Als een ziekenhuis, overheidsinstantie of andere opdrachtgever een ISO 27001-certificaat als vereiste stelt, betekent dat concreet: zonder dit certificaat kom je niet in aanmerking voor de opdracht of samenwerking. De oplossing is om zo snel mogelijk te starten met het certificeringsproces, want gemiddeld duurt het traject van voorbereiding tot certificaat drie tot twaalf maanden, afhankelijk van de volwassenheid van je informatiebeveiliging. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001 behalen, van doorlooptijd en kosten tot wat je doet als de deadline nadert. Heb je een acute vraag? neem gerust contact op en we helpen je verder.
Hoe snel kun je een ISO 27001-certificaat behalen?
De minimale doorlooptijd voor een ISO 27001-certificering is ruwweg drie maanden, maar alleen als je informatiebeveiliging al goed op orde is. Voor de meeste organisaties die vanaf nul beginnen, is zes tot twaalf maanden een realistischere inschatting. De exacte tijdsduur hangt sterk af van de complexiteit van je organisatie, het aantal medewerkers en de huidige staat van je informatiebeveiligingsbeleid.
Bepalende factoren voor de snelheid zijn onder andere:
- De aanwezigheid van een Information Security Management System (ISMS) of vergelijkbare documentatie
- De beschikbare interne capaciteit om het traject te begeleiden
- De omvang en complexiteit van de scope die je wilt certificeren
- Hoe snel bevindingen uit de eerste auditfase worden opgepakt en opgelost
Organisaties die eerder al werkten met normen als NEN 7510 of de BIO hebben vaak een voorsprong, omdat veel basisprincipes overlappen met ISO 27001.
Wat zijn de stappen om ISO 27001-gecertificeerd te worden?
Het ISO 27001-certificeringsproces verloopt in een aantal vaste stappen: je begint met het inrichten van een ISMS, voert een risicoanalyse uit, implementeert beheersmaatregelen, voert een interne audit uit en sluit af met een externe certificeringsaudit in twee fasen. Pas na een positieve beoordeling in beide auditfasen ontvang je het certificaat.
De stappen op een rij:
- Scope bepalen: Welke processen, systemen en locaties vallen onder de certificering?
- ISMS inrichten: Beleid, procedures en verantwoordelijkheden vastleggen conform de norm.
- Risicoanalyse uitvoeren: Informatiebeveiligingsrisico’s identificeren, beoordelen en behandelen.
- Beheersmaatregelen implementeren: Op basis van de risicoanalyse passende maatregelen invoeren (Annex A).
- Interne audit en directiebeoordeling: Controleer intern of het systeem werkt zoals bedoeld.
- Fase 1-audit (documentatiebeoordeling): De externe auditor beoordeelt je documentatie en de gereedheid van je organisatie.
- Fase 2-audit (implementatiebeoordeling): De auditor toetst of de maatregelen daadwerkelijk in de praktijk worden toegepast.
- Certificaatverstrekking: Bij een positieve uitkomst ontvang je het ISO 27001-certificaat, geldig voor drie jaar.
Wie voert de ISO 27001-certificeringsaudit uit?
Een ISO 27001-audit moet worden uitgevoerd door een geaccrediteerde certificeringsinstelling. In Nederland betekent dit dat de instelling geaccrediteerd moet zijn door de Raad voor Accreditatie (RvA). Alleen een certificaat afgegeven door een RvA-geaccrediteerde instelling is internationaal erkend en voldoet aan de eisen die opdrachtgevers zoals ziekenhuizen en overheidsinstanties stellen.
Wij zijn geaccrediteerd onder RvA-keurmerk C618 en voeren ISO 27001-certificeringsaudits uit voor organisaties in uiteenlopende sectoren, van zorginstellingen en ICT-bedrijven tot overheden en maakindustrie. Onze auditors combineren technische IT/OT-kennis met sectorspecifieke expertise, zodat de audit aansluit bij jouw specifieke context. Dat is wezenlijk anders dan een generieke checklistaudit.
Let bij de keuze van een auditinstelling op de volgende punten:
- Is de instelling RvA-geaccrediteerd voor ISO 27001?
- Heeft de instelling ervaring in jouw sector?
- Hoe transparant is de communicatie tijdens het proces?
Wat kost een ISO 27001-certificering gemiddeld?
De totale kosten van een ISO 27001-certificering variëren doorgaans tussen de vijfduizend en vijfentwintigduizend euro, afhankelijk van de omvang van je organisatie en de complexiteit van de scope. Dit bedrag omvat de auditkosten van de certificeringsinstelling, maar nog niet de interne voorbereidingskosten of eventuele kosten voor een externe adviseur.
De kostenopbouw bestaat globaal uit drie componenten:
- Auditkosten: De kosten voor de fase 1- en fase 2-audit door de geaccrediteerde instelling.
- Implementatiekosten: Interne uren voor het inrichten van het ISMS, risicoanalyses en documentatie.
- Advieskosten (optioneel): Als je externe begeleiding inschakelt voor de voorbereiding.
