Wat is een hercertificering bij de ISO 27001?

Een ISO 27001-certificaat is drie jaar geldig. Na die drie jaar moet je organisatie een hercertificering ISO 27001 doorlopen om het certificaat te verlengen en te laten zien dat het informatiebeveiligingsmanagementsysteem (ISMS) nog steeds voldoet aan de norm. Tussendoor vinden jaarlijkse surveillance-audits plaats om de continuïteit te bewaken. In dit artikel beantwoorden we de meest gestelde vragen over de ISO 27001 hercertificering, van voorbereiding tot kosten en gevolgen. Heb je direct een vraag? Neem gerust contact op en we helpen je verder.

Hoe lang is een ISO 27001-certificaat geldig?

Een ISO 27001-certificaat is drie jaar geldig vanaf de datum van afgifte. Binnen die drie jaar voert de certificerende instelling jaarlijkse surveillance-audits uit, doorgaans in jaar één en jaar twee. In jaar drie volgt de hercertificeringsaudit om het certificaat opnieuw te verlengen.

De driejarige cyclus is geen willekeurige keuze. Informatiebeveiliging is een dynamisch vakgebied: dreigingen veranderen, technologie evolueert en organisaties groeien. De hercertificering zorgt ervoor dat je ISMS niet alleen op papier actueel blijft, maar ook in de praktijk. Surveillance-audits in de tussenliggende jaren geven een eerste signaal of je op koers ligt, maar de volledige hercertificeringsaudit gaat dieper en beoordeelt het systeem als geheel opnieuw.

Het is belangrijk om de verloopdatum van je certificaat goed bij te houden. Laat je die datum ongemerkt passeren, dan verlies je je certificaatstatus en moet je mogelijk opnieuw een volledige initiële certificering doorlopen.

Wat gebeurt er tijdens een hercertificeringsaudit?

Tijdens een hercertificeringsaudit beoordeelt een onafhankelijke auditor of je ISMS nog steeds voldoet aan de eisen van ISO 27001. De audit is uitgebreider dan een surveillance-audit en omvat een volledige beoordeling van het systeem, inclusief beleid, procedures, risicobeheersing en interne audits uit de afgelopen periode.

De hercertificeringsaudit verloopt doorgaans in twee fasen:

• Fase 1 (documentatiebeoordeling): De auditor beoordeelt de documentatie van je ISMS, zoals het informatiebeveiligingsbeleid, de risicoanalyse en de Verklaring van Toepasselijkheid (Statement of Applicability). Eventuele hiaten worden in deze fase al gesignaleerd.
• Fase 2 (uitvoeringsaudit): De auditor toetst in de praktijk of de beschreven maatregelen ook daadwerkelijk worden uitgevoerd en effectief zijn. Dit gebeurt via interviews, observaties en het opvragen van bewijsmateriaal.

Na de audit stelt de auditor een rapport op met bevindingen. Eventuele nonconformiteiten moeten worden opgelost voordat het nieuwe certificaat wordt afgegeven. Bij ons leggen we tijdens de audit ook nadrukkelijk de nadruk op wat er goed gaat, zodat de audit niet alleen een controlemechanisme is, maar ook inzicht geeft in de sterke punten van je organisatie.

Hoe vroeg moet je beginnen met de voorbereiding?

Voor een soepele hercertificering is het verstandig om minimaal drie tot zes maanden voor de verloopdatum van je certificaat te beginnen met de voorbereiding. Zo heb je voldoende tijd om eventuele tekortkomingen te identificeren en op te lossen zonder tijdsdruk.

Een goede voorbereiding omvat in elk geval de volgende stappen:

1. Controleer of alle documentatie actueel is, inclusief het risicoregister en de Verklaring van Toepasselijkheid.
2. Voer een interne audit uit om te toetsen of de maatregelen in de praktijk worden nageleefd.
3. Houd een managementbeoordeling (management review) om de prestaties van het ISMS te evalueren.
4. Los openstaande nonconformiteiten uit eerdere audits op en documenteer de verbeteracties.
5. Plan de hercertificeringsaudit tijdig in bij de certificerende instelling.

