Kun je meedoen aan een aanbesteding zonder ISO 27001 certificering?

Ja, je kunt in veel gevallen meedoen aan een aanbesteding zonder ISO 27001-certificering. Of dat lukt, hangt sterk af van de specifieke eisen in de aanbestedingsdocumenten en de sector waarin de opdracht valt. Sommige aanbesteders stellen ISO 27001 als harde eis, anderen accepteren alternatieven of geven extra punten voor de certificering zonder die verplicht te stellen. In dit artikel beantwoorden we de meest gestelde vragen rondom aanbesteding ISO 27001, zodat je weet waar je aan toe bent. Heb je direct een vraag over jouw situatie? Neem gerust contact op, wij denken graag met je mee.

Mag een aanbesteder ISO 27001 verplicht stellen?

Ja, een aanbesteder mag ISO 27001-certificering als verplichte eis opnemen in een aanbesteding. Dit wordt een uitsluitingsgrond of geschiktheidseis genoemd. Als jouw organisatie niet aan deze eis voldoet, word je in dat geval uitgesloten van deelname, ongeacht hoe sterk je inhoudelijke aanbod is.

Aanbesteders zijn wel gebonden aan het proportionaliteitsbeginsel. Dat betekent dat de gestelde eisen in verhouding moeten staan tot de omvang en aard van de opdracht. Voor een kleine opdracht met beperkte gegevensverwerking is een verplichte ISO 27001 certificering aanbesteding moeilijk te rechtvaardigen. Bij opdrachten waarbij gevoelige persoonsgegevens, medische informatie of overheidsinformatie verwerkt worden, is een dergelijke eis veel beter verdedigbaar en ook steeds gebruikelijker.

In de praktijk zien we dat overheden, zorginstellingen en financiële opdrachtgevers ISO 27001 steeds vaker als harde eis stellen, zeker bij ICT-dienstverlening, cloudoplossingen en dataverwerkende systemen. Het is dan ook verstandig om de aanbestedingsdocumenten altijd zorgvuldig te lezen voordat je een inschrijving voorbereidt.

Wat zijn de alternatieven voor ISO 27001 bij een aanbesteding?

Als een aanbesteder geen harde ISO 27001-eis stelt, zijn er meerdere alternatieven die als bewijs van informatiebeveiliging kunnen dienen. Veelgebruikte alternatieven zijn een eigen informatiebeveiligingsbeleid, een recente penetratietest, een SOC 2-rapport of een verklaring van een onafhankelijke auditor. Sommige aanbesteders accepteren ook een zelfevaluatie op basis van een erkend normenkader.

Welk alternatief geaccepteerd wordt, hangt volledig af van wat de aanbesteder in zijn programma van eisen heeft opgenomen. Hieronder staan de meest voorkomende alternatieven op een rij:

• NEN 7510: specifiek voor de zorgsector, vergelijkbaar met ISO 27001 maar toegespitst op zorggegevens.
• BIO (Baseline Informatiebeveiliging Overheid): verplicht voor overheidsorganisaties, maar ook relevant als je levert aan de overheid.
• SOC 2 Type II: internationaal erkend rapport over beveiliging en beschikbaarheid, vooral gebruikt door SaaS-bedrijven.
• Eigen beveiligingsbeleid met auditrapport: een intern beleid ondersteund door een externe audit kan in sommige gevallen volstaan.
• ISAE 3402: relevant voor dienstverleners die financiële processen uitvoeren voor klanten.

Houd er rekening mee dat alternatieven niet altijd gelijkwaardig worden beoordeeld. Bij opdrachten waarbij informatiebeveiliging aanbesteding een zwaar wegend criterium is, scoort een volwaardige ISO 27001-certificering doorgaans hoger dan een alternatief. Meer achtergrond over wat informatiebeveiliging inhoudt, vind je op onze pagina over informatiebeveiliging.

Hoe lang duurt het om ISO 27001 te behalen voor een aanbesteding?

Het behalen van een ISO 27001-certificering duurt gemiddeld zes tot twaalf maanden, afhankelijk van de volwassenheid van de informatiebeveiliging binnen jouw organisatie. Kleinere organisaties met een goed ingericht beveiligingsbeleid kunnen het sneller realiseren, maar een zorgvuldig doorlopen traject vergt altijd enige tijd.