Na de initiële certificering komen daar jaarlijkse controle-audits bij. Die zijn doorgaans minder intensief en daardoor ook minder kostbaar dan de eerste certificeringsaudit. Na drie jaar volgt een hercertificering.
Wat als je nog niet ISO 27001-gecertificeerd bent maar de deadline nadert?
Als je een ISO 27001-certificaatverplichting hebt gekregen van een ziekenhuis of overheidsinstantie en de deadline nadert, is transparante communicatie met de opdrachtgever de eerste stap. Leg uit waar je staat in het traject en vraag eventueel om een redelijke termijn. Tegelijkertijd moet je zo snel mogelijk starten met de certificering om de schade te beperken.
Praktische stappen als de druk hoog is:
- Voer een gap-analyse uit: Breng snel in kaart wat er al wel en niet op orde is ten opzichte van de ISO 27001-norm.
- Baken de scope zo scherp mogelijk af: Een kleinere, goed afgebakende scope maakt het traject aanzienlijk korter.
- Prioriteer de kritieke beheersmaatregelen: Focus eerst op de maatregelen die de grootste risico’s afdekken.
- Zoek een auditinstelling die snel kan schakelen: Niet elke instelling heeft op korte termijn beschikbaarheid.
Wij begrijpen dat urgentie soms de realiteit is. Neem in dat geval zo vroeg mogelijk contact op, zodat we samen kunnen beoordelen wat haalbaar is binnen jouw tijdslijn en wat de slimste aanpak is voor jouw situatie. Meer achtergrond over informatiebeveiliging en de relatie met normen als ISO 27001 vind je op onze website.
Hoe blijf je ISO 27001-gecertificeerd na de eerste audit?
Na het behalen van je ISO 27001-certificaat blijf je gecertificeerd door jaarlijkse controle-audits te doorlopen en na drie jaar een volledige hercertificeringsaudit te ondergaan. Het certificaat heeft een geldigheidsduur van drie jaar, maar de norm vereist dat je het ISMS continu onderhoudt en verbetert, niet alleen in aanloop naar een audit.
Concreet betekent dit dat je organisatie het volgende op orde moet houden:
- Regelmatige interne audits en directiebeoordelingen uitvoeren
- Risicoanalyses actueel houden bij wijzigingen in systemen, processen of dreigingen
- Incidenten registreren, analyseren en gebruiken als verbeterinput
- Medewerkers blijven trainen en bewust maken van informatiebeveiligingsrisico’s
- Documentatie en beleid actueel houden conform de norm
Een ISO 27001-certificering is daarmee geen eindpunt, maar een continu proces van verbetering. Organisaties die dit goed inbedden in hun dagelijkse werkwijze, ervaren de jaarlijkse controle-audits als een bevestiging van wat al goed loopt, in plaats van een stressmoment. Dat is precies de aanpak die wij bij DigiTrust hanteren: waarderend auditen, waarbij we ook erkennen wat er goed gaat.
Staat er een ISO 27001-verplichting vanuit een ziekenhuis of overheid voor de deur en wil je weten wat de beste aanpak is voor jouw organisatie? Neem contact op en we denken graag met je mee over een realistische en efficiënte route naar certificering.
Veelgestelde vragen
Hoe lang duurt het gemiddeld om ISO 27001 te behalen als mijn organisatie nog geen beveiligingsbeleid heeft?
Als je organisatie nog geen informatiebeveiligingsbeleid heeft, moet je rekening houden met een doorlooptijd van zes tot twaalf maanden. De exacte duur hangt af van de complexiteit van je organisatie, het aantal medewerkers en de beschikbare interne capaciteit om het traject te begeleiden.
Wat gebeurt er als mijn ISO 27001-certificaat verloopt en ik geen hercertificering heb gedaan?
Als je het certificaat niet op tijd hercertificeert, verliest het zijn geldigheid en voldoe je niet meer aan de eisen van opdrachtgevers zoals ziekenhuizen of overheidsinstanties. Het is daarom belangrijk om de driejaarlijkse hercertificeringsaudit tijdig in te plannen en het ISMS tussentijds actief te onderhouden.
Waarom moet de certificeringsaudit worden uitgevoerd door een RvA-geaccrediteerde instelling?
Alleen een certificaat van een RvA-geaccrediteerde instelling is internationaal erkend en voldoet aan de eisen die opdrachtgevers zoals ziekenhuizen en overheden stellen. Een niet-geaccrediteerde instelling kan een audit uitvoeren, maar het resulterende certificaat wordt door deze opdrachtgevers niet geaccepteerd als geldig bewijs van conformiteit.
Hoe kan ik de kosten van een ISO 27001-certificering beperken zonder in te leveren op kwaliteit?
De belangrijkste manier om kosten te beheersen is het scherp afbakenen van de scope, zodat alleen de meest relevante processen en systemen worden gecertificeerd. Daarnaast bespaart een goede interne voorbereiding op de auditkosten, omdat de auditor minder tijd kwijt is aan het beoordelen van onvolledige of onjuiste documentatie.
