Je wapent je organisatie tegen certificaatfraude bij ISO 27001-leveranciers door certificaten altijd te verifiëren via de officiële database van de accrediterende instelling, contractuele verificatieverplichtingen op te nemen en periodieke hercontroles in te plannen. Certificaatfraude in de toeleveringsketen is een reëel risico: een leverancier met een nep ISO 27001-certificaat biedt geen enkele garantie voor de beveiliging van jouw gegevens. In dit artikel beantwoorden we de meest gestelde vragen over het herkennen, verifiëren en contractueel borgen van leverancierscertificering. Heb je vragen over jouw specifieke situatie? Neem gerust contact op met ons team.
Hoe herken je een nep ISO 27001-certificaat?
Een nep ISO 27001-certificaat herken je door te letten op ontbrekende of onverifieerbare accreditatiegegevens, een onbekende certificerende instelling en het ontbreken van een geldig certificaatnummer dat terug te vinden is in een officiële database. Valse certificering van informatiebeveiliging is vaak zichtbaar zodra je de details kritisch bekijkt.
Concrete signalen die kunnen wijzen op een nep ISO 27001-certificaat zijn:
- Geen accreditatiemerk: Een legitiem ISO 27001-certificaat bevat altijd het logo en kenmerk van een geaccrediteerde certificerende instelling, zoals een RvA-kenmerk in Nederland.
- Onbekende certificerende instelling: Is de naam van de uitgevende instelling niet terug te vinden bij een nationale accreditatieraad? Dan is grote voorzichtigheid geboden.
- Verlopen of onvolledige geldigheidsperiode: ISO 27001-certificaten zijn drie jaar geldig, mits jaarlijkse controle-audits worden uitgevoerd. Ontbreekt informatie over de auditcyclus, dan klopt er iets niet.
- Onjuiste scope: Het certificaat moet een duidelijke, specifieke scope beschrijven. Een vaag of allesomvattend toepassingsgebied is een waarschuwingssignaal.
- Geen certificaatnummer: Elk geldig certificaat heeft een uniek nummer waarmee het traceerbaar is.
Vraag bij twijfel altijd om het originele certificaat inclusief bijlagen en controleer dit actief. Vertrouw nooit uitsluitend op een logo op een website of een PDF zonder verdere verificatie.
Waar kun je een ISO 27001-certificaat officieel verifiëren?
Een ISO 27001-certificaat kun je officieel verifiëren via de publieke certificatendatabase van de certificerende instelling zelf of via de database van de nationale accreditatieraad. In Nederland is dat de Raad voor Accreditatie (RvA), die op haar website een overzicht biedt van alle geaccrediteerde certificerende instellingen en hun uitgegeven certificaten.
De stappen voor ISO 27001-certificaatverificatie zijn als volgt:
- Vraag de leverancier om het volledige certificaat, inclusief het certificaatnummer en de naam van de certificerende instelling.
- Controleer of de certificerende instelling geaccrediteerd is via rva.nl of de internationale database van het International Accreditation Forum (IAF).
- Zoek het certificaatnummer op in de publieke database van de betreffende certificerende instelling. Veel instellingen bieden een openbaar register aan.
- Verifieer of de scope van het certificaat overeenkomt met de diensten of systemen die de leverancier aan jou levert.
- Controleer de geldigheidsdata en of de jaarlijkse surveillance-audits zijn uitgevoerd.
Sommige certificerende instellingen bieden ook een directe verificatielink aan op het certificaat zelf. Gebruik die functie altijd als die beschikbaar is, want dat is de snelste en meest betrouwbare methode om certificaatfraude bij ISO 27001 te voorkomen.
Welke accreditatie-eisen gelden voor een ISO 27001-certificerende instelling?
Een ISO 27001-certificerende instelling moet geaccrediteerd zijn conform de internationale norm ISO/IEC 17021-1, aangevuld met de sectorspecifieke eisen uit ISO/IEC 27006. Deze accreditatie wordt verleend door een nationale accreditatieraad, zoals de RvA in Nederland, en bewijst dat de instelling competent en onpartijdig opereert.
Concreet betekent dit dat een legitieme certificerende instelling:
- Aantoonbaar onafhankelijk is van de organisaties die zij certificeert.
- Beschikt over auditors met gedocumenteerde vakbekwaamheid op het gebied van informatiebeveiliging.
- Zelf periodiek wordt getoetst door de accreditatieraad via toezichtsaudits.
- Een klachten- en beroepsprocedure heeft die transparant en toegankelijk is.
Wij bij DigiTrust zijn volledig geaccrediteerd door de Raad voor Accreditatie onder kenmerk RvA C618. Dat betekent dat onze ISO 27001-certificering voldoet aan alle internationale eisen voor onpartijdigheid en vakbekwaamheid. Als je een leverancier beoordeelt, is het controleren van het accreditatiekenmerk van de certificerende instelling dan ook de eerste en meest betrouwbare stap.
Wat moet je contractueel vastleggen over leverancierscertificering?
In een leverancierscontract moet je vastleggen dat de leverancier verplicht is een geldig ISO 27001-certificaat te onderhouden, bewijs van jaarlijkse surveillance-audits te overleggen en wijzigingen in de certificeringsstatus direct te melden. Zonder deze contractuele borging heb je geen afdwingbaar recht op verificatie.
Specifieke clausules die je kunt opnemen zijn:
- Certificeringsplicht: De leverancier is verplicht gedurende de looptijd van de overeenkomst een geldig, geaccrediteerd ISO 27001-certificaat te handhaven.
