Wat gebeurt er als je de geldigheidstermijn van je ISO 27001 certificaat laat verlopen?

Als je ISO 27001-certificaat verloopt zonder dat je tijdig hercertificeert, verlies je officieel de gecertificeerde status en mag je de certificering niet langer als geldig presenteren aan klanten, opdrachtgevers of toezichthouders. Dit heeft directe gevolgen voor aanbestedingen, contractverplichtingen en het vertrouwen van je stakeholders. Wil je weten wat er precies op het spel staat en hoe je dit voorkomt? Neem gerust contact op als je direct advies wilt. Hieronder beantwoorden we de meest gestelde vragen over een verlopen ISO 27001-certificaat.

Wat zijn de directe gevolgen van een verlopen ISO 27001-certificaat?

Zodra een ISO 27001-certificaat verloopt, ben je officieel niet langer gecertificeerd. Je mag de certificering niet meer als actief en geldig vermelden in offertes, op je website of in contracten. Opdrachtgevers die een geldig certificaat eisen, kunnen samenwerkingen beëindigen of nieuwe opdrachten weigeren.

De gevolgen zijn in de praktijk breder dan veel organisaties verwachten. Denk aan de volgende risico’s:

• Verlies van aanbestedingsrecht: Veel overheidsaanbestedingen en inkooptrajecten vereisen een geldig ISO 27001-certificaat. Zonder geldig certificaat val je direct af.
• Contractuele problemen: Samenwerkingsovereenkomsten bevatten regelmatig een clausule die een actieve certificering verplicht stelt. Een verlopen certificaat kan een contractbreuk betekenen.
• Reputatieschade: Klanten en partners die ontdekken dat je certificaat is verlopen, kunnen vraagtekens zetten bij de volwassenheid van je informatiebeveiliging.
• Verhoogd compliancerisico: Bij toezicht in het kader van AVG/GDPR of NIS2 kan een verlopen certificaat als een signaal worden gezien dat informatiebeveiligingsbeheer onvoldoende geborgd is.

Kortom: een verlopen ISO 27001-certificaat is niet alleen een administratief probleem. Het raakt direct aan je commerciële positie en het vertrouwen dat klanten in je organisatie stellen.

Hoe lang mag een ISO 27001-certificaat verlopen zijn voordat hercertificering verplicht is?

Een ISO 27001-certificaat heeft een geldigheidstermijn van drie jaar. Na het verstrijken van die drie jaar is de certificering niet langer geldig. Er is geen officiële tolerantieperiode: zodra de einddatum is bereikt zonder succesvolle hercertificeringsaudit, vervalt de gecertificeerde status direct.

De geldigheidstermijn van ISO 27001 werkt als volgt. Gedurende de drie jaar van het certificaat vinden jaarlijkse controle-audits plaats, ook wel surveillance-audits of tussentijdse audits genoemd. In het derde jaar vindt de hercertificeringsaudit plaats. Als die audit succesvol wordt afgerond vóór de verloopdatum, loopt de certificering naadloos door. Wordt de hercertificeringsaudit niet tijdig afgerond, dan vervalt het certificaat op de einddatum.

In de praktijk raden we aan om de hercertificering minimaal drie tot zes maanden voor de verloopdatum te starten. Zo is er voldoende ruimte om eventuele tekortkomingen te corrigeren zonder de deadline in gevaar te brengen. De ISO 27001-certificering is een continu proces dat vraagt om structurele aandacht, niet alleen in het derde jaar.

Moet je opnieuw beginnen als je ISO 27001-certificaat is verlopen?

Nee, je hoeft niet altijd volledig opnieuw te beginnen als je ISO 27001-certificaat is verlopen, maar het hangt af van hoe lang het certificaat al verlopen is en in welke staat je managementsysteem verkeert. Bij een korte overschrijding kan een versnelde hercertificeringsaudit volstaan. Bij een langere periode van verval is een volledig nieuwe initiële certificering nodig.

