Hoe verloopt een ISO 27001 certificering als onderaannemer in een keten?

Als onderaannemer in een keten doorloop je een ISO 27001-certificering op dezelfde manier als elke andere organisatie: je implementeert een Information Security Management System (ISMS), laat dit door een geaccrediteerde auditinstelling beoordelen en ontvangt bij een positieve uitkomst een certificaat met een geldigheid van drie jaar. Het verschil zit in de scope en de context: als onderaannemer wordt je ISMS sterk bepaald door de diensten die je levert aan je hoofdaannemer en de informatie die je daarvoor verwerkt. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001-certificering als onderaannemer in een keten. Heb je al vragen voordat je verder leest? Neem gerust contact op en wij helpen je graag verder.

Wat eist een hoofdaannemer van jou als onderaannemer qua ISO 27001?

Een hoofdaannemer eist van een onderaannemer doorgaans dat aantoonbaar wordt gemaakt hoe vertrouwelijke informatie wordt beschermd. In de praktijk betekent dit dat je als onderaannemer ofwel een geldig ISO 27001-certificaat overlegt, ofwel via een alternatief mechanisme aantoont dat je informatiebeveiliging structureel op orde is. Welke eis precies geldt, verschilt per opdrachtgever en sector.

Steeds meer hoofdaannemers leggen de eis voor een ISO 27001-certificering vast in contracten, aanbestedingsdocumenten of leveranciersovereenkomsten. Dit komt mede door de toegenomen aandacht voor informatiebeveiliging en de NIS2-richtlijn, die organisaties verplicht hun toeleveranciersketen actief te beheren. Een hoofdaannemer die zelf ISO 27001-gecertificeerd is, heeft bovendien de verplichting om te controleren of zijn leveranciers en onderaannemers voldoende beveiligingsmaatregelen treffen.

Naast een certificaat kunnen hoofdaannemers ook vragen om inzage in je risicoanalyse, beveiligingsbeleid of de resultaten van recente audits. Transparantie en aantoonbaarheid staan daarbij centraal.

Moet een onderaannemer een volledige ISO 27001-certificering halen?

Niet altijd, maar in de meeste gevallen is een volledige ISO 27001-certificering de sterkste en meest geaccepteerde manier om ketenverantwoordelijkheid aan te tonen. Alternatieve bewijsmiddelen zoals zelfevaluaties of ingevulde vragenlijsten worden steeds minder geaccepteerd, zeker bij grotere opdrachtgevers of in sectoren met een hoog risicoprofiel.

Of een volledige certificering vereist is, hangt af van een aantal factoren:

• De gevoeligheid van de informatie die je als onderaannemer verwerkt
• De contractuele eisen van de hoofdaannemer
• De sector waarin de keten actief is (zorg, overheid en kritieke infrastructuur stellen doorgaans hogere eisen)
• Aanbestedingsregels of sectorspecifieke normenkaders

In sectoren zoals de zorg geldt bovendien de NEN 7510 als aanvullende norm naast ISO 27001. Voor onderaannemers die actief zijn in meerdere ketens is een volledige certificering vrijwel altijd de meest efficiënte keuze: het certificaat is breed inzetbaar en hoeft niet per opdrachtgever opnieuw aangetoond te worden.

Hoe bepaal je de scope van je ISMS als onderaannemer?

De scope van je ISMS als onderaannemer omvat alle processen, systemen en informatie die direct verband houden met de diensten die je levert aan de keten. Je begint met het in kaart brengen van welke informatie je verwerkt namens de hoofdaannemer, welke systemen daarvoor worden gebruikt en welke medewerkers daarbij betrokken zijn.

Een veelgemaakte aanpak is om de scope te beginnen bij de contractuele verplichtingen: wat heb je afgesproken te leveren en welke informatiestromen horen daarbij? Vervolgens breid je de scope uit met ondersteunende processen die de veiligheid van die dienstverlening direct beïnvloeden, zoals toegangsbeheer, incidentafhandeling en back-upbeheer.

Let op dat de scope realistisch en afgebakend is. Een te brede scope maakt de certificering onnodig complex en kostbaar. Een te smalle scope wekt wantrouwen bij de hoofdaannemer of de auditor. Een goede scopeafbakening is een van de eerste stappen die we bij DigiTrust samen met je doorlopen, zodat de certificering aansluit bij jouw werkelijkheid als onderaannemer.

Hoe verloopt de auditprocedure voor een onderaannemer stap voor stap?

