Wat is beter voor aanbestedingen: een ISO 27001 certificaat of een VVT alleen?

Voor aanbestedingen weegt een ISO 27001 certificaat zwaarder dan een Verklaring van Toepasselijkheid (VVT) alleen. Een certificaat is onafhankelijk getoetst door een geaccrediteerde auditinstelling en biedt aanbestedende diensten de zekerheid die een zelfdeclaratie niet kan geven. Wie snel en overtuigend wil scoren op informatiebeveiliging bij aanbestedingen, kiest bij voorkeur voor een volwaardige ISO 27001 certificering. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en wij helpen je graag verder. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001 versus VVT bij aanbestedingen.

Wat telt voor een aanbestedende dienst zwaarder: een certificaat of een VVT?

Een aanbestedende dienst telt een ISO 27001 certificaat vrijwel altijd zwaarder dan een VVT alleen. Het certificaat is afgegeven door een onafhankelijke, geaccrediteerde instelling en bewijst dat een externe partij het informatiebeveiligingsmanagementsysteem heeft beoordeeld en goedgekeurd. Een VVT is een intern document dat je zelf opstelt en is daarmee niet onafhankelijk gevalideerd.

Aanbestedende diensten, zeker overheden en organisaties die werken met vertrouwelijke of persoonsgebonden data, zoeken naar aantoonbare zekerheid. Een certificaat levert die zekerheid objectief en controleerbaar. Een VVT kan aanvullend informatief zijn, maar zonder certificaat ontbreekt de externe verificatie die inkopers nodig hebben om een leverancier te vertrouwen op het gebied van informatiebeveiliging.

In de praktijk zien we dat aanbestedingen in sectoren als de overheid, zorg en kritieke infrastructuur steeds vaker een geldig ISO 27001 certificaat als minimumeis stellen, niet als wenselijk criterium maar als knock-outeis. Een VVT volstaat in die gevallen simpelweg niet.

Wat is het verschil tussen een ISO 27001 certificaat en een VVT?

Een ISO 27001 certificaat is het formele bewijs dat een organisatie haar informatiebeveiligingsmanagementsysteem heeft laten beoordelen door een geaccrediteerde auditinstelling en aan de norm voldoet. Een Verklaring van Toepasselijkheid (VVT) is een intern document dat beschrijft welke beheersmaatregelen uit de norm van toepassing zijn op de organisatie en waarom bepaalde maatregelen al dan niet zijn geïmplementeerd.

Wat is een VVT precies?

De VVT, ook wel Statement of Applicability (SoA) genoemd, is een verplicht onderdeel van de ISO 27001-norm. Je stelt dit document zelf op als organisatie. Het geeft een overzicht van alle mogelijke beheersmaatregelen uit Bijlage A van de norm en verantwoordt per maatregel of deze wordt toegepast, en zo niet, waarom niet. Een VVT is daarmee een intern verantwoordingsdocument, geen extern bewijs van naleving.

Wat voegt een certificaat toe?

Het certificaat voegt onafhankelijke toetsing toe. Een geaccrediteerde auditinstelling, zoals DigiTrust (RvA C618), beoordeelt of het ISMS daadwerkelijk werkt zoals beschreven in de VVT en of de organisatie voldoet aan alle eisen van de norm. Pas na een positieve beoordeling wordt het certificaat afgegeven. Dit maakt het certificaat een betrouwbaar en extern verifieerbaar bewijs richting klanten, opdrachtgevers en aanbestedende diensten.

Wanneer is een VVT voldoende voor een aanbesteding?

Een VVT is voldoende voor een aanbesteding wanneer de aanbestedende dienst dit expliciet accepteert als alternatief voor een certificaat, of wanneer een volwaardig certificaat (nog) niet wordt vereist. Dit komt voor bij kleinere of minder gevoelige opdrachten, of wanneer een aanbesteder een “comply or explain”-benadering hanteert waarbij een onderbouwde zelfdeclaratie wordt geaccepteerd.

