Wat doet een certificerende instelling precies?

Een certificerende instelling (CI) is een onafhankelijke organisatie die beoordeelt of een bedrijf voldoet aan een bepaalde norm, zoals ISO 27001, en bij een positief oordeel een officieel certificaat uitreikt. Het grote verschil met een adviseur of consultant is die onafhankelijkheid: een CI mag niet tegelijkertijd adviseren én certificeren. Wil je weten wat wij precies doen en hoe een certificeringstraject eruitziet? Neem gerust contact op voor een vrijblijvend gesprek. In dit artikel beantwoorden we de meest gestelde vragen over de rol van een certificerende instelling.

Wat is het verschil tussen een certificerende instelling en een adviesbureau?

Een certificerende instelling toetst onafhankelijk of een organisatie voldoet aan een norm en geeft een formeel oordeel. Een adviesbureau helpt een organisatie juist om die norm te halen. Deze twee rollen mogen niet door dezelfde partij worden vervuld, omdat onafhankelijkheid de kern is van een betrouwbaar certificaat.

Een adviesbureau begeleidt je bij het opzetten van een informatiebeveiligingsmanagementsysteem (ISMS), het schrijven van beleidsdocumenten en het uitvoeren van risicoanalyses. Zodra je organisatie er klaar voor is, stapt een certificerende instelling in om de daadwerkelijke audit uit te voeren. Die scheiding is geen bureaucratische formaliteit: het zorgt ervoor dat het certificaat waarde heeft voor klanten, opdrachtgevers en andere stakeholders die op het oordeel vertrouwen.

Wij bij DigiTrust zijn uitsluitend actief als auditinstelling. Dat betekent dat wij geen advieswerk doen voor de organisaties die wij certificeren. Zo blijft ons oordeel altijd onafhankelijk en objectief.

Hoe verloopt een audit bij een certificerende instelling?

Een audit bij een certificerende instelling verloopt in vaste fasen: een documentbeoordeling (fase 1), een uitvoeringsaudit op locatie of remote (fase 2), en bij een positief oordeel de uitreiking van het certificaat. Daarna volgen jaarlijkse surveillance-audits om te controleren of de certificering actueel blijft.

Concreet ziet het certificeringsproces er als volgt uit:

1. Fase 1 audit: De auditor beoordeelt de documentatie van je managementsysteem. Zijn de beleidsdocumenten op orde? Is de scope helder gedefinieerd? Zijn risico’s geanalyseerd en gedocumenteerd?
2. Fase 2 audit: De auditor gaat dieper in op de praktijk. Worden de procedures ook daadwerkelijk gevolgd? Zijn medewerkers aantoonbaar bewust van hun rol in informatiebeveiliging? Zijn bevindingen uit interne audits opgevolgd?
3. Certificeringsbeslissing: Op basis van beide fasen wordt beoordeeld of het certificaat kan worden uitgereikt. Eventuele tekortkomingen worden als bevindingen vastgelegd, die je organisatie moet oplossen voor definitieve certificering.
4. Surveillance-audits: Jaarlijks wordt gecontroleerd of het systeem nog steeds effectief werkt. Na drie jaar volgt een hercertificeringsaudit.

Wij streven bij elke audit naar heldere communicatie en een constructieve samenwerking. Dat betekent dat bevindingen altijd worden toegelicht, zodat je begrijpt wat er wordt verwacht en waarom.

Wat is het verschil tussen geaccrediteerde en niet-geaccrediteerde certificering?

Een geaccrediteerde certificering wordt uitgevoerd door een instelling die is goedgekeurd door een nationale accreditatie-instantie, in Nederland de Raad voor Accreditatie (RvA). Een niet-geaccrediteerde certificering heeft geen onafhankelijke toetsing van de kwaliteit van de auditinstelling zelf, waardoor de waarde ervan moeilijker te beoordelen is.

Accreditatie is in feite een keurmerk voor de certificerende instelling. De RvA controleert regelmatig of een CI de juiste competenties heeft, onafhankelijk opereert en werkt volgens internationale normen voor certificeringsinstellingen (zoals ISO 17021). Organisaties die een geaccrediteerd certificaat hebben, kunnen dit aantonen aan klanten, aanbestedende diensten en toezichthouders met een internationaal erkende status.

Voor veel aanbestedingen en sectorspecifieke eisen is een geaccrediteerde certificering verplicht of sterk aanbevolen. Wij zijn volledig geaccrediteerd door de RvA (accreditatienummer C618), wat betekent dat onze certificaten internationaal erkend worden en voldoen aan de hoogste kwaliteitseisen.

