Wat betekent het als een certificerende instelling RvA geaccrediteerd is?

Een RvA-geaccrediteerde certificerende instelling is een organisatie die door de Raad voor Accreditatie formeel is erkend als bekwaam om certificeringen uit te voeren volgens specifieke normen. Die erkenning is geen formaliteit: ze bewijst dat de instelling voldoet aan strenge internationale eisen voor onafhankelijkheid, vakbekwaamheid en kwaliteit van audits. In dit artikel beantwoorden we de meest gestelde vragen over RvA-accreditatie, zodat je precies weet waar je op moet letten bij het kiezen van een certificerende instelling. Heb je direct een vraag? Neem gerust contact op en we helpen je verder.

Wat doet de Raad voor Accreditatie precies?

De Raad voor Accreditatie (RvA) is de nationale accreditatie-instantie van Nederland. De RvA beoordeelt of organisaties zoals certificerende instellingen, testlaboratoria en keuringsinstellingen voldoen aan internationale normen voor competentie en onpartijdigheid. Door accreditatie te verlenen, geeft de RvA een onafhankelijk oordeel: deze instelling is vakbekwaam en werkt betrouwbaar.

De RvA werkt op basis van Europese wetgeving en is aangewezen door de Nederlandse overheid als enige nationale accreditatie-instantie. Dat betekent dat de RvA zelf ook aan strenge internationale eisen voldoet en regelmatig wordt getoetst door Europese collega-organisaties. Het systeem is dus meerdere lagen diep geborgd.

Voor certificerende instellingen op het gebied van informatiebeveiliging toetst de RvA onder meer of auditors aantoonbaar deskundig zijn, of de werkwijze voldoet aan de norm ISO/IEC 17021, en of de instelling onafhankelijk opereert ten opzichte van haar klanten. Pas als aan al die eisen is voldaan, ontvangt de instelling een accreditatieverklaring met een uniek kenmerk, zoals RvA C618 dat wij als DigiTrust dragen.

Wat zegt RvA-accreditatie over de kwaliteit van een audit?

RvA-accreditatie is een objectieve garantie dat een audit wordt uitgevoerd volgens vastgestelde kwaliteitsnormen. Het betekent dat de auditors aantoonbaar bekwaam zijn, dat de methode onafhankelijk en reproduceerbaar is, en dat de instelling periodiek opnieuw wordt beoordeeld. Een gecertificeerd oordeel van een geaccrediteerde instelling draagt daarmee echt gewicht.

Concreet betekent dit voor jou als organisatie dat een audit door een RvA-geaccrediteerde instelling niet zomaar een papieren exercitie is. De instelling moet kunnen aantonen dat haar auditors de juiste kennis hebben, dat er interne kwaliteitscontroles plaatsvinden en dat bevindingen worden onderbouwd. Dat maakt het resulterende certificaat ook internationaal erkend en geloofwaardig voor klanten, partners en aanbestedende diensten.

Bovendien worden geaccrediteerde instellingen regelmatig opnieuw beoordeeld door de RvA. Accreditatie is dus geen eenmalig stempel: een instelling moet haar kwaliteit continu bewijzen. Dat geeft jou als organisatie de zekerheid dat de lat ook na verloop van tijd hoog blijft liggen.

Wat is het verschil tussen geaccrediteerd en niet-geaccrediteerd certificeren?

Het kernverschil is erkenning en bewijskracht. Een certificaat van een RvA-geaccrediteerde certificerende instelling is internationaal erkend en voldoet aan vastgestelde onafhankelijkheidseisen. Een certificaat van een niet-geaccrediteerde instelling heeft geen formele status en wordt door overheden, aanbestedende partijen en internationale partners doorgaans niet geaccepteerd.

In de praktijk betekent dit dat een niet-geaccrediteerd certificaat weinig waarde heeft buiten de eigen organisatie. Als een opdrachtgever vraagt of je ISO 27001-gecertificeerd bent, bedoelen ze vrijwel altijd een certificaat van een geaccrediteerde instelling. Een certificaat van een niet-geaccrediteerde partij zal in de meeste aanbestedingen of contracten niet worden geaccepteerd.

Daarnaast biedt accreditatie een inhoudelijke garantie die niet-geaccrediteerde certificering mist. Bij een geaccrediteerde instelling zijn de auditors getoetst op vakbekwaamheid, is de methode onafhankelijk vastgesteld en worden de resultaten periodiek gecontroleerd. Dat niveau van borging ontbreekt bij een niet-geaccrediteerde aanbieder, hoe professioneel die zich ook presenteert.

Welke normen mag een RvA-geaccrediteerde instelling certificeren?

Een RvA-geaccrediteerde instelling mag uitsluitend certificeren voor de normen waarvoor zij specifiek geaccrediteerd is. Accreditatie is normspecifiek: een instelling die geaccrediteerd is voor ISO 27001 is daarmee niet automatisch bevoegd om ook voor NEN 7510 of andere normen te certificeren. De RvA vermeldt per instelling exact voor welke normen en sectoren de accreditatie geldt.

Voor organisaties in de informatiebeveiliging zijn de meest relevante normen waarvoor geaccrediteerde instellingen kunnen certificeren onder andere ISO 27001, NEN 7510 (voor de zorgsector) en de BIO (Baseline Informatiebeveiliging Overheid). Wil je weten welke normen van toepassing zijn op jouw sector, dan is het verstandig om dit vooraf te controleren bij de instelling die je overweegt.

Wij zijn als DigiTrust geaccrediteerd voor meerdere relevante normen binnen het domein van informatiebeveiliging. Dat betekent dat onze certificaten voor die normen volledig erkend zijn en voldoen aan de internationale eisen die de RvA stelt. Je kunt de exacte reikwijdte van onze accreditatie altijd opvragen of raadplegen via het RvA-register.

Hoe controleer je of een certificerende instelling echt RvA-geaccrediteerd is?

Je controleert de accreditatie van een certificerende instelling via het openbare register op de website van de Raad voor Accreditatie (rva.nl). Zoek op de naam van de instelling of het accreditatienummer. Het register toont precies voor welke normen, sectoren en activiteiten de accreditatie geldt, en of de accreditatie nog geldig is.

Let bij het controleren op de volgende punten:

• Accreditatiestatus: Is de accreditatie actief of is ze geschorst of ingetrokken?
• Reikwijdte: Geldt de accreditatie specifiek voor de norm waarvoor jij gecertificeerd wilt worden?
• Accreditatienummer: Elke geaccrediteerde instelling heeft een uniek nummer dat op certificaten vermeld moet staan.
• Geldigheidsperiode: Controleer of de accreditatie niet verlopen is.

Een betrouwbare certificerende instelling vermeldt haar accreditatienummer actief in haar communicatie en op de certificaten die zij afgeeft. Wij vermelden ons accreditatienummer RvA C618 dan ook altijd transparant, zodat je onze status eenvoudig kunt verifiëren. Twijfel je over de accreditatiestatus van een instelling, of wil je weten wat een gecertificeerd traject voor jouw organisatie inhoudt? Neem contact op en we beantwoorden al je vragen.

Gerelateerde artikelen

• Welke praktische criteria helpen bij het shortlisten van certificerende instellingen?
• Hoe kwetsbaar is een organisatie voor een ransomware aanval?
• Hoe weet je of de informatiebeveiliging van je organisatie op orde is?
• Wat doe je als je al gecertificeerd bent maar niet tevreden bent over de certificerende instelling?
• Hoe werkt het ISO 27001 auditproces?