ISO 27001 of ISO 9001 certificering: wat is de logische volgorde?

Als je moet kiezen tussen ISO 27001 en ISO 9001, is de logische volgorde afhankelijk van wat jouw organisatie het meest urgent nodig heeft. Organisaties die vertrouwelijke gegevens verwerken of te maken hebben met aanbestedingseisen, starten doorgaans het beste met ISO 27001. Wil je beide certificeringen behalen, dan biedt de overlap in structuur en systematiek een efficiënte aanpak. In dit artikel beantwoorden we de meest gestelde vragen over beide normenkaders, zodat jij een weloverwogen keuze kunt maken. Heb je al een concreet beeld van wat jouw organisatie nodig heeft? Neem gerust contact op en wij denken graag met je mee.

Wat zijn de belangrijkste verschillen tussen ISO 27001 en ISO 9001?

ISO 27001 is de internationale norm voor informatiebeveiliging, gericht op het beschermen van vertrouwelijke gegevens en het beheersen van informatiebeveiligingsrisico’s. ISO 9001 is de wereldwijd meest toegepaste norm voor kwaliteitsmanagement, gericht op het structureel verbeteren van processen en klanttevredenheid. Het kernverschil zit in het onderwerp: informatiebeveiliging versus kwaliteitsmanagement.

Beide normen delen dezelfde High Level Structure (HLS), wat betekent dat ze qua opbouw en systematiek sterk op elkaar lijken. Denk aan eisen rondom leiderschap, risicomanagement, interne audits en continue verbetering. Inhoudelijk richten ze zich echter op heel verschillende domeinen.

• ISO 27001 vereist het opzetten van een Information Security Management System (ISMS) en richt zich op vertrouwelijkheid, integriteit en beschikbaarheid van informatie.
• ISO 9001 vereist een Quality Management System (QMS) en richt zich op procesbeheersing, klantgerichtheid en productverbetering.

Voor organisaties in de ICT, de zorg of de overheid is ISO 27001 vaak de meest relevante keuze vanwege de directe koppeling met informatiebeveiliging en wettelijke verplichtingen zoals de AVG en NIS2. ISO 9001 is breder toepasbaar en relevant voor vrijwel elke sector die zijn kwaliteitsprocessen wil aantonen.

Welke certificering is het meest geschikt voor jouw organisatie?

De meest geschikte certificering hangt af van de primaire risico’s en eisen van jouw organisatie. Verwerk je persoonsgegevens, vertrouwelijke bedrijfsinformatie of werk je voor overheidsopdrachtgevers? Dan is ISO 27001 doorgaans de beste keuze. Staan klanttevredenheid, productkwaliteit of procesinrichting centraal? Dan sluit ISO 9001 beter aan.

Stel jezelf de volgende vragen om de juiste keuze te maken:

1. Stellen klanten of aanbestedende partijen een specifieke norm als eis?
2. Wat zijn de grootste risico’s voor jouw organisatie: datalekken of kwaliteitsfouten?
3. In welke sector ben je actief en welke normen zijn daar gangbaar?
4. Wat zijn de strategische doelen van jouw organisatie voor de komende jaren?

Zorginstellingen en ICT-bedrijven kiezen vrijwel altijd voor ISO 27001 als eerste stap, mede omdat dit aansluit bij sectorspecifieke normen zoals NEN 7510 en de BIO. Productiebedrijven of dienstverleners zonder specifieke data-intensieve processen kiezen vaker voor ISO 9001 als fundament.

Wat is de logische volgorde als je beide certificeringen wilt behalen?

Als je zowel ISO 27001 als ISO 9001 wilt certificeren, is het in de meeste gevallen logisch om te beginnen met de norm die het meest urgent is vanuit klant- of marktperspectief. Voor organisaties met een sterke focus op gegevensverwerking of digitale dienstverlening is dat vrijwel altijd ISO 27001. Daarna bouw je ISO 9001 er relatief eenvoudig bovenop.

De reden voor deze volgorde is praktisch: de managementsysteemstructuur die je opbouwt voor ISO 27001 vormt een stevige basis voor ISO 9001. Processen zoals risicoanalyse, interne audits, managementbeoordeling en documentbeheer hoef je niet opnieuw te ontwerpen. Je breidt ze uit en past ze aan op kwaliteitsmanagement.

Andersom, beginnen met ISO 9001 en daarna ISO 27001 toevoegen, is ook mogelijk. Dit werkt goed voor organisaties waarbij kwaliteitsmanagement al diep verankerd is in de bedrijfscultuur en informatiebeveiliging pas later een strategische prioriteit wordt. Bespreek met een ervaren auditpartner welke volgorde past bij jouw specifieke situatie en doelstellingen.