De auditprocedure voor een onderaannemer volgt dezelfde stappen als een reguliere ISO 27001-certificeringsaudit en bestaat uit twee fasen: een documentatiebeoordeling (fase 1) gevolgd door een implementatieaudit op locatie (fase 2). Bij een positieve uitkomst ontvangt de onderaannemer een certificaat dat drie jaar geldig is.

De procedure verloopt globaal als volgt:

1. Voorbereiding: Je stelt een ISMS op, inclusief beleid, risicoanalyse, risicobehandeling en beheersmaatregelen die aansluiten bij de ISO 27001-norm.
2. Interne audit: Je voert een interne audit uit om te controleren of het ISMS werkt zoals bedoeld en gedocumenteerd.
3. Directiebeoordeling: Het management beoordeelt de werking van het ISMS en stelt verbeteracties vast.
4. Fase 1-audit (documentatiebeoordeling): De externe auditor beoordeelt je documentatie en stelt vast of je klaar bent voor de implementatieaudit.
5. Fase 2-audit (implementatieaudit): De auditor toetst op locatie of de maatregelen daadwerkelijk worden uitgevoerd en effectief zijn.
6. Certificaatuitgifte: Bij een positieve beoordeling ontvang je het ISO 27001-certificaat. Daarna volgen jaarlijkse controle-audits en na drie jaar een hercertificeringsaudit.

Meer informatie over het volledige traject vind je op onze pagina over certificeren.

Wat zijn veelgemaakte fouten bij ISO 27001-certificering in een keten?

De meest voorkomende fout bij ISO 27001-certificering als onderaannemer is een scope die niet aansluit op de werkelijke dienstverlening in de keten. Andere veelgemaakte fouten zijn onvoldoende aandacht voor leveranciersbeheersing, een risicoanalyse die te generiek is en een ISMS dat wel op papier bestaat maar in de praktijk niet wordt toegepast.

Hieronder de fouten die we het vaakst tegenkomen:

• Scope te breed of te smal: Een scope die niet overeenkomt met wat de hoofdaannemer verwacht, leidt tot discussies tijdens de audit of bij contractverlenging.
• Geen aandacht voor ketenrisico’s: Als onderaannemer verwerk je vaak informatie van derden. Risico’s die voortkomen uit die afhankelijkheid worden regelmatig over het hoofd gezien.
• Papieren tijger: Beleid en procedures zijn opgesteld, maar medewerkers kennen ze niet of passen ze niet toe. Auditors zien dit direct.
• Vergeten van bewijs: ISO 27001 vereist aantoonbaarheid. Logbestanden, vergaderverslagen, incidentregistraties: zonder bewijs is het moeilijk een audit te doorstaan.
• Te laat beginnen: Organisaties onderschatten de doorlooptijd van het implementatietraject en komen tijd tekort voor de contractdeadline van de hoofdaannemer.

Hoe lang duurt het certificeringstraject voor een onderaannemer?

Het ISO 27001-certificeringstraject voor een onderaannemer duurt gemiddeld zes tot twaalf maanden, afhankelijk van de omvang van de organisatie, de complexiteit van de dienstverlening en de mate waarin informatiebeveiliging al is ingebed in de bedrijfsvoering. Kleinere organisaties met een duidelijk afgebakende scope kunnen soms binnen zes maanden klaar zijn.

De doorlooptijd wordt bepaald door twee hoofdfasen: de implementatiefase en de auditfase. De implementatiefase, waarin je het ISMS opbouwt, beleid schrijft en maatregelen invoert, neemt doorgaans de meeste tijd in beslag. Hoe volwassener je huidige beveiligingspraktijk, hoe korter deze fase duurt.

De auditfase zelf, bestaande uit de fase 1- en fase 2-audit, is relatief kort. Tussen beide auditfasen zit doorgaans een periode van enkele weken waarin eventuele bevindingen uit de documentatiebeoordeling worden verwerkt.

Wil je weten hoe lang het traject voor jouw organisatie als onderaannemer in een keten zou duren? Neem contact op voor een vrijblijvend gesprek. Wij denken graag met je mee over een realistische planning en een aanpak die past bij jouw situatie.

Gerelateerde artikelen

• Wat doe je als een klant een ISO 27001 certificaat eist en jij nog niet gecertificeerd bent?
• Hoeveel tijd zit er tussen het afronden van de fase 2 audit en de uitgifte van het certificaat?
• ISO 27001 of NEN 7510: welke norm past bij jouw organisatie?
• Waarom vertrouwt een zorgpartner meer op certificering dan op een eigen verklaring?
• Hoe voorkom je ISO 27001 certificeringsproblemen?