Welke normen kan een certificerende instelling toetsen?

Een certificerende instelling kan verschillende normen toetsen, afhankelijk van haar accreditatiescope. De meest gevraagde norm voor informatiebeveiliging is ISO 27001. Daarnaast zijn normen zoals NEN 7510 (voor de zorgsector) en de Baseline Informatiebeveiliging Overheid (BIO) relevant voor specifieke sectoren.

Een overzicht van veelvoorkomende normen die een gespecialiseerde auditinstelling kan toetsen:

• ISO 27001: De internationale standaard voor informatiebeveiligingsmanagementsystemen, toepasbaar voor vrijwel elke organisatie die gegevens verwerkt.
• NEN 7510: De Nederlandse norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001 maar aangevuld met zorgspecifieke eisen.
• BIO (Baseline Informatiebeveiliging Overheid): Het normenkader voor overheidsorganisaties in Nederland.
• ISO 27701: Een uitbreiding op ISO 27001 gericht op privacybeheer, relevant voor organisaties die persoonsgegevens verwerken.

Wij zijn gespecialiseerd in informatiebeveiligingsnormen en werken met auditors die zowel technische als sectorspecifieke kennis meebrengen. Daardoor kunnen wij normen toetsen in de context van jouw sector, of dat nu de zorg, de overheid, het mkb of de maakindustrie is.

Hoe kies je de juiste certificerende instelling?

De juiste certificerende instelling kiezen doe je op basis van vier criteria: accreditatie, sectorervaring, de aanpak van de auditors en transparantie over het proces. Een geaccrediteerde instelling met aantoonbare ervaring in jouw sector biedt de meeste zekerheid over een kwalitatief hoogwaardige audit.

Waar je concreet op kunt letten:

• Accreditatiestatus: Controleer of de instelling geaccrediteerd is door de RvA voor de norm die jij wilt behalen. Dit is controleerbaar via het publieke register van de RvA.
• Sectorkennis: Een auditor die jouw sector kent, begrijpt de context van jouw risico’s en processen. Dat levert diepgaandere en relevantere audits op.
• Aanpak en communicatie: Vraag hoe de instelling omgaat met bevindingen en hoe zij communiceert tijdens het traject. Een goede CI legt uit wat zij constateert en waarom, in plaats van alleen een rapport te leveren.
• Klantervaringen: Referenties of beoordelingen van vergelijkbare organisaties geven inzicht in hoe de samenwerking in de praktijk verloopt.

Een certificerende instelling is geen leverancier die je kiest op de laagste prijs. Het gaat om een samenwerking die bijdraagt aan de daadwerkelijke volwassenheid van je informatiebeveiliging.

Wat gebeurt er als een audit niet succesvol is?

Als een audit niet succesvol is, ontvangt de organisatie een of meerdere bevindingen. Afhankelijk van de ernst worden deze geclassificeerd als majeure of mineure tekortkomingen. Een certificaat wordt pas uitgereikt nadat de bevindingen zijn opgelost en door de auditor zijn beoordeeld. Een mislukte audit betekent dus niet het einde van het traject.

Er zijn twee soorten bevindingen die een certificerende instelling kan vaststellen:

• Majeure tekortkomingen: Ernstige afwijkingen van de norm die direct het functioneren van het managementsysteem raken. Deze moeten worden opgelost voordat het certificaat kan worden uitgereikt.
• Mineure tekortkomingen: Kleinere afwijkingen of verbeterpunten. Deze worden vastgelegd en moeten binnen een afgesproken termijn worden opgelost, maar blokkeren de certificering niet altijd direct.

Wij hanteren een constructieve aanpak bij bevindingen. Dat betekent dat wij helder uitleggen wat de tekortkoming inhoudt, wat de norm vereist en welke stappen logisch zijn om het op te lossen. Het doel is niet om te straffen, maar om de organisatie te helpen haar informatiebeveiliging structureel te verbeteren. Bevindingen zijn daarmee ook een kans om het systeem sterker te maken.

Heb je vragen over wat een certificerende instelling precies doet, of wil je weten wat een ISO 27001-certificering voor jouw organisatie betekent? Neem contact op en we denken graag met je mee over de volgende stap.

Gerelateerde artikelen

• Hoe beoordeel je of het ISO 27001 certificaat van een leverancier echt geldig is?
• Wat gebeurt er als je de geldigheidstermijn van je ISO 27001 certificaat laat verlopen?
• Wat levert een ISO 27001 certificaat op naast een document aan de muur?
• Wat is een beveiligingsaudit en wat levert het op?
• Wat zijn kritieke afwijkingen bij een NEN 7510 certificering?