Bij een eerste ISO 27001-certificeringsaudit beoordeelt de auditor of uw Information Security Management System (ISMS) aantoonbaar is opgezet, geïmplementeerd en effectief werkt. De audit bestaat uit twee fasen: een documentatiebeoordeling (fase 1) en een implementatiebeoordeling (fase 2). Heb je vragen over de voorbereiding? Neem gerust contact op en we helpen je verder. In dit artikel beantwoorden we de meest gestelde vragen over wat een auditor precies controleert.
Welke documenten moet een organisatie klaar hebben voor de audit?
Voor een eerste ISO 27001-certificeringsaudit moet een organisatie een volledige set verplichte documentatie gereed hebben. Dit omvat minimaal de scope van het ISMS, het informatiebeveiligingsbeleid, de risicobeoordelingsmethodologie, de Statement of Applicability (SoA), het risicobehandelingsplan en gedocumenteerde procedures voor de relevante beheersmaatregelen.
De auditor beoordeelt in fase 1 of deze documentatie aanwezig, consistent en volledig is. Ontbrekende of tegenstrijdige documenten leiden vrijwel altijd tot een bevinding. Denk ook aan bewijs van interne audits, managementreviews en bewustzijnstrainingen. Documenten hoeven niet perfect te zijn, maar moeten duidelijk laten zien dat de organisatie het ISMS bewust heeft ontworpen en beheerst.
- Scope-document van het ISMS
- Informatiebeveiligingsbeleid (goedgekeurd door het management)
- Risicobeoordelingsrapport en risicoregister
- Statement of Applicability (SoA) met onderbouwing van in- en uitsluitingen
- Risicobehandelingsplan
- Interne-auditrapportage en managementreview-notulen
- Bewijs van bewustzijnstraining en competentiebeheer
Hoe beoordeelt de auditor het risicobeheerproces?
De auditor beoordeelt of het risicobeheerproces methodisch, herhaalbaar en gedocumenteerd is. Dat betekent dat de organisatie een duidelijke methodologie hanteert voor het identificeren, analyseren en evalueren van informatiebeveiligingsrisico’s, en dat de uitkomsten aantoonbaar zijn vastgelegd in een risicoregister.
Belangrijk is dat de auditor niet alleen kijkt of er een risicoregister bestaat, maar ook of de risicobeoordeling logisch aansluit op de gekozen beheersmaatregelen in de SoA. De verbinding tussen risico en maatregel moet helder zijn. Risico’s die zijn geïdentificeerd maar vervolgens niet zijn behandeld of bewust geaccepteerd, vormen een zwak punt in het dossier. De auditor verwacht ook dat risicobeheer geen eenmalige exercitie is, maar periodiek wordt herhaald en bijgesteld.
Wat controleert de auditor bij de implementatie van beheersmaatregelen?
Bij de implementatie van beheersmaatregelen controleert de auditor of de in de SoA opgenomen maatregelen daadwerkelijk zijn ingevoerd in de dagelijkse praktijk. Het gaat niet alleen om papieren beleid, maar om aantoonbare uitvoering. De auditor toetst dit via interviews, observaties en het opvragen van bewijsmateriaal.
Denk aan toegangsbeheer: zijn er procedures voor het aanmaken en intrekken van accounts, en worden die ook gevolgd? Of bij incidentbeheer: bestaat er een meldprocedure, en zijn er daadwerkelijk incidenten geregistreerd en afgehandeld? De auditor zoekt naar consistentie tussen wat de organisatie zegt te doen en wat er in de praktijk gebeurt. Afwijkingen tussen beleid en uitvoering zijn een van de meest voorkomende oorzaken van bevindingen bij een eerste certificeringsaudit.
Hoe toont een organisatie aan dat het ISMS daadwerkelijk werkt?
Een organisatie toont aan dat het ISMS werkt door bewijs te leveren van continue monitoring, interne audits, managementbetrokkenheid en verbeteracties. De auditor wil zien dat het systeem leeft: dat afwijkingen worden gesignaleerd, geanalyseerd en opgelost, en dat het management actief betrokken is bij de informatiebeveiliging.
Concrete bewijsmiddelen zijn onder andere: notulen van managementreviews waarin beveiligingsonderwerpen structureel worden besproken, rapporten van interne audits met opvolging van bevindingen, en gedocumenteerde verbeteracties (correctieve maatregelen). Ook KPI’s of meetresultaten die aantonen dat beveiligingsdoelstellingen worden gemonitord, versterken het dossier aanzienlijk. Een ISMS dat alleen op papier bestaat maar niet wordt uitgevoerd, zal de certificeringsaudit niet doorstaan.
