Een certificaat vervalt tijdens een heraudit wanneer je de surveillanceaudit of hercertificeringsaudit niet binnen de gestelde termijn uitvoert, of wanneer tijdens de audit zoveel tekortkomingen worden gevonden dat de certificerende instelling het certificaat intrekt. De meest effectieve manier om dit te voorkomen is een strak intern planningsproces combineren met continu onderhoud van je informatiebeveiligingssysteem. In dit artikel beantwoorden we de meest gestelde vragen over het geldig houden van je certificering. Heb je direct een vraag? Neem gerust contact op en wij helpen je graag verder.
Wat gebeurt er als je een heraudit niet op tijd haalt?
Als je een heraudit niet op tijd haalt, verliest je organisatie het recht om het certificaat te voeren. De certificerende instelling trekt de certificaatstatus in, wat betekent dat je richting klanten, opdrachtgevers en aanbestedende partijen niet langer kunt aantonen dat je voldoet aan de norm. Dit kan directe commerciële gevolgen hebben, zeker als het certificaat als eis in contracten of aanbestedingen staat vermeld.
In de praktijk betekent een verlopen certificaat dat je opnieuw een volledig certificeringstraject moet doorlopen. Dat is tijdrovender en kostbaarder dan een reguliere heraudit. Bovendien kan het de vertrouwensrelatie met klanten schaden, omdat een onderbreking in de certificering vragen oproept over de continuïteit van je informatiebeveiligingsbeheer.
Hoeveel tijd heb je voor een heraudit na de initiële certificering?
Na de initiële certificering heb je een certificaatcyclus van drie jaar. Binnen die cyclus vinden jaarlijkse surveillanceaudits plaats, doorgaans in het eerste en tweede jaar na certificering. In het derde jaar volgt de hercertificeringsaudit. De exacte deadlines worden vastgelegd in de certificatiedocumentatie die je ontvangt van de certificerende instelling.
Het is belangrijk te weten dat de surveillanceaudit niet op een willekeurig moment mag plaatsvinden. De meeste accreditatienormen schrijven voor dat de audit binnen twaalf maanden na de vorige audit wordt uitgevoerd, met een toegestane marge van doorgaans enkele weken. Stel de planning dus niet uit tot het laatste moment. Plan de heraudit bij voorkeur twee tot drie maanden voor de deadline, zodat er ruimte is voor eventuele voorbereidingen of herstelacties.
Welke documenten en bewijzen moet je klaar hebben voor een heraudit?
Voor een heraudit ISO 27001 moet je kunnen aantonen dat je managementsysteem actief is onderhouden. Dat betekent dat je concrete bewijzen nodig hebt van de werking van je informatiebeveiligingsbeheersysteem (ISMS) over de afgelopen periode. De auditor beoordeelt niet alleen of beleid op papier staat, maar ook of het in de praktijk wordt toegepast.
Zorg in ieder geval dat de volgende documentatie actueel en beschikbaar is:
- Bijgewerkte risicoanalyse en risicobehandelingsplan
- Verslagen van interne audits en managementreviews
- Registraties van beveiligingsincidenten en de afhandeling daarvan
- Bewijs van uitgevoerde bewustwordingstrainingen voor medewerkers
- Actuele Verklaring van Toepasselijkheid (Statement of Applicability)
- Logboeken van toegangsbeheer, patchbeheer en andere operationele maatregelen
Ontbreekt een van deze onderdelen of is de documentatie verouderd, dan vergroot dat de kans op een non-conformiteit. Onze aanpak rond informatiebeveiliging is erop gericht om organisaties te helpen dit continu op orde te houden, niet alleen vlak voor een audit.
Wat zijn de meest voorkomende redenen waarom certificaten toch vervallen?
Certificaten vervallen het vaakst door een combinatie van planningsproblemen en verwaarloosde documentatie. Organisaties die na de initiële certificering de aandacht verslappen, lopen het grootste risico. De herauditvoorbereiding wordt dan een inhaalslag in plaats van een logische vervolgstap.
De meest voorkomende oorzaken zijn:
- Te laat plannen: De heraudit wordt niet tijdig ingepland, waardoor de deadline wordt overschreden.
- Verouderde documentatie: Beleid, procedures en risicoanalyses zijn niet bijgewerkt na wijzigingen in de organisatie of de technische omgeving.
- Geen interne audits uitgevoerd: Zonder bewijs van interne audits kan de externe auditor niet vaststellen dat het systeem functioneert.
- Ontbrekende managementbetrokkenheid: Als het management de jaarlijkse review niet heeft uitgevoerd, ontbreekt een verplicht onderdeel van de norm.