Hoeveel overlap is er tussen ISO 27001 en ISO 9001?

De overlap tussen ISO 27001 en ISO 9001 is aanzienlijk. Beide normen zijn gebaseerd op dezelfde High Level Structure, waardoor een groot deel van de managementsysteemeisen identiek of sterk vergelijkbaar is. Denk aan eisen voor context van de organisatie, leiderschap, planning, ondersteuning, evaluatie en verbetering. Ruwweg 40 tot 60 procent van de systeemeisen overlapt.

Concreet betekent dit dat de volgende elementen voor beide normen gedeeld kunnen worden:

• Beleidsdocumenten en doelstellingen
• Interne auditprogramma’s en -procedures
• Managementbeoordeling
• Risicobeheerprocessen (met aangepaste scope per norm)
• Corrigerende maatregelen en verbeterprocessen

Het grootste verschil zit in de normspecifieke eisen: ISO 27001 vereist een uitgebreide risicoanalyse voor informatiebeveiliging en de implementatie van beveiligingsmaatregelen (Annex A), terwijl ISO 9001 eisen stelt aan klantgerichtheid, productrealisatie en leveranciersbeheer vanuit kwaliteitsperspectief.

Wanneer is het slim om ISO 27001 vóór ISO 9001 te kiezen?

Het is slim om met ISO 27001 te beginnen als informatiebeveiliging een directe zakelijke noodzaak is. Dit is het geval wanneer klanten of opdrachtgevers de certificering eisen, wanneer je organisatie persoonsgegevens of bedrijfskritische informatie verwerkt, of wanneer je actief bent in sectoren zoals de ICT, de zorg of de overheid, waar informatiebeveiligingsnormen wettelijk of contractueel verplicht zijn.

Aanvullende situaties waarin ISO 27001 de logische eerste stap is:

• Je wilt aantonen dat je voldoet aan de AVG of de NIS2-richtlijn.
• Je neemt deel aan aanbestedingen waarbij ISO 27001 als selectiecriterium geldt.
• Je organisatie heeft recent te maken gehad met een datalek of beveiligingsincident.
• Klanten stellen expliciet vragen over jouw informatiebeveiligingsbeleid.

In al deze gevallen levert ISO 27001 direct aantoonbaar voordeel op in de markt en richting toezichthouders. ISO 9001 kan daarna worden toegevoegd als de organisatie ook haar kwaliteitsprocessen formeel wil laten certificeren.

Hoe lang duurt een gecombineerd ISO 27001- en ISO 9001-traject?

Een gecombineerd ISO 27001- en ISO 9001-traject duurt gemiddeld tussen de 12 en 24 maanden, afhankelijk van de volwassenheid van de bestaande managementsystemen, de omvang van de organisatie en de gekozen volgorde. Als je sequentieel werkt, dus eerst de ene en daarna de andere certificering, tel je de doorlooptijden bij elkaar op. Bij een geïntegreerde aanpak kan dit aanzienlijk korter zijn.

Een globale tijdsindicatie per fase:

• Voorbereiding en gap-analyse: 1 tot 3 maanden per norm
• Implementatie van het managementsysteem: 3 tot 9 maanden
• Interne audit en managementbeoordeling: 1 tot 2 maanden
• Certificeringsaudit (fase 1 en fase 2): 1 tot 3 maanden

Bij een geïntegreerde aanpak, waarbij beide normen gelijktijdig worden geïmplementeerd en gecertificeerd, bespaar je tijd doordat overlappende elementen slechts eenmaal worden ingericht. Wij begeleiden organisaties bij het bepalen van de meest efficiënte aanpak voor hun specifieke situatie. Bekijk onze certificeringsdiensten voor meer informatie over hoe wij dit traject samen met jou invullen.

Wil je weten welke volgorde voor jouw organisatie het meest logisch is en hoe lang een traject bij jullie realistisch duurt? Neem contact op voor een vrijblijvend gesprek. Wij helpen je graag verder met een helder en eerlijk advies op maat.

Gerelateerde artikelen

• Welke veelgemaakte fouten in een verklaring van toepasselijkheid merkt de auditor direct op?
• Wat zijn signalen dat een ISO 27001 certificerende instelling niet bij je past?
• Wat is een schorsing van het ISO 27001 certificaat?
• Hoe verloopt een overstap naar een andere certificerende instelling?
• Wat zijn de minimale vereisten voor ISO 27001?