Hoeveel tijd zit er gemiddeld tussen een fase 1 en fase 2 audit bij ISO 27001?

Gemiddeld zit er tussen de ISO 27001 fase 1-audit en de fase 2-audit een periode van vier tot twaalf weken. De exacte doorlooptijd hangt af van de bevindingen uit fase 1 en de mate van gereedheid van jouw organisatie. In dit artikel beantwoorden we de meest gestelde vragen over de planning, de tussenperiode en de valkuilen die je wilt vermijden. Wil je alvast direct advies? Neem gerust contact op en wij helpen je verder.

Wat bepaalt de doorlooptijd tussen fase 1 en fase 2?

De doorlooptijd tussen de ISO 27001 fase 1-audit en de fase 2-audit wordt primair bepaald door de bevindingen en aandachtspunten die tijdens fase 1 naar voren komen. Hoe meer verbeterpunten er zijn, hoe meer tijd jouw organisatie nodig heeft om die op te lossen voordat de fase 2-audit zinvol is. Andere bepalende factoren zijn de beschikbaarheid van interne resources, de complexiteit van het ISMS en de planning van de auditinstelling.

Fase 1 is bedoeld als een documentatiereview en gereedheidscheck. De auditor beoordeelt of het Information Security Management System voldoende is gedocumenteerd en of de organisatie klaar is voor de diepgaande beoordeling in fase 2. Als er nog fundamentele tekortkomingen zijn in de beleidsstructuur, risicobehandeling of interne auditcyclus, heeft het weinig zin om fase 2 direct in te plannen.

Praktisch gezien spelen ook logistieke factoren een rol: de beschikbaarheid van sleutelpersonen binnen jouw organisatie, de agenda van de auditor en eventuele afstemming met externe leveranciers of verwerkers die onderdeel zijn van de scope.

Wat is de minimale en maximale termijn tussen de twee auditfasen?

Er is geen vaste wettelijke minimumtermijn tussen de ISO 27001 fase 1- en fase 2-audit, maar in de praktijk geldt een minimum van enkele weken om bevindingen uit fase 1 te kunnen verwerken. De maximale termijn is doorgaans zes maanden. Wordt fase 2 later dan zes maanden na fase 1 uitgevoerd, dan is het gebruikelijk dat fase 1 geheel of gedeeltelijk wordt herhaald.

De reden voor die bovengrens is inhoudelijk: een fase 1-rapport heeft een beperkte houdbaarheidsdatum. Als er te veel tijd verstrijkt, kunnen de situatie en het ISMS zodanig veranderd zijn dat de bevindingen uit fase 1 niet langer representatief zijn. Een hernieuwde beoordeling is dan noodzakelijk om een valide certificeringsbeslissing te kunnen nemen.

Voor de meeste organisaties is een periode van zes tot tien weken realistisch en voldoende. Dit geeft genoeg ruimte om de aandachtspunten uit fase 1 te adresseren zonder dat de voortgang stagneert of de fase 1-bevindingen verouderd raken.

Hoe gebruik je de tussenperiode zo effectief mogelijk?

De periode tussen fase 1 en fase 2 gebruik je het meest effectief door direct na de fase 1-audit een concreet actieplan op te stellen op basis van de auditbevindingen. Wijs verantwoordelijken aan, stel deadlines in en zorg dat de voortgang actief wordt bewaakt. Gebruik de tussenperiode niet als rustmoment, maar als een gerichte verbeterfase.

Concrete stappen die in deze periode prioriteit verdienen:

• Verwerk alle aandachtspunten en verbeterpunten uit het fase 1-rapport systematisch.
• Zorg dat alle vereiste documentatie volledig, actueel en aantoonbaar geïmplementeerd is.
• Voer een interne audit uit om te verifiëren of de verbeteringen daadwerkelijk werken in de praktijk.
• Houd een managementreview om te laten zien dat de directie actief betrokken is bij het ISMS.
• Train medewerkers die een rol spelen in de processen die in fase 2 worden beoordeeld.