- Onopgeloste non-conformiteiten: Bevindingen uit de vorige audit die niet zijn afgehandeld, kunnen leiden tot intrekking van het certificaat.
Hoe bereid je je organisatie voor op een heraudit?
Een goede herauditvoorbereiding begint niet een maand voor de audit, maar direct na de vorige. Door het ISMS actief te beheren als een doorlopend proces in plaats van een eenmalig project, is de organisatie op elk moment klaar voor een audit. Certificering behouden is een kwestie van continuïteit, niet van een periodieke sprint.
Stap 1: Houd je ISMS-documentatie continu actueel
Zorg dat wijzigingen in de organisatie, systemen of processen direct worden verwerkt in de relevante documentatie. Denk aan een nieuwe leverancier, een reorganisatie of een aanpassing in de IT-infrastructuur. Elke wijziging kan invloed hebben op je risicoanalyse en de toepasselijkheid van maatregelen.
Stap 2: Plan interne audits en managementreviews structureel in
Voer minimaal één interne audit per jaar uit en zorg dat de directie een formele managementreview houdt. Leg beide activiteiten vast met verslagen die als bewijs kunnen dienen. Gebruik de bevindingen actief om verbeteringen door te voeren. Zo laat je zien dat het systeem niet stilstaat.
Wat kun je doen als je certificaat toch is verlopen?
Als je certificaat is verlopen, is de eerste stap contact opnemen met een gecertificeerde auditinstelling om te bespreken wat de meest efficiënte route is naar hernieuwde certificering. In de meeste gevallen moet je opnieuw een volledige initiële audit doorlopen, omdat er geen actief certificaat meer is waarop een surveillanceaudit of hercertificering kan voortbouwen.
Dit betekent niet dat al het werk verloren is. Als je ISMS grotendeels intact is en de documentatie redelijk actueel, kan een nieuwe initiële certificering sneller verlopen dan de eerste keer. Breng eerst in kaart welke onderdelen van het systeem nog voldoen en waar de grootste hiaten zitten. Prioriteer het herstel van die hiaten voordat je de audit inplant.
Wees ook transparant richting klanten en opdrachtgevers over de situatie en het tijdpad voor hernieuwde certificering. Organisaties die proactief communiceren over een tijdelijke onderbreking, herstellen het vertrouwen sneller dan organisaties die de situatie proberen te verdoezelen. Een verlopen certificaat is vervelend, maar het is herstelbaar. Neem contact op en wij denken graag met je mee over de snelste weg terug naar een geldig certificaat.
Veelgestelde vragen
Wat zijn de gevolgen als mijn certificaat verloopt tijdens een heraudit?
Als je certificaat verloopt, mag je het niet langer voeren richting klanten, opdrachtgevers of bij aanbestedingen, wat directe commerciële schade kan veroorzaken. Je moet dan een volledig nieuw certificeringstraject doorlopen, wat aanzienlijk meer tijd en kosten met zich meebrengt dan een reguliere heraudit of surveillanceaudit.
Hoe lang is een ISO 27001-certificaat geldig en wanneer moet ik een heraudit plannen?
Een ISO 27001-certificaat heeft een geldigheidscyclus van drie jaar, met jaarlijkse surveillanceaudits in het eerste en tweede jaar en een hercertificeringsaudit in het derde jaar. Plan de heraudit bij voorkeur twee tot drie maanden voor de deadline om voldoende ruimte te hebben voor voorbereiding en eventuele herstelacties.
Waarom vervallen certificaten het vaakst ondanks goede intenties?
Certificaten vervallen meestal door een combinatie van te laat plannen, verouderde documentatie en ontbrekende interne audits of managementreviews na de initiële certificering. Organisaties die hun ISMS na certificering niet actief blijven onderhouden, belanden vlak voor de heraudit in een tijdrovende inhaalslag die het certificaat in gevaar brengt.
Hoe kan ik mijn organisatie het beste voorbereiden op een heraudit?
De beste voorbereiding begint direct na de vorige audit door het ISMS continu te onderhouden als een doorlopend proces, met actuele documentatie, jaarlijkse interne audits en formele managementreviews. Zo is je organisatie op elk moment klaar voor een audit en voorkom je een stressvolle sprint vlak voor de deadline.
Gerelateerde artikelen
- Hoe verloopt een ISO 27001 certificering als onderaannemer in een keten?
- Wat kost het je als je geen ISO 27001 certificaat hebt bij een aanbesteding?
- Wat zijn de gevolgen van een beveiligingsincident voor patiënten?
- Wat betekent het als een consultant zegt dat je klaar bent voor certificering?
- Wat zijn jaarlijkse controle-audits?
