Het juiste moment voor een ISO 27001-certificeringsaudit is wanneer je interne audit is afgerond, alle bevindingen zijn opgelost en je managementsysteem aantoonbaar operationeel is, doorgaans zes tot twaalf weken na de interne audit. Dit geldt voor organisaties die hun ISMS volledig hebben geïmplementeerd en minimaal enkele maanden bewijs van werking hebben opgebouwd. Hieronder beantwoorden we de meest gestelde vragen over het plannen van je certificeringsaudit, zodat je goed voorbereid van start kunt gaan. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en wij helpen je graag verder.
Hoe weet je of je organisatie klaar is voor een certificeringsaudit?
Je organisatie is klaar voor een ISO 27001-certificeringsaudit wanneer het Information Security Management System (ISMS) volledig is gedocumenteerd, geïmplementeerd en operationeel is gedurende minimaal twee tot drie maanden. Daarnaast moet een interne audit zijn uitgevoerd en moet de directiebeoordeling hebben plaatsgevonden.
Concreet betekent dit dat je de volgende zaken op orde hebt:
- Een gedocumenteerd ISMS inclusief informatiebeveiligingsbeleid, risicoanalyse en verklaring van toepasselijkheid (SoA)
- Aantoonbare implementatie van de relevante beheersmaatregelen uit Annex A
- Een voltooide interne audit met bijbehorend rapport
- Een directiebeoordeling die de resultaten van de interne audit bespreekt
- Correctieve maatregelen voor eventuele bevindingen, afgerond of in uitvoering met een helder plan
Een handige zelfcheck is om na te gaan of je auditor voldoende bewijs van werking kan inzien. Processen die pas vorige week zijn ingevoerd, bieden te weinig aantoonbare werking. Twee tot drie maanden operationele historie is een realistisch minimum om de audit met vertrouwen in te gaan.
Wat is het verschil tussen een stage 1- en stage 2-audit?
Een stage 1-audit is een documentatiereview waarbij de auditinstelling beoordeelt of je ISMS voldoende is uitgewerkt en gedocumenteerd om door te gaan naar de certificeringsaudit. Een stage 2-audit is de daadwerkelijke certificeringsaudit waarbij wordt getoetst of het systeem ook in de praktijk werkt zoals bedoeld.
Tijdens stage 1 kijkt de auditor naar de opzet van je managementsysteem: zijn de juiste documenten aanwezig, is de scope duidelijk afgebakend en zijn de risico’s adequaat geanalyseerd? Stage 1 vindt doorgaans plaats op locatie of online en duurt afhankelijk van de organisatiegrootte een halve tot een volledige dag.
Stage 2 volgt enkele weken later en gaat dieper in op de werking en effectiviteit van je ISMS. Auditors voeren interviews, beoordelen bewijsmateriaal en toetsen of medewerkers de processen kennen en naleven. Pas na een positieve stage 2 ontvang je het ISO 27001-certificaat.
Het interval tussen stage 1 en stage 2 is bewust kort gehouden, maar biedt je wel de ruimte om eventuele tekortkomingen uit stage 1 te herstellen voordat de eigenlijke certificeringsaudit plaatsvindt.
Hoeveel tijd zit er tussen een interne audit en de certificeringsaudit?
De aanbevolen periode tussen een interne audit en de ISO 27001-certificeringsaudit is zes tot twaalf weken. Deze tijd is nodig om bevindingen uit de interne audit op te lossen, correctieve maatregelen te implementeren en aanvullend bewijs van werking op te bouwen.
Ga je te snel na de interne audit naar de certificeringsaudit, dan loop je het risico dat correctieve maatregelen nog niet zijn afgerond of dat er onvoldoende tijd is geweest om verbeteringen aantoonbaar te maken. Wacht je te lang, dan kan eerder opgebouwd bewijsmateriaal verouderen of kunnen processen zijn gewijzigd zonder dat dit goed is gedocumenteerd.
Een praktische tijdlijn ziet er als volgt uit:
- Interne audit uitgevoerd
- Bevindingen geanalyseerd en correctieve maatregelen gestart (week 1 tot 2)
- Maatregelen geïmplementeerd en gedocumenteerd (week 2 tot 6)
- Stage 1-audit gepland en uitgevoerd (week 6 tot 8)
- Eventuele aanvullende acties na stage 1 afgerond (week 8 tot 10)
- Stage 2-audit, de eigenlijke certificeringsaudit (week 10 tot 12)
Welke factoren bepalen het beste moment om te plannen?
Het beste moment voor het plannen van een certificeringsaudit wordt bepaald door de rijpheid van je ISMS, de beschikbaarheid van sleutelpersonen, lopende organisatieveranderingen en eventuele externe deadlines zoals aanbestedingen of contractvereisten.
Houd bij het bepalen van het moment rekening met de volgende factoren:
- Rijpheid van het ISMS: Is het systeem lang genoeg operationeel om voldoende bewijsmateriaal te hebben opgebouwd?
- Beschikbaarheid van medewerkers: Zijn de betrokken proceseigenaren en het management beschikbaar tijdens de auditdagen?
- Organisatorische rust: Vermijd periodes van grote reorganisaties, fusies of systeemmigraties die het ISMS tijdelijk kunnen verstoren.
