Wanneer wordt een ISO 27001 certificaat geschorst?

Een ISO 27001 certificaat wordt geschorst wanneer een organisatie niet langer aantoonbaar voldoet aan de eisen van de norm, en de certificerende instelling onvoldoende vertrouwen heeft dat de situatie snel wordt hersteld. Dit gebeurt doorgaans na een ernstige bevinding tijdens een surveillance-audit of na een significant beveiligingsincident. In dit artikel beantwoorden we de meest gestelde vragen over schorsing, intrekking en herstel van je ISO 27001 certificering. Heb je een directe vraag? Neem gerust contact op en we helpen je verder.

Wat zijn de meest voorkomende redenen voor schorsing?

Een ISO 27001 certificaat wordt het vaakst geschorst vanwege het niet tijdig uitvoeren van vereiste audits, het niet oplossen van eerder vastgestelde major non-conformiteiten, of een ernstig beveiligingsincident dat aantoont dat het managementsysteem niet functioneert zoals vereist. Ook het weigeren van toegang aan auditors is een directe schorsingsgrond.

Concreet zijn dit de meest voorkomende oorzaken:

• Niet tijdig plannen of uitvoeren van de jaarlijkse surveillance-audit, waardoor de continuïteit van het toezicht wordt onderbroken.
• Openstaande major non-conformiteiten die binnen de afgesproken termijn niet zijn opgelost.
• Significante wijzigingen in de organisatie, zoals een fusie, overname of ingrijpende reorganisatie, zonder dat de certificerende instelling hiervan op de hoogte is gesteld.
• Een ernstig beveiligingsincident, zoals een datalek, dat aantoont dat de beveiligingsmaatregelen structureel tekortschieten.
• Het niet beschikbaar stellen van informatie of medewerking tijdens een audit.

Opvallend is dat schorsing zelden uit het niets komt. In de meeste gevallen zijn er voorafgaand al signalen geweest, zoals herhaalde minor non-conformiteiten of gemiste deadlines voor corrigerende maatregelen.

Wat is het verschil tussen schorsing en intrekking van een certificaat?

Schorsing is een tijdelijke maatregel waarbij het certificaat tijdelijk ongeldig wordt verklaard, maar nog niet volledig vervalt. Intrekking is definitief: het certificaat wordt ingetrokken en de organisatie moet een volledig nieuw certificeringstraject doorlopen om opnieuw gecertificeerd te raken. Schorsing is dus een waarschuwingsfase vóór intrekking.

Tijdens een schorsingsperiode mag een organisatie het certificaat niet meer actief gebruiken in offertes, marketingmateriaal of aanbestedingen. Dit kan directe commerciële gevolgen hebben, zeker als klanten of opdrachtgevers ISO 27001 certificering als voorwaarde stellen.

De schorsingsperiode heeft een maximale duur, die per certificerende instelling kan verschillen maar doorgaans zes maanden bedraagt. Wordt de situatie binnen die periode niet hersteld, dan volgt automatisch intrekking. Bij intrekking verdwijnt het certificaat volledig uit de publieke registers van de accreditatie-instelling.

Hoe verloopt het schorsingsproces bij een certificerende instelling?

Het schorsingsproces begint met een formele kennisgeving van de certificerende instelling aan de gecertificeerde organisatie. Hierin worden de reden voor de schorsing, de ingangsdatum en de termijn voor herstel vastgelegd. De organisatie krijgt vervolgens de gelegenheid om aantoonbaar corrigerende maatregelen te treffen.

Het proces verloopt globaal in deze stappen:

1. Constatering van de schorsingsgrond door de auditor of certificerende instelling.
2. Formele schorsingsbrief met daarin de reden, ingangsdatum en hersteltermijn.
3. Publicatie van de schorsing in het certificatenregister van de accreditatie-instelling (RvA).
4. Herstelperiode waarin de organisatie corrigerende maatregelen implementeert en documenteert.
5. Herbeoordeling door de certificerende instelling om vast te stellen of de situatie voldoende is hersteld.
6. Opheffing van de schorsing of intrekking, afhankelijk van de uitkomst van de herbeoordeling.

Gedurende het hele proces is transparante communicatie essentieel. Hoe sneller een organisatie reageert en aantoont dat zij de situatie serieus neemt, hoe groter de kans op een succesvol herstel.