In de praktijk is dit echter steeds zeldzamer. Naarmate opdrachten meer te maken hebben met persoonsgegevens, vertrouwelijke overheidsinformatie of kritieke systemen, stijgt de kans dat een certificaat verplicht is. Een VVT kan dan hooguit dienen als aanvullende documentatie naast een geldig certificaat, niet als vervanging ervan.

Organisaties die zich richten op groei in de publieke sector of de zorg doen er verstandig aan om niet te wachten tot de VVT onvoldoende blijkt te zijn. Een tijdige ISO 27001-certificering voorkomt dat je buiten de boot valt bij een aanbesteding waarvoor je inhoudelijk volledig geschikt bent.

Hoe versnelt een ISO 27001 certificaat het aanbestedingsproces?

Een geldig ISO 27001 certificaat versnelt het aanbestedingsproces doordat het de bewijslast voor informatiebeveiliging grotendeels wegneemt. Aanbestedende diensten hoeven geen uitgebreide eigen beoordeling meer uit te voeren: het certificaat bewijst al dat een onafhankelijke partij de informatiebeveiliging heeft getoetst en goedgekeurd. Dit bespaart tijd voor zowel de inschrijver als de opdrachtgever.

Concreet leidt een certificaat tot de volgende voordelen in een aanbestedingstraject:

• Minder aanvullende vragen van de aanbestedende dienst over beveiligingsmaatregelen
• Directe voldoening aan knock-outcriteria op het gebied van informatiebeveiliging
• Hogere geloofwaardigheid en vertrouwen bij de beoordeling van de inschrijving
• Minder risico op uitsluiting in een latere fase van het proces
• Eenvoudiger aantoonbaarheid bij herhaalde aanbestedingen met dezelfde opdrachtgever

Een certificaat werkt bovendien als een soort paspoort: eenmaal behaald, kun je het bij meerdere aanbestedingen inzetten gedurende de geldigheidsperiode van drie jaar. Dit maakt de investering in certificering rendabel over meerdere trajecten.

Welke normen naast ISO 27001 worden gevraagd bij aanbestedingen?

Naast ISO 27001 worden bij aanbestedingen regelmatig ook NEN 7510, de Baseline Informatiebeveiliging Overheid (BIO) en in toenemende mate NIS2-gerelateerde eisen gevraagd. Welke norm van toepassing is, hangt sterk af van de sector en het type opdrachtgever.

NEN 7510 voor de zorgsector

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Zorginstellingen, zorgaanbieders en leveranciers die met medische of patiëntgebonden gegevens werken, worden bij aanbestedingen in de zorg vaak gevraagd om een NEN 7510 certificaat. De norm bouwt voort op ISO 27001 en voegt zorgspecifieke eisen toe. Een ISO 27001 certificaat is daarvoor een goede basis, maar vervangt NEN 7510 niet volledig.

BIO voor overheidsaanbestedingen

De Baseline Informatiebeveiliging Overheid (BIO) is verplicht voor alle overheidsorganisaties in Nederland en geldt als minimumstandaard. Leveranciers die diensten leveren aan de overheid, worden steeds vaker getoetst op BIO-conformiteit. ISO 27001 sluit goed aan bij de BIO-structuur, maar ook hier geldt dat de specifieke overheidseisen aanvullende aandacht vragen.

Wij bij DigiTrust zijn gespecialiseerd in al deze normen en helpen organisaties bij het behalen van de juiste certificering voor hun markt. Zo zorg je dat je bij elke aanbesteding aan de juiste eisen voldoet, zonder verrassingen achteraf.

Klaar om je aanbestedingspositie te versterken met een ISO 27001 certificaat? Neem contact op en we bespreken samen welke certificering het beste past bij jouw organisatie en doelmarkt.

Gerelateerde artikelen

• Hoeveel tijd zit er tussen het afronden van de fase 2 audit en de uitgifte van het certificaat?
• Wat zijn signalen dat een ISO 27001 certificerende instelling niet bij je past?
• Hoe verschilt de AVG van een informatiebeveiligingsnorm?
• Wat is het verschil tussen ISO 27001 en de AVG?
• Welke methodieken gebruik je voor risicoanalyse?