De vuistregel is als volgt:

• Korte overschrijding (enkele weken tot maanden): Als het ISMS aantoonbaar actief is gebleven en de documentatie up-to-date is, kan een auditinstelling een hercertificeringsaudit uitvoeren. Er is dan geen sprake van een volledig nieuw traject.
• Langere overschrijding of verwaarloosd ISMS: Als het informatiebeveiligingssysteem feitelijk niet meer actief onderhouden is, is een nieuwe initiële certificering realistischer. De auditinstelling zal beoordelen of de basis nog aanwezig is.

Het is dus essentieel om ook na een verlopen certificaat het ISMS actief te blijven onderhouden. Organisaties die dat doen, staan er bij een hercertificering aanzienlijk beter voor dan organisaties waar het systeem maandenlang heeft stilgestaan.

Hoe voorkom je dat je ISO 27001-certificaat ongemerkt verloopt?

Een ISO 27001-certificaat verloopt nooit zonder aankondiging, maar het vraagt wel om actief beheer van de certificeringscyclus. De meest effectieve manier om verlopen te voorkomen is het inbouwen van vaste momenten in je jaarplanning voor audit- en certificeringsactiviteiten.

Praktische maatregelen om de geldigheidstermijn van je ISO 27001-certificaat te bewaken:

• Noteer de verloopdatum van je certificaat in je bedrijfskalender met een herinnering minimaal zes maanden van tevoren.
• Plan de jaarlijkse surveillance-audits structureel in. Deze audits zijn niet alleen een verplichting, maar ook een vroeg signaal als er iets misgaat in je ISMS.
• Wijs een verantwoordelijke aan voor het bewaken van de certificeringscyclus, zoals een CISO, kwaliteitsmanager of een externe adviseur.
• Onderhoud een actief contact met je auditinstelling. Een betrokken partner attendeert je tijdig op aankomende deadlines.

Bij DigiTrust begeleiden we organisaties niet alleen tijdens de audit, maar denken we ook mee over het bewaken van de certificeringscyclus. Transparante communicatie over planning en deadlines is een van de pijlers van onze aanpak. Meer weten over informatiebeveiliging en hoe je je systeem actueel houdt? We helpen je graag verder.

Wat kost het om een verlopen ISO 27001-certificaat te herstellen?

De kosten voor het herstellen van een verlopen ISO 27001-certificaat variëren afhankelijk van de situatie. Bij een korte overschrijding waarbij het ISMS intact is, zijn de kosten vergelijkbaar met een reguliere hercertificeringsaudit. Bij een langere periode van verval, waarbij een volledig nieuwe initiële certificering nodig is, liggen de kosten hoger omdat het traject opnieuw doorlopen moet worden.

Factoren die de kosten bepalen:

• Staat van het ISMS: Een goed onderhouden systeem vraagt minder herstelwerk en daarmee minder auditdagen.
• Omvang van de organisatie: Grotere organisaties met meer medewerkers, locaties en systemen vragen doorgaans meer audittijd.
• Type traject: Hercertificering is minder intensief dan een nieuwe initiële certificering. Als het certificaat lang verlopen is, is een volledig nieuw traject realistisch, inclusief de bijbehorende voorbereiding en auditkosten.
• Interne herstelkosten: Naast de auditkosten moet je rekening houden met interne uren voor het bijwerken van documentatie, het uitvoeren van risicobeoordelingen en het corrigeren van eventuele tekortkomingen.

De werkelijke kosten zijn altijd maatwerk. Wat vaststaat, is dat tijdige hercertificering structureel goedkoper is dan het herstellen van een verlopen situatie. Voorkomen blijft dus de verstandigste investering. Wil je weten wat een hercertificering of een nieuw certificeringstraject voor jouw organisatie betekent? Neem contact op en we denken graag met je mee over de beste aanpak.

Gerelateerde artikelen

• Waar moet je op letten bij het vergelijken van ISO 27001 auditorganisaties?
• Eén locatie of meerdere vestigingen certificeren voor ISO 27001: hoe werkt dat in een audit?
• Welke documenten controleert de auditor als eerste?
• Wat is het verschil tussen ISO 27001 en ISO 27002?
• Hoe werkt het ISO 27001 auditproces?