Kun je online controleren of een organisatie ISO 27001 gecertificeerd is?

Ja, je kunt online controleren of een organisatie ISO 27001-gecertificeerd is. De meest betrouwbare manier is via de openbare registers van geaccrediteerde certificerende instellingen of via de website van de Raad voor Accreditatie (RvA). Niet elk register is even volledig, maar met de juiste bronnen kom je snel en betrouwbaar tot een antwoord. In dit artikel beantwoorden we de meest gestelde vragen rondom het opzoeken en verifiëren van een ISO 27001-certificaat. Heb je vragen over jouw eigen certificeringstraject? Neem gerust contact op en we helpen je verder.

Waar kun je een ISO 27001-certificaat officieel verifiëren?

Een ISO 27001-certificaat kun je officieel verifiëren via het openbare register van de certificerende instelling die het certificaat heeft afgegeven, of via de Raad voor Accreditatie (RvA). De RvA publiceert een overzicht van alle geaccrediteerde certificerende instellingen in Nederland, inclusief hun certificaathouders. Dit is de meest gezaghebbende bron voor verificatie.

In de praktijk werkt het zo: elke geaccrediteerde certificerende instelling is verplicht een actueel register bij te houden van organisaties die bij hen gecertificeerd zijn. Veel instellingen publiceren dit register op hun eigen website. Daarnaast kun je via de internationale IAF CertSearch-database zoeken op gecertificeerde organisaties wereldwijd. Voor Nederland is de RvA de aangewezen toezichthouder die bijhoudt welke instellingen geaccrediteerd zijn en welke certificaten zij mogen afgeven.

Wil je zeker weten dat een certificaat legitiem is, controleer dan altijd:

• De naam van de certificerende instelling op het certificaat
• Of die instelling geaccrediteerd is via de RvA of een vergelijkbare nationale accreditatie-instantie
• Of de gecertificeerde organisatie voorkomt in het openbare register van die instelling

Wat betekent het als een certificaat niet online vindbaar is?

Als een ISO 27001-certificaat niet online vindbaar is, betekent dat niet automatisch dat het certificaat ongeldig is. Sommige organisaties kiezen er bewust voor hun certificering niet openbaar te maken, of de certificerende instelling publiceert het register niet volledig online. In dat geval is directe verificatie bij de instelling de aangewezen route.

Er zijn echter ook situaties waarin een certificaat werkelijk ontbreekt of verlopen is. Een organisatie die beweert gecertificeerd te zijn maar geen bewijs kan overleggen, verdient het kritisch te worden bevraagd. Vraag in dat geval altijd om het originele certificaatdocument. Daarop staan het certificaatnummer, de geldigheidsdatum, de scope van de certificering en de naam van de certificerende instelling. Met die gegevens kun je rechtstreeks contact opnemen met de instelling om de authenticiteit te bevestigen.

Kortom: niet vindbaar online is niet hetzelfde als niet gecertificeerd, maar het vraagt wel om extra verificatiestappen.

Hoe controleer je of een ISO 27001-certificaat nog geldig is?

Om de geldigheid van een ISO 27001-certificaat te controleren, kijk je naar de vervaldatum op het certificaatdocument en verifieer je via het register van de certificerende instelling of de certificering actief is. Een ISO 27001-certificaat heeft een geldigheidsduur van drie jaar, maar vereist jaarlijkse controle-audits om de status actief te houden.

Een certificaat kan tussentijds worden ingetrokken als een organisatie niet meer voldoet aan de norm of de jaarlijkse surveillance-audit niet heeft doorstaan. Zelfs als de vervaldatum nog niet verstreken is, kan een certificaat dus al inactief zijn. Controleer daarom altijd de actuele status in het register, niet alleen de datum op het document.

Bij ISO 27001-certificering via een geaccrediteerde instelling ontvangen gecertificeerde organisaties na drie jaar een hercertificering. Tussentijdse controle-audits zorgen ervoor dat de certificering doorlopend aansluit bij de werkelijkheid van de organisatie.

Wat zijn tekenen dat een ISO 27001-certificaat niet authentiek is?

Een ISO 27001-certificaat is mogelijk niet authentiek als het is afgegeven door een niet-geaccrediteerde instelling, als het certificaatnummer niet traceerbaar is, of als de scope vaag en onvolledig is omschreven. Dit zijn de meest voorkomende signalen dat een certificaat niet de waarde heeft die het suggereert.

Let specifiek op de volgende waarschuwingssignalen:

• Geen accreditatiemerk: een legitiem certificaat toont het logo van de accreditatie-instantie (zoals de RvA) en de certificerende instelling
• Vage of buitensporig brede scope: een betrouwbaar certificaat beschrijft precies welke processen, locaties en systemen gedekt zijn
• Onbekende certificerende instelling: als de instelling niet voorkomt in het RvA-register of een vergelijkbaar accreditatieregister, is voorzichtigheid geboden
• Geen verificatiemogelijkheid: geaccrediteerde instellingen bieden altijd een manier om een certificaat te verifiëren
• Afwijkende opmaak of taalfouten: officiële certificaten volgen vaste formats en zijn zorgvuldig opgesteld

Twijfel je aan de echtheid van een certificaat? Neem dan direct contact op met de certificerende instelling die op het document vermeld staat en vraag om bevestiging op basis van het certificaatnummer.

Waarom kiezen organisaties voor een geaccrediteerde certificering?

Organisaties kiezen voor een geaccrediteerde ISO 27001-certificering omdat alleen een geaccrediteerd certificaat internationaal erkend wordt en aantoonbaar waarde heeft voor klanten, aanbestedingen en toezichthouders. Een accreditatie is de onafhankelijke bevestiging dat de certificerende instelling bekwaam, onpartijdig en betrouwbaar werkt.

In de praktijk stellen steeds meer opdrachtgevers en overheden als eis dat een certificering afkomstig is van een geaccrediteerde instelling. Zonder accreditatie heeft een certificaat juridisch en commercieel veel minder gewicht. Bovendien sluit een geaccrediteerde certificering beter aan bij wettelijke verplichtingen zoals de AVG/GDPR en de NIS2-richtlijn, waarbij aantoonbare informatiebeveiliging steeds zwaarder weegt.

Wij werken als geaccrediteerde auditinstelling (RvA C618) en bieden een contextgerichte benadering van informatiebeveiliging die verder gaat dan het afvinken van een checklist. Onze auditors combineren technische kennis met sectorspecifieke expertise, zodat het certificaat niet alleen formeel klopt, maar ook écht iets zegt over de weerbaarheid van de organisatie.

Een geaccrediteerde certificering biedt organisaties dus drie concrete voordelen: internationale erkenning, aantoonbare compliance en een audit die daadwerkelijk bijdraagt aan een sterker beveiligingsniveau.

Wil je weten of jouw organisatie in aanmerking komt voor ISO 27001-certificering, of wil je een bestaand certificaat laten verifiëren? Neem contact op en we denken graag met je mee over de volgende stap.

Gerelateerde artikelen

• Wat doe je als een klant een ISO 27001 certificaat eist en jij nog niet gecertificeerd bent?
• Hoe verschilt een ISO 27001 certificeringsaudit van een IGJ-inspectie?
• Welke praktische criteria helpen bij het shortlisten van certificerende instellingen?
• Hoe herken je een vervalst of ongeldig ISO 27001 certificaat?
• Waar moet je aan denken bij het opstellen van een VVT?