Een veelgemaakte misvatting is dat fase 2 alleen documentatie beoordeelt. In werkelijkheid toetst de auditor in fase 2 of het ISMS daadwerkelijk functioneert: zijn processen aantoonbaar uitgevoerd, zijn risico’s beheerst en zijn verbeteringen geborgd? De tussenperiode is dus bij uitstek de tijd om bewijs te verzamelen, niet alleen om papier op orde te brengen. Meer over hoe een ISO 27001-certificering in zijn geheel verloopt, lees je op onze certificeringspagina.

Wat zijn veelgemaakte fouten in de aanloop naar fase 2?

De meest voorkomende fout in de aanloop naar de ISO 27001 fase 2-audit is het onderschatten van de implementatiediepte die fase 2 vereist. Organisaties gaan ervan uit dat het ISMS op papier voldoende is, maar de auditor verwacht aantoonbare werking in de praktijk over een relevante periode. Zonder die aantoonbaarheid ontstaan er bevindingen die het certificeringsbesluit kunnen vertragen.

Andere veelgemaakte fouten zijn:

• Te laat beginnen met interne audits: als de interne auditcyclus nog niet is doorlopen vóór fase 2, ontbreekt een essentieel onderdeel van het ISMS.
• Geen managementreview uitvoeren: de directiebetrokkenheid moet aantoonbaar zijn; een ontbrekende managementreview is een klassiek struikelblok.
• Bevindingen uit fase 1 niet volledig adresseren: sommige organisaties lossen de meeste punten op, maar laten kleinere aandachtspunten liggen. In fase 2 komen die alsnog terug.
• Onvoldoende bewijs van risicobehandeling: het risicoregister bestaat, maar er is geen aantoonbare opvolging van maatregelen.
• Sleutelpersonen niet beschikbaar tijdens fase 2: de auditor wil spreken met proceseigenaren en verantwoordelijken. Als die niet beschikbaar zijn, vertraagt het proces.

Wanneer is het verstandig om fase 2 uit te stellen?

Het is verstandig om fase 2 uit te stellen wanneer de bevindingen uit fase 1 nog niet volledig zijn opgelost, of wanneer essentiële onderdelen van het ISMS, zoals de interne audit of managementreview, nog niet zijn uitgevoerd. Een te vroeg ingeplande fase 2 leidt bijna altijd tot extra bevindingen en soms tot een niet-geslaagde audit, wat meer tijd en kosten met zich meebrengt dan een bewuste vertraging.

Uitstel is ook verstandig bij:

• Grote organisatorische veranderingen zoals een fusie, reorganisatie of een significante wijziging in de scope van het ISMS.
• Recente beveiligingsincidenten die nog niet volledig zijn afgehandeld en gedocumenteerd.
• Onvoldoende draagvlak of betrokkenheid vanuit het management.
• Onzekerheid over de scope: als de grenzen van het ISMS niet helder zijn, is fase 2 prematuur.

Uitstel is geen falen. Het is een bewuste keuze om fase 2 te laten slagen in plaats van te riskeren dat de audit niet positief wordt afgerond. Een goede auditpartner helpt je eerlijk inschatten of jouw organisatie klaar is. Bij DigiTrust hanteren wij een transparante aanpak waarbij we je tijdig informeren als we zien dat meer voorbereidingstijd verstandig is. Zo voorkomen we verrassingen en zorgen we dat het ISO 27001-auditproces soepel verloopt. Wil je weten of jouw organisatie klaar is voor fase 2? Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.

Gerelateerde artikelen

• Hoe verloopt een ISO 27001 certificering als onderaannemer in een keten?
• Wat is een beveiligingsaudit en wat levert het op?
• Waarom is de onafhankelijkheid van een certificerende instelling belangrijk?
• Wat is het verschil tussen een fase 1 en een fase 2 audit?
• Hoe toets je zelf of de documentatie voldoende is voor de audit?