Wat moet een organisatie doen na een schorsing?

Na een schorsing moet een organisatie onmiddellijk actie ondernemen: analyseer de oorzaak van de schorsing, stel een concreet herstelplan op, en communiceer proactief met de certificerende instelling over de voortgang. Snelheid en aantoonbaarheid zijn hierbij cruciaal.

Praktisch gezien betekent dit:

• Voer een grondige root cause analyse uit om te begrijpen waarom de non-conformiteit is ontstaan, niet alleen wat er mis ging.
• Documenteer alle corrigerende maatregelen inclusief verantwoordelijken, deadlines en bewijs van uitvoering.
• Informeer relevante stakeholders, zoals klanten of opdrachtgevers die het certificaat als eis stellen, over de situatie en het herstelplan.
• Verwijder actief alle verwijzingen naar het certificaat uit marketingmateriaal, offertes en websites zolang de schorsing van kracht is.
• Houd de certificerende instelling actief op de hoogte van de voortgang, ook als er vertraging optreedt.

Organisaties die proactief en transparant communiceren, maken aanzienlijk meer kans op een succesvolle opheffing van de schorsing binnen de gestelde termijn.

Kan een geschorst certificaat worden hersteld?

Ja, een geschorst ISO 27001 certificaat kan worden hersteld, mits de organisatie binnen de schorsingsperiode aantoonbaar voldoet aan de gestelde eisen. De certificerende instelling voert een herbeoordeling uit en heft de schorsing op als de bevindingen zijn opgelost en het managementsysteem weer betrouwbaar functioneert.

Herstel is niet automatisch: de organisatie moet actief bewijs aanleveren dat de corrigerende maatregelen effectief zijn geïmplementeerd. Dit kan een documentatiereview zijn, een aanvullende audit ter plaatse, of een combinatie van beide, afhankelijk van de ernst van de oorspronkelijke bevinding.

Na opheffing van de schorsing wordt het certificaat opnieuw geactiveerd in de publieke registers. De looptijd van het certificaat wordt doorgaans niet verlengd vanwege de schorsingsperiode, wat betekent dat de eerstvolgende audit eerder kan plaatsvinden dan oorspronkelijk gepland.

Hoe voorkom je dat je ISO 27001 certificaat wordt geschorst?

Schorsing voorkom je door het informatiebeveiliging managementsysteem actief te onderhouden, audits tijdig in te plannen, en non-conformiteiten consequent en binnen de afgesproken termijnen op te lossen. Certificering is geen eenmalige prestatie maar een doorlopend proces.

De meest effectieve preventieve maatregelen zijn:

• Plan surveillance-audits ruim van tevoren in en zorg dat er voldoende capaciteit beschikbaar is bij de verantwoordelijke medewerkers.
• Voer regelmatig interne audits uit zodat non-conformiteiten intern worden gesignaleerd vóór een externe audit.
• Houd het ISMS actueel bij organisatorische veranderingen, nieuwe systemen of gewijzigde risico’s. Meer over de brede aanpak van informatiebeveiliging lees je op onze website.
• Monitor de opvolging van corrigerende maatregelen actief en sluit bevindingen formeel af met bewijs.
• Communiceer wijzigingen in de organisatie proactief aan de certificerende instelling, zodat zij tijdig kan beoordelen wat de impact is op het certificaat.
• Betrek het management actief bij de ISO 27001 auditvoorbereiding, want managementbetrokkenheid is zowel een normvereiste als een kritische succesfactor.

Een goed onderhouden ISMS maakt schorsing vrijwel onmogelijk. Wie de cyclus van plannen, uitvoeren, controleren en bijsturen serieus neemt, heeft zelden te maken met ernstige bevindingen die tot schorsing leiden. Wil je zeker weten dat jouw organisatie op koers ligt? Neem contact op en plan een gesprek met een van onze auditors.

Gerelateerde artikelen

• Welke documentatiefouten zorgen het vaakst voor vertraging bij een ISO 27001 audit?
• Wat zijn signalen dat een ISO 27001 certificerende instelling niet bij je past?
• Wat is het verschil tussen ISO 27001 en NEN 7510?
• Hoe toets je zelf of de documentatie voldoende is voor de audit?
• Wat is het verschil tussen ISO 27001 en ISO 27002?