Ja, je kunt online controleren of een organisatie gecertificeerd is. De meest betrouwbare manier is via het openbare register van de Raad voor Accreditatie (RvA), waar je kunt opzoeken welke certificaten door geaccrediteerde certificerende instellingen zijn afgegeven. Voor wie direct meer wil weten over certificeringstrajecten, kun je ook contact opnemen met ons. In dit artikel beantwoorden we de meest gestelde vragen over certificaatverificatie, het RvA-register en wat je kunt doen als een organisatie beweert gecertificeerd te zijn maar niet vindbaar is.
Waar kun je een geldig certificaat officieel verifiëren?
Een geldig certificaat verifieer je officieel via het register van de Raad voor Accreditatie (RvA) op rva.nl. De RvA is de Nederlandse nationale accreditatie-instantie en houdt bij welke certificerende instellingen geaccrediteerd zijn en welke certificaten zij hebben afgegeven. Daarnaast bieden sommige certificerende instellingen zelf een openbaar certificatenregister aan op hun eigen website.
Het proces werkt als volgt: een organisatie die gecertificeerd wil worden, doorloopt een audit bij een geaccrediteerde certificerende instelling. Na een succesvolle audit geeft die instelling een certificaat uit. Dat certificaat wordt vervolgens geregistreerd, zodat derden het kunnen opzoeken en controleren. Dit systeem van onafhankelijke verificatie is de kern van hoe certificering controleren in de praktijk werkt.
Let op: niet elk certificaat dat online circuleert, is automatisch betrouwbaar. Een PDF of afbeelding van een certificaat kan eenvoudig worden nagemaakt. Verificatie via het officiële register geeft je zekerheid dat het certificaat echt is afgegeven door een erkende, geaccrediteerde instelling.
Wat staat er in een openbaar certificatenregister?
In een openbaar certificatenregister staan de basisgegevens van afgegeven certificaten: de naam van de gecertificeerde organisatie, het certificaatnummer, de norm waarop het certificaat betrekking heeft (zoals ISO 27001), de geldigheidsdatum en de certificerende instelling die het certificaat heeft afgegeven.
Afhankelijk van de certificerende instelling kunnen ook aanvullende gegevens beschikbaar zijn, zoals:
- Het toepassingsgebied (scope) van het certificaat, dus welke onderdelen of processen van de organisatie zijn gecertificeerd
- De datum van eerste certificering
- De datum van de meest recente hercertificeringsaudit
- De status van het certificaat (actief, geschorst of ingetrokken)
Het toepassingsgebied is bijzonder relevant bij certificering voor informatiebeveiliging. Een organisatie kan ISO 27001-gecertificeerd zijn, maar dat certificaat hoeft niet de gehele organisatie te dekken. Het kan beperkt zijn tot een specifieke afdeling, locatie of dienst. Controleer dus altijd of de scope aansluit bij wat jij wilt weten.
Hoe weet je of een ISO 27001-certificaat nog geldig is?
Een ISO 27001-certificaat is geldig als de vermelde vervaldatum nog niet verstreken is en het certificaat niet is geschorst of ingetrokken. In het register van de certificerende instelling of het RvA-register staat de actuele status van het certificaat. Een geldig ISO 27001-certificaat heeft een looptijd van drie jaar, met jaarlijkse tussentijdse surveillance-audits.
Bij het controleren van de geldigheid zijn er drie statussen om op te letten:
- Actief: het certificaat is geldig en de organisatie voldoet aan de norm
- Geschorst: het certificaat is tijdelijk niet geldig, bijvoorbeeld omdat de organisatie niet voldeed aan bepaalde eisen tijdens een tussentijdse audit
- Ingetrokken: het certificaat is permanent ongeldig verklaard
Een veelgemaakte fout is afgaan op een certificaat dat weliswaar nog een toekomstige vervaldatum heeft, maar tussentijds is geschorst. Alleen een actuele raadpleging van het register geeft je de werkelijke status. De geldigheid van een certificaat zegt ook iets over het onderhoud van het informatiebeveiligingsmanagementsysteem van een organisatie.
Wat als een organisatie beweert gecertificeerd te zijn maar niet in het register staat?
Als een organisatie beweert ISO 27001-gecertificeerd te zijn maar niet vindbaar is in het register, is dat een serieus signaal om nader onderzoek te doen. De meest voorkomende verklaring is dat het certificaat is afgegeven door een niet-geaccrediteerde instelling, wat betekent dat het certificaat geen officieel erkende waarde heeft.
