelstellingen gemeten en gehaald?
- Incidentbeheer: Hoe worden beveiligingsincidenten geregistreerd en afgehandeld?
- Wijzigingen in de organisatie: Zijn nieuwe risico’s of veranderingen in scope adequaat beoordeeld?
Bij DigiTrust benaderen wij de surveillance audit contextgericht. Dat betekent dat we niet alleen toetsen of de documentatie op orde is, maar ook kijken naar wat er in de praktijk daadwerkelijk goed gaat. Onze waarderende aanpak zorgt ervoor dat de audit ook inzicht geeft in sterke punten en verbeterkansen, niet alleen in tekortkomingen.
Wat is het verschil tussen een surveillance audit en een hercertificeringsaudit?
Het belangrijkste verschil is de scope en diepgang. Een surveillance audit is een gerichte tussentijdse controle die specifieke onderdelen van het ISMS beoordeelt. Een hercertificeringsaudit is een volledige herbeoordeling van het gehele managementsysteem, vergelijkbaar in omvang met de initiële certificeringsaudit.
Surveillance audit
De surveillance audit vindt jaarlijks plaats in jaar één en jaar twee van de certificeringscyclus. De auditor beoordeelt een selectie van de ISMS-elementen, met bijzondere aandacht voor de gebieden die in eerdere audits aandacht behoefden en voor de kernelementen van de norm. De tijdsinvestering is doorgaans kleiner dan bij een volledige audit.
Hercertificeringsaudit
De hercertificeringsaudit vindt plaats aan het einde van de driejarige cyclus, in jaar drie. Hierbij wordt het volledige ISMS opnieuw beoordeeld: alle processen, controls, documentatie en de werking in de praktijk. Bij een positieve uitkomst wordt het certificaat verlengd voor een nieuwe periode van drie jaar. De hercertificering is daarmee een volledig nieuw startpunt van de cyclus.
Wat zijn de gevolgen als een surveillance audit wordt gemist of uitgesteld?
Als een surveillance audit wordt gemist of te lang wordt uitgesteld, kan het ISO 27001-certificaat worden geschorst of ingetrokken. De auditinstelling en de accrediterende instantie stellen strikte termijnen. Een certificaat dat niet tijdig wordt gecontroleerd, verliest zijn geldigheid en daarmee ook de waarde die het vertegenwoordigt richting klanten, aanbestedende partijen en toezichthouders.
De praktische gevolgen kunnen aanzienlijk zijn:
- Verlies van het certificaat, waardoor aanbestedingen of samenwerkingsovereenkomsten in gevaar komen.
- Reputatieschade bij klanten en partners die de certificering als vertrouwensbasis gebruiken.
- Mogelijk hogere kosten, omdat bij een lang uitstel een volledigere herbeoordeling nodig kan zijn in plaats van een reguliere surveillance audit.
- Verlies van aansluiting op NIS2-verplichtingen of andere regelgeving waarvoor het certificaat relevant is.
Uitstel is soms onvermijdelijk door bijzondere omstandigheden, maar communiceer dit altijd tijdig met je auditinstelling. In overleg kunnen afspraken worden gemaakt die de impact beperken. Het is in alle gevallen verstandig om de auditplanning proactief te bewaken en ruim van tevoren te plannen.
Wil je zeker weten dat jouw certificeringscyclus goed op koers ligt? Neem contact op met ons team. We denken graag met je mee over de planning van jouw surveillance audits en zorgen voor een soepel en waardevol audittraject.
Veelgestelde vragen
Wat gebeurt er als mijn organisatie niet klaar is voor de surveillance audit?
V: Wat gebeurt er als mijn organisatie niet klaar is voor de surveillance audit? A: Als je organisatie onvoldoende voorbereid is, kan de auditor bevindingen vastleggen die binnen een bepaalde termijn moeten worden opgelost. Communiceer tijdig met je auditinstelling als er knelpunten zijn, zodat er in overleg een realistische planning kan worden gemaakt zonder dat het certificaat direct in gevaar komt.
Hoe kan ik mijn organisatie het beste voorbereiden op een jaarlijkse surveillance audit?
V: Hoe kan ik mijn organisatie het beste voorbereiden op een jaarlijkse surveillance audit? A: Zorg dat interne audits, managementreviews en corrigerende maatregelen het hele jaar door structureel worden uitgevoerd en gedocumenteerd, zodat je niet vlak voor de audit alles hoeft bij te werken. Een continu actief ISMS is de beste voorbereiding, omdat de auditor beoordeelt of informatiebeveiliging echt onderdeel is van de dagelijkse bedrijfsvoering.
Wanneer moet ik beginnen met de voorbereiding op de hercertificeringsaudit?
V: Wanneer moet ik beginnen met de voorbereiding op de hercertificeringsaudit? A: Begin minimaal drie tot zes maanden voor het einde van de driejarige cyclus met de voorbereiding, zodat je voldoende tijd hebt om eventuele tekortkomingen te verhelpen en alle documentatie op orde te brengen. Omdat de hercertificeringsaudit een volledige herbeoordeling is, vergelijkbaar met de initiële certificering, is een tijdige start essentieel om vertragingen of certificaatverlies te voorkomen.
Waarom is het belangrijk om wijzigingen in mijn organisatie tijdig te melden aan de auditinstelling?
V: Waarom is het belangrijk om wijzigingen in mijn organisatie tijdig te melden aan de auditinstelling? A: Significante wijzigingen, zoals een fusie, nieuwe diensten of een uitbreiding van de scope, kunnen invloed hebben op de geldigheid van je certificaat en de opzet van het ISMS. Door dit tijdig te melden, kan de auditinstelling beoordelen of een aanvullende audit nodig is en blijft je certificaat aantoonbaar geldig voor klanten en aanbestedende partijen.
Gerelateerde artikelen
- Hoe wordt een hybride werkomgeving meegenomen in een ISO 27001 audit?
- Wanneer is het juiste moment om een ISO 27001 certificeringsaudit te plannen?
- Wat is het verschil tussen een initiële ISO 27001 certificering en een hercertificering?
- Waarom is de onafhankelijkheid van een certificerende instelling belangrijk?
- Hoe integreer je ISO 27001 met bestaande systemen?