- Externe deadlines: Heeft een klant of aanbesteding een uiterste datum waarop je gecertificeerd moet zijn? Reken dan terug en plan de audit met voldoende marge.
- Seizoensgebonden drukte: Sommige sectoren kennen drukke periodes waarin medewerkers moeilijk beschikbaar zijn voor audits.
Meer weten over het certificeringsproces en hoe wij dit samen met je afstemmen? We lopen het graag met je door.
Wat zijn de risico’s van te vroeg of te laat plannen?
Te vroeg plannen vergroot de kans op een niet-geslaagde audit doordat het ISMS onvoldoende bewijs van werking heeft. Te laat plannen leidt tot gemiste deadlines, hogere druk op het team en soms onnodige kosten door een verlopen voorbereidingstraject.
Wanneer een organisatie de ISO 27001-audit te vroeg inplant, ziet de auditor een systeem dat weliswaar op papier goed is uitgewerkt, maar in de praktijk nog niet voldoende is ingebed. Dit leidt tot majeure bevindingen die een herstelaudit vereisen, met extra kosten en vertraging als gevolg.
Aan de andere kant kan te lang wachten ook nadelen hebben. Bewijs dat is opgebouwd in de vroege implementatiefase kan minder relevant worden als processen inmiddels zijn aangepast. Bovendien neemt de motivatie binnen het team soms af als de finish steeds wordt uitgesteld.
Een veelgemaakte fout is ook het onderschatten van de planningsdoorlooptijd bij een auditinstelling. Populaire periodes kunnen volgeboekt zijn, waardoor je later dan gewenst terecht kunt. Plan daarom ruim van tevoren en stem de datum vroeg af.
Hoe plan je een certificeringsaudit samen met een auditinstelling?
Een certificeringsaudit plannen begint met een intakegesprek met de auditinstelling, gevolgd door het bepalen van de scope, het inschatten van de auditduur en het vaststellen van de auditdata voor zowel stage 1 als stage 2. Dit proces duurt doorgaans twee tot vier weken.
Bij DigiTrust verloopt dit proces als volgt:
- Eerste contact en intake: We bespreken de omvang van je organisatie, de scope van het ISMS en de beoogde certificeringsdatum.
- Offerte en planning: Op basis van de intake stellen we een auditplan op met een voorstel voor de auditdata en de benodigde auditdagen.
- Documentaanlevering voor stage 1: Je levert de kernstukken van je ISMS aan zodat we ons kunnen voorbereiden.
- Uitvoering stage 1: We beoordelen de opzet en documentatie van je ISMS en geven gerichte terugkoppeling.
- Voorbereiding stage 2: Eventuele verbeterpunten uit stage 1 worden opgepakt en we stemmen de definitieve agenda voor stage 2 af.
- Uitvoering stage 2: De volledige informatiebeveiligingsaudit vindt plaats, inclusief interviews en bewijsbeoordeling.
Onze auditors denken actief mee over het beste moment en de meest logische aanpak voor jouw organisatie. We werken transparant en communiceren helder in elke fase, zodat je nooit voor verrassingen staat. Klaar om de volgende stap te zetten? Neem contact op en we plannen samen een vrijblijvend intakegesprek.
Veelgestelde vragen
Hoe weet ik of mijn organisatie klaar is voor een ISO 27001-certificeringsaudit?
V: Hoe weet ik of mijn organisatie klaar is voor een ISO 27001-certificeringsaudit? A: Je organisatie is klaar wanneer het ISMS volledig is gedocumenteerd en minimaal twee tot drie maanden aantoonbaar operationeel is, de interne audit is afgerond en de directiebeoordeling heeft plaatsgevonden, en alle correctieve maatregelen zijn geïmplementeerd of voorzien van een helder uitvoeringsplan.
Wat is het verschil tussen een stage 1- en een stage 2-audit?
V: Wat is het verschil tussen een stage 1- en een stage 2-audit? A: Een stage 1-audit beoordeelt of je ISMS voldoende is gedocumenteerd en uitgewerkt om door te gaan naar de certificeringsaudit, terwijl een stage 2-audit toetst of het systeem ook in de dagelijkse praktijk effectief werkt door middel van interviews, bewijsbeoordeling en procescontroles.
Waarom wordt een periode van zes tot twaalf weken aanbevolen tussen de interne audit en de certificeringsaudit?
V: Waarom wordt een periode van zes tot twaalf weken aanbevolen tussen de interne audit en de certificeringsaudit? A: Deze periode geeft je voldoende tijd om bevindingen uit de interne audit op te lossen, correctieve maatregelen aantoonbaar te implementeren en aanvullend bewijs van werking op te bouwen, zodat je met vertrouwen en een solide dossier de certificeringsaudit ingaat.
Wanneer is het verkeerd om een certificeringsaudit in te plannen?
V: Wanneer is het verkeerd om een certificeringsaudit in te plannen? A: Het is onverstandig om een audit in te plannen tijdens grote reorganisaties, fusies of systeemmigraties, of wanneer het ISMS nog onvoldoende operationele historie heeft, omdat de auditor dan te weinig bewijs van werking aantreft en dit kan leiden tot majeure bevindingen en kostbare herstelaudits.