Er zijn een paar mogelijke verklaringen voor een ontbrekende vermelding:
- De certificerende instelling is niet geaccrediteerd door de RvA of een vergelijkbare erkende accreditatie-instantie
- Het certificaat is verlopen, geschorst of ingetrokken en niet meer zichtbaar als actief
- Er is sprake van een onjuiste of misleidende claim over certificering
- De organisatie verwijst naar een interne of zelfevaluatie die geen officieel certificaat is
In zakelijke relaties, aanbestedingen of due diligence is het altijd verstandig om te vragen om het certificaatnummer en de naam van de certificerende instelling, en dit zelf te verifiëren. Vertrouw nooit uitsluitend op een aangeleverd PDF-document.
Welke normen zijn online te controleren via het RvA-register?
Via het RvA-register zijn meerdere normen op het gebied van informatiebeveiliging en kwaliteitsmanagement online te controleren. De bekendste is ISO 27001, de internationale norm voor informatiebeveiliging. Daarnaast zijn ook certificaten voor normen zoals NEN 7510 (informatiebeveiliging in de zorg), ISO 9001 en andere sectorspecifieke normen terug te vinden via geaccrediteerde certificerende instellingen.
Het RvA-register werkt op basis van geaccrediteerde instellingen. Dat betekent dat je in het register kunt opzoeken welke instellingen geaccrediteerd zijn voor het afgeven van certificaten voor een bepaalde norm. Vervolgens kun je via de website van die instelling het specifieke certificaat van een organisatie opzoeken.
Voor normen zoals de BIO (Baseline Informatiebeveiliging Overheid) werkt de verificatie soms anders, omdat dit een stelsel is dat specifiek van toepassing is op overheidsorganisaties en niet altijd via hetzelfde register wordt gepubliceerd. Bij twijfel over welk register van toepassing is op een specifieke norm, is het verstandig om direct contact op te nemen met een geaccrediteerde auditinstelling.
Wil je weten of jouw organisatie in aanmerking komt voor een certificering, of heb je vragen over het verificatieproces? Neem contact op met ons en we helpen je snel en helder op weg.
Veelgestelde vragen
Waar kan ik officieel controleren of een organisatie een geldig certificaat heeft?
V: Waar kan ik officieel controleren of een organisatie een geldig certificaat heeft?nA: Je kunt dit controleren via het openbare register van de Raad voor Accreditatie (RvA) op rva.nl, waar geaccrediteerde certificerende instellingen en hun afgegeven certificaten worden bijgehouden. Sommige certificerende instellingen bieden daarnaast een eigen online certificatenregister aan waar je direct kunt zoeken op organisatienaam of certificaatnummer.
Hoe weet ik of het toepassingsgebied van een ISO 27001-certificaat ook van toepassing is op de dienst die ik afneem?
V: Hoe weet ik of het toepassingsgebied van een ISO 27001-certificaat ook van toepassing is op de dienst die ik afneem?nA: In het certificatenregister staat de scope vermeld, die aangeeft welke afdelingen, locaties of diensten het certificaat dekt. Controleer altijd of de specifieke dienst die jij afneemt binnen deze scope valt, want een organisatie kan gecertificeerd zijn voor slechts een deel van haar activiteiten.
Wat moet ik doen als een organisatie beweert gecertificeerd te zijn maar niet vindbaar is in het register?
V: Wat moet ik doen als een organisatie beweert gecertificeerd te zijn maar niet vindbaar is in het register?nA: Vraag de organisatie om het certificaatnummer en de naam van de certificerende instelling op te geven, en verifieer dit zelf via het RvA-register of de website van de betreffende instelling. Een ontbrekende vermelding kan betekenen dat het certificaat is afgegeven door een niet-geaccrediteerde instelling of dat er sprake is van een misleidende claim.
Wanneer is een ISO 27001-certificaat niet meer geldig?
V: Wanneer is een ISO 27001-certificaat niet meer geldig?nA: Een ISO 27001-certificaat is niet meer geldig als de vervaldatum is verstreken, of als het tussentijds is geschorst of ingetrokken vanwege het niet voldoen aan de norm tijdens een surveillance-audit. Controleer daarom altijd de actuele status in het register, want een toekomstige vervaldatum garandeert niet dat het certificaat op dit moment nog actief is.
Gerelateerde artikelen
- Hoe bereid je een organisatie voor op de eerste dag van een ISO 27001 audit?
- Waarom overweegt de overheidssector vaker een ISO 27001 certificering dan andere normen?
- Hoeveel tijd zit er gemiddeld tussen een fase 1 en fase 2 audit bij ISO 27001?
- Welke documenten zijn nodig voor ISO 27001 certificering?
- Wat is de relatie tussen ISO 27001 en privacy wetgeving?