Het certificeringstraject bestaat globaal uit drie fasen:

1. Voorbereiding: het inrichten van een Information Security Management System (ISMS), het uitvoeren van een risicoanalyse en het implementeren van de benodigde maatregelen.
2. Stage 1 audit: een documentatiebeoordeling waarbij de auditor toetst of het ISMS op papier voldoet aan de norm.
3. Stage 2 audit: een diepgaande toetsing waarbij de auditor beoordeelt of het ISMS ook in de praktijk werkt en aantoonbaar wordt toegepast.

Als je weet dat je over zes maanden een aanbesteding wilt indienen waarbij ISO 27001 een vereiste is, is het verstandig om nu al te beginnen. Wacht je te lang, dan loop je het risico dat je de deadline niet haalt. Wij helpen organisaties door het hele certificeringstraject heen, van voorbereiding tot en met de afgifte van het certificaat.

Wat als je certificering nog in aanvraag is tijdens de aanbesteding?

Als jouw ISO 27001-certificering nog in aanvraag is op het moment van inschrijven, hangt het af van de aanbesteder of dit geaccepteerd wordt. Sommige aanbesteders accepteren een verklaring of bewijs van een lopend certificeringstraject, anderen eisen dat het certificaat al afgegeven is op de sluitingsdatum van de inschrijving.

Wat je in elk geval kunt doen als je certificering nog loopt:

• Vraag de aanbesteder expliciet of een bewijs van een lopend traject volstaat. Dit mag je altijd doen via de nota van inlichtingen.
• Lever een verklaring van de certificerende instelling waaruit blijkt dat het traject in gang is en naar verwachting voor een bepaalde datum afgerond wordt.
• Vermeld in je inschrijving op welke datum je verwacht gecertificeerd te zijn en onderbouw dit met een tijdlijn.
• Controleer of de aanbesteder een voorbehoud of opschortende voorwaarde toestaat, waarbij het contract pas ingaat na afgifte van het certificaat.

Transparante communicatie met de aanbesteder is hier essentieel. Een goed onderbouwde toelichting op de status van je certificeringstraject wekt meer vertrouwen dan een vage vermelding dat je “bezig bent met ISO 27001”.

Wanneer is ISO 27001 certificering echt noodzakelijk om mee te dingen?

ISO 27001-certificering is in de praktijk noodzakelijk wanneer de aanbesteding expliciet en als harde eis vermeldt dat inschrijvers gecertificeerd moeten zijn, of wanneer de aard van de opdracht dit feitelijk vereist. Denk aan opdrachten waarbij je toegang krijgt tot gevoelige gegevens, kritieke systemen beheert of persoonsgegevens van burgers of patiënten verwerkt.

In de volgende situaties is een ISO 27001 vereiste aanbesteding het meest realistisch:

• ICT-dienstverlening aan overheidsinstanties, zeker bij rijksoverheid of gemeenten met een hoog gegevensclassificatieniveau.
• Zorgdiensten waarbij medische of persoonlijke gezondheidsdata verwerkt worden.
• Cloudoplossingen, hostingdiensten of SaaS-platforms die data van de opdrachtgever opslaan of verwerken.
• Opdrachten in de financiële sector waarbij klant- en transactiegegevens centraal staan.
• Leveranciers van kritieke infrastructuur of systemen die aansluiten op netwerken met hoge beveiligingseisen.

Buiten deze contexten is ISO 27001 niet altijd verplicht, maar het hebben van een certificering geeft je wel een duidelijk concurrentievoordeel. Het laat zien dat jouw organisatie informatiebeveiliging serieus neemt, wat steeds vaker een doorslaggevend selectiecriterium is, ook wanneer het technisch gezien niet verplicht is.

Wil je weten of jouw organisatie klaar is voor een certificeringstraject, of wil je precies begrijpen wat er bij een meedoen aanbesteding zonder certificering komt kijken? Neem contact op met ons team en we bespreken samen de beste aanpak voor jouw situatie.

Gerelateerde artikelen

• Wat zijn de overwegingen bij het uitbreiden van je ISO 27001 certificering?
• Wat zijn auditoverwegingen voor de financiële sector bij ISO 27001?
• Wat gebeurt er na de fase 2 audit en wanneer ontvang je het certificaat?
• Wat is het verschil tussen een adviesbureau en een certificerende instelling?
• Hoe herken je een phishingaanval gericht op je organisatie?