Wat zijn veelvoorkomende bevindingen bij een eerste ISO 27001-audit?
Bij een eerste ISO 27001-audit zijn de meest voorkomende bevindingen: een onvolledige of niet-onderbouwde Statement of Applicability, ontbrekend bewijs van interne audits of managementreviews, en een te oppervlakkig risicobeheerproces waarbij de koppeling tussen risico en maatregel onduidelijk is.
Andere terugkerende aandachtspunten zijn:
- Beleidsdocumenten die niet zijn goedgekeurd of gedateerd door het management
- Geen aantoonbare bewustzijnstraining voor medewerkers
- Incidentregistratie die ontbreekt of niet consequent wordt bijgehouden
- Beheersmaatregelen die wel in de SoA staan, maar in de praktijk nog niet zijn ingevoerd
- Leveranciersbeheer dat onvoldoende is gedocumenteerd
Bevindingen worden ingedeeld als minor nonconformiteit, major nonconformiteit of observatie. Een major nonconformiteit blokkeert de certificering totdat deze is opgelost. Bij een goede voorbereiding zijn de meeste bevindingen te vermijden of te beperken tot minors.
Wat gebeurt er na de audit: hoe werkt het certificeringsbesluit?
Na de certificeringsaudit stelt de auditor een auditrapport op met alle bevindingen. Op basis van dit rapport neemt de certificeringsinstelling een certificeringsbesluit. Als er geen major nonconformiteiten zijn of als aangetoonde correctieve maatregelen zijn genomen, ontvangt de organisatie het ISO 27001-certificaat.
Het certificaat heeft een geldigheid van drie jaar. In die periode vinden jaarlijkse controle-audits (surveillance-audits) plaats om te verifiëren dat het ISMS blijft functioneren en verbeteren. Na drie jaar volgt een hercertificeringsaudit. Bij DigiTrust begeleiden we organisaties niet alleen tijdens de eerste certificeringsaudit informatiebeveiliging, maar ook in de jaren daarna, zodat het certificaat zijn waarde behoudt en het ISMS blijft aansluiten op de organisatie.
Wil je weten hoe jouw organisatie ervoor staat en wat er nodig is om de eerste audit succesvol te doorlopen? Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.
Veelgestelde vragen
Welke documenten moet een organisatie klaar hebben voor de audit?
Voor een eerste ISO 27001-certificeringsaudit moet je minimaal de ISMS-scope, het informatiebeveiligingsbeleid, de Statement of Applicability, het risicobehandelingsplan en bewijs van interne audits en managementreviews gereed hebben. Deze documenten hoeven niet perfect te zijn, maar moeten aantonen dat je het ISMS bewust hebt ontworpen en actief beheert.
Hoe beoordeelt de auditor het risicobeheerproces?
De auditor controleert of jouw risicobeheerproces methodisch, herhaalbaar en volledig gedocumenteerd is, met een duidelijke koppeling tussen geïdentificeerde risico’s en de gekozen beheersmaatregelen in de SoA. Risico’s die niet zijn behandeld of bewust geaccepteerd zonder onderbouwing, en een risicobeoordeling die slechts eenmalig is uitgevoerd, worden als zwakke punten gezien.
Wat zijn de meest voorkomende bevindingen bij een eerste ISO 27001-audit?
De meest voorkomende bevindingen zijn een onvolledige Statement of Applicability, ontbrekend bewijs van interne audits of managementreviews, en een onduidelijke koppeling tussen risico’s en beheersmaatregelen. Met een goede voorbereiding zijn de meeste van deze bevindingen te vermijden of te beperken tot minor nonconformiteiten, die de certificering niet blokkeren.
Wat gebeurt er na de audit en hoe lang is het ISO 27001-certificaat geldig?
Na de audit stelt de auditor een rapport op en neemt de certificeringsinstelling een certificeringsbesluit; bij geen major nonconformiteiten ontvang je het ISO 27001-certificaat, dat drie jaar geldig is. Tijdens deze periode vinden jaarlijkse surveillance-audits plaats om te controleren of het ISMS blijft functioneren, gevolgd door een hercertificeringsaudit na drie jaar.