- Informatieplicht: De leverancier informeert jou binnen een vastgestelde termijn (bijvoorbeeld vijf werkdagen) als het certificaat wordt ingetrokken, geschorst of niet wordt verlengd.
- Bewijs op verzoek: De leverancier verstrekt op eerste verzoek het actuele certificaat inclusief bijlagen en auditrapportage.
- Scope-eis: Het certificaat moet de scope omvatten die relevant is voor de diensten die aan jouw organisatie worden geleverd.
- Gevolgen bij niet-naleving: Leg vast welke maatregelen van toepassing zijn als de leverancier niet aan de certificeringseis voldoet, zoals opschorting van de overeenkomst of contractuele boetes.
Deze contractuele afspraken zijn niet alleen relevant voor leveranciers die directe toegang hebben tot jouw systemen, maar ook voor partijen die persoonsgegevens verwerken of kritieke bedrijfsprocessen ondersteunen. Binnen het kader van informatiebeveiliging is leveranciersbeheer een verplicht aandachtspunt onder ISO 27001.
Hoe vaak moet je het certificaat van een leverancier opnieuw controleren?
Je moet het ISO 27001-certificaat van een leverancier minimaal één keer per jaar opnieuw controleren, aansluitend op de jaarlijkse surveillance-auditcyclus van de certificerende instelling. Bij hoog-risicoleveranciers of na incidenten is een tussentijdse verificatie aan te raden.
Een praktische aanpak voor periodieke leverancierscertificaatcontrole ziet er als volgt uit:
- Jaarlijkse hercontrole: Plan een vast moment in je leveranciersbeoordeling waarop je de geldigheid van het certificaat verifieert, inclusief de resultaten van de meest recente surveillance-audit.
- Bij contractverlenging: Controleer altijd opnieuw bij het verlengen of herzien van een leveranciersovereenkomst.
- Na beveiligingsincidenten: Als een leverancier betrokken is bij een datalek of beveiligingsincident, verifieer dan direct of het certificaat nog geldig is en of de scope nog klopt.
- Bij organisatorische wijzigingen: Fusies, overnames of grote reorganisaties bij een leverancier kunnen de scope of geldigheid van een certificaat beïnvloeden.
Het is verstandig om de certificaatvervaldata van al je leveranciers bij te houden in een centraal register, zodat hercontroles niet afhankelijk zijn van ad-hocmomenten. Zo voorkom je dat een verlopen of ingetrokken certificaat onopgemerkt blijft en je organisatie onbedoeld risico loopt op valse certificering van informatiebeveiliging.
Wil je zeker weten dat jouw leveranciersbeheer en certificaatverificatie aansluiten bij de eisen van ISO 27001? Wij helpen je graag met een gedegen aanpak die past bij jouw organisatie en sector. Neem contact op en ontdek wat DigiTrust voor jou kan betekenen.
Veelgestelde vragen
Hoe weet ik of de certificerende instelling van mijn leverancier betrouwbaar is?
V: Hoe weet ik of de certificerende instelling van mijn leverancier betrouwbaar is? A: Controleer of de certificerende instelling geaccrediteerd is via de Raad voor Accreditatie (rva.nl) of het internationale IAF-register. Een geaccrediteerde instelling voldoet aan ISO/IEC 17021-1 en ISO/IEC 27006, wat betekent dat zij onafhankelijk en vakbekwaam opereert en zelf periodiek wordt gecontroleerd door de accreditatieraad.
Wat zijn de risico's als ik een leverancier accepteer met een nep of verlopen ISO 27001-certificaat?
V: Wat zijn de risico’s als ik een leverancier accepteer met een nep of verlopen ISO 27001-certificaat? A: Als je een leverancier accepteert met een nep of verlopen certificaat, heb je geen enkele garantie dat de informatiebeveiliging van die partij op orde is, wat jouw organisatie blootstelt aan datalekken, compliancerisico’s en aansprakelijkheid. Bovendien voldoe je zelf mogelijk niet meer aan de leveranciersbeheersvereisten binnen ISO 27001.
Wanneer moet ik direct actie ondernemen als de certificeringsstatus van een leverancier verandert?
V: Wanneer moet ik direct actie ondernemen als de certificeringsstatus van een leverancier verandert? A: Je moet direct actie ondernemen zodra een leverancier meldt dat zijn certificaat is ingetrokken, geschorst of niet verlengd, of wanneer je dit zelf ontdekt via een verificatiecheck. Leg in het contract vast dat de leverancier dit binnen vijf werkdagen moet melden, zodat jij snel kunt beoordelen of de samenwerking veilig kan worden voortgezet.
Hoe richt ik een praktisch systeem in om certificaten van meerdere leveranciers bij te houden?
V: Hoe richt ik een praktisch systeem in om certificaten van meerdere leveranciers bij te houden? A: Leg alle certificaatgegevens, zoals het certificaatnummer, de geldigheidsdatum en de certificerende instelling, vast in een centraal leveranciersregister en koppel hieraan automatische herinneringen voor jaarlijkse hercontroles. Zo voorkom je dat verlopen of ingetrokken certificaten onopgemerkt blijven en blijft jouw leveranciersbeheer aantoonbaar in lijn met de ISO 27001-eisen.
Gerelateerde artikelen
- Hoe verloopt een ISO 27001 certificering als onderaannemer in een keten?
- Hoe plan je een realistisch tijdpad naar een ISO 27001 certificering?
- Wat vraag je aan referenties voordat je een ISO 27001 certificerende instelling kiest?
- Wat is een schorsing van het ISO 27001 certificaat?
- Wat moet je doen om te certificeren voor NEN 7510?
