Wat doe je als een opdrachtgever om een ISO 27001 certificaat vraagt?

Als een opdrachtgever om een ISO 27001 certificaat vraagt, is de boodschap duidelijk: informatiebeveiliging is voor hen een harde eis, geen wens. De praktische stap is om direct te inventariseren wat je al op orde hebt en een realistisch tijdpad te bepalen voor het certificeringstraject. Heb je vragen of wil je weten waar je staat? Neem gerust contact op en wij helpen je verder. In dit artikel beantwoorden we de meest gestelde vragen die op dat moment bij je opkomen.

Hoe snel moet je een ISO 27001 certificaat kunnen aantonen?

Een volledig ISO 27001 certificeringstraject duurt gemiddeld zes tot twaalf maanden, afhankelijk van de omvang van je organisatie en de volwassenheid van je bestaande beveiligingsmaatregelen. Een opdrachtgever die dit als eis stelt bij een aanbesteding of contract, geeft soms een kortere deadline. In dat geval is transparante communicatie met de opdrachtgever essentieel.

Vraag de opdrachtgever altijd eerst wat de exacte eis is en wanneer die geldt. Soms is gecertificeerd zijn vereist bij de start van het contract, maar soms ook pas na een jaar. In andere gevallen is een aantoonbaar lopend traject al voldoende als tussenoplossing. Hoe eerder je begint, hoe sterker je positie in dat gesprek.

Organisaties die al een basisniveau van informatiebeveiliging hebben ingericht, kunnen het traject soms verkorten. Maar reken niet op minder dan zes maanden als je vrijwel vanaf nul begint.

Wat zijn de eerste stappen om met ISO 27001 te beginnen?

De eerste stap bij het starten van een ISO 27001 traject is een gap-analyse: een vergelijking tussen wat je organisatie nu doet op het gebied van informatiebeveiliging en wat de norm vereist. Die analyse legt bloot welke processen, documentatie en maatregelen ontbreken of verbeterd moeten worden.

Daarna volg je in grote lijnen dit pad:

1. Gap-analyse uitvoeren om de huidige situatie te beoordelen
2. Scope bepalen: welke onderdelen van de organisatie vallen onder het managementsysteem?
3. Informatiebeveiligingsbeleid opstellen en risicobeoordeling uitvoeren
4. Maatregelen implementeren op basis van de risicoanalyse
5. Interne audit uitvoeren om de werking te toetsen
6. Certificeringsaudit aanvragen bij een geaccrediteerde auditinstelling

Een goede voorbereiding is het halve werk. Organisaties die de scope te breed kiezen of te weinig draagvlak creëren binnen het management, lopen vaak vertraging op. Begin klein en gericht als dat mogelijk is.

Moet je zelf een ISO 27001 certificaat hebben of kan een opdrachtgever ook een andere zekerheid accepteren?

Niet elke opdrachtgever eist per se een ISO 27001 certificaat. Sommige opdrachtgevers accepteren ook alternatieve vormen van zekerheid, zoals een Third Party Memorandum (TPM), een SOC 2-rapport, of een aantoonbaar ingericht informatiebeveiligingsbeleid met ondersteunende documentatie.

Toch neemt de vraag naar een formeel ISO 27001 certificaat toe, zeker bij overheidsinstanties, zorginstellingen en grotere bedrijven. Een certificaat geeft een objectieve, door een onafhankelijke partij getoetste zekerheid. Dat is moeilijk te vervangen door interne documentatie alleen.

Ga in gesprek met de opdrachtgever om te begrijpen wat hun achterliggende behoefte is. Willen ze aantoonbare beveiliging van klantdata? Voldoen aan een aanbestedingseis? Of is het een contractuele standaard? Het antwoord bepaalt welke route het meest passend is.

Wat kost een ISO 27001 certificering voor een MKB-bedrijf?

De totale kosten van een ISO 27001 certificering voor een MKB-bedrijf liggen doorgaans tussen de vijftienduizend en vijftigduizend euro, afhankelijk van de organisatieomvang, de benodigde begeleiding en de complexiteit van de scope. Dit zijn kosten over het gehele traject, inclusief voorbereiding, implementatie en de certificeringsaudit zelf.

De kosten bestaan uit meerdere onderdelen:

• Advies en implementatiebegeleiding: dit is vaak de grootste kostenpost, zeker als je een externe consultant inschakelt
• Auditkosten: de fase 1 en fase 2 audit door een geaccrediteerde certificeringsinstelling
• Interne uren: de tijd die medewerkers besteden aan documentatie, bewustwording en implementatie
• Jaarlijkse surveillance-audits: na certificering volgen jaarlijkse controleaudits om het certificaat te behouden

Organisaties die al veel op orde hebben, betalen minder. Wie vrijwel vanaf nul begint, heeft meer begeleiding nodig en ziet hogere kosten. Transparantie over de scope en een realistische planning helpen de kosten beheersbaar te houden.

Wie in de organisatie is verantwoordelijk voor het ISO 27001 traject?

Formeel ligt de eindverantwoordelijkheid voor een ISO 27001 traject bij het topmanagement. De norm vereist aantoonbare betrokkenheid van de directie, onder andere door het vaststellen van beleid en het beschikbaar stellen van middelen. Zonder die betrokkenheid is een succesvolle certificering vrijwel onmogelijk.

In de praktijk wordt de dagelijkse coördinatie belegd bij een Information Security Officer (ISO) of een aangewezen projectverantwoordelijke. Dit kan een interne medewerker zijn, maar ook een externe adviseur die tijdelijk deze rol vervult. Wat telt, is dat iemand eigenaarschap neemt en het proces aanstuurt.

Betrek ook andere afdelingen vroeg in het traject. Informatiebeveiliging raakt niet alleen IT, maar ook HR, juridische zaken, inkoop en operationele processen. Draagvlak in de breedte van de organisatie maakt het verschil tussen een papieren systeem en een werkend managementsysteem.

Wat gebeurt er als je de ISO 27001 eis van een opdrachtgever niet haalt?

Als je de ISO 27001 eis van een opdrachtgever niet haalt, loop je het risico dat je de opdracht misloopt, een contract niet verlengd krijgt, of uitgesloten wordt van een aanbesteding. In sectoren zoals de overheid en de zorg wordt dit steeds vaker een harde contractuele voorwaarde.

Toch is openheid vaak de beste strategie. Communiceer proactief met de opdrachtgever als je het certificaat nog niet hebt, maar wel actief aan het traject werkt. Laat zien welke stappen je al hebt gezet en wat de verwachte doorlooptijd is. Veel opdrachtgevers waarderen die transparantie en zijn bereid een redelijke overgangstermijn te accepteren.

Wat je in elk geval wilt vermijden, is niets doen. Hoe eerder je het certificeringstraject start, hoe sterker je positie in het gesprek met de opdrachtgever. Een aantoonbaar lopend traject geeft al een signaal van serieuze intentie en professionaliteit.

Staat een opdrachtgever op de stoep met een ISO 27001 eis en weet je niet waar je moet beginnen? Wij denken graag met je mee over een aanpak die past bij jouw organisatie en tijdlijn. Neem contact op en plan een vrijblijvend gesprek.

Gerelateerde artikelen

• Wat zijn de overwegingen bij het uitbreiden van je ISO 27001 certificering?
• Welke bewijsstukken vraagt een opdrachtgever bij informatiebeveiliging?
• Hoe lang duurt een gemiddeld certificeringstraject?
• Wat zijn de stappen in het ISO 27001 certificeringsproces?
• Hoe creëer je bewustwording voor informatiebeveiliging?