Organisaties die hun ISMS het hele jaar door actief onderhouden, ervaren de hercertificering als een stuk minder belastend dan organisaties die pas kort voor de audit in actie komen. Structureel werken aan informatiebeveiliging maakt het verschil.

Wat zijn veelgemaakte fouten bij hercertificering?

De meest voorkomende fout bij een ISO 27001 hercertificering is dat organisaties het ISMS tussen de audits in te weinig actief bijhouden. Daardoor moeten ze vlak voor de audit alsnog veel werk verzetten, wat de kans op bevindingen vergroot en onnodig stress oplevert.

Andere veelgemaakte fouten zijn:

• Verouderde documentatie: Beleid en procedures die niet meer aansluiten op de huidige situatie van de organisatie, bijvoorbeeld na een reorganisatie of een overstap naar cloudinfrastructuur.
• Ontbrekende interne audits: De norm vereist dat je periodiek interne audits uitvoert. Als die niet zijn gedocumenteerd, is dat direct een nonconformiteit.
• Geen aantoonbare managementbetrokkenheid: ISO 27001 legt sterk de nadruk op betrokkenheid van het management. Als de managementbeoordeling ontbreekt of te summier is, valt dat op.
• Onvoldoende aandacht voor wijzigingen: Nieuwe systemen, processen of leveranciers die niet zijn opgenomen in de risicoanalyse vormen een risico tijdens de audit.
• Te laat plannen: Certificerende instellingen hebben een bezette agenda. Wie te laat plant, riskeert dat de audit niet meer voor de verloopdatum kan plaatsvinden.

Wat kost een hercertificering bij ISO 27001?

De kosten van een ISO 27001 hercertificering variëren en zijn afhankelijk van de omvang van je organisatie, het aantal medewerkers, de complexiteit van je ISMS en het aantal locaties dat wordt beoordeeld. Er is geen vaste prijs, maar de hercertificeringsaudit is doorgaans vergelijkbaar in kosten met de initiële certificeringsaudit.

Bij het inschatten van de totale kosten is het zinvol om rekening te houden met:

• De auditdagen die de certificerende instelling in rekening brengt, inclusief voorbereiding en rapportage.
• Interne uren voor de voorbereiding, het aanleveren van documentatie en het begeleiden van de auditor.
• Eventuele kosten voor externe ondersteuning als je ISMS bijgewerkt moet worden.

Wil je weten wat een ISO 27001 certificering bij ons kost? We stellen graag een offerte op maat op, afgestemd op de specifieke situatie van jouw organisatie.

Wat als het certificaat verloopt zonder hercertificering?

Als je ISO 27001-certificaat verloopt zonder dat er een hercertificering heeft plaatsgevonden, verlies je je certificaatstatus. Je mag dan niet langer claimen dat je organisatie ISO 27001-gecertificeerd is, wat directe gevolgen kan hebben voor klantrelaties, aanbestedingen en contracten waarbij certificering een vereiste is.

In de meeste gevallen betekent een verlopen certificaat dat je opnieuw een volledige initiële certificering moet doorlopen, inclusief de bijbehorende tijdsinvestering en kosten. Dat is aanzienlijk meer werk dan een tijdige hercertificering.

Sommige certificerende instellingen bieden een korte uitloopperiode of een mogelijkheid tot herstel als de verloopdatum net is gepasseerd, maar hierop kun je niet standaard rekenen. De veiligste aanpak is om de hercertificering ruim op tijd te plannen en de verloopdatum actief te bewaken.

Staat jouw hercertificering op de agenda of wil je weten wat je te wachten staat? Neem contact op en we bespreken samen hoe we het traject soepel kunnen laten verlopen.

Gerelateerde artikelen

• Wat zijn auditoverwegingen voor SaaS-bedrijven bij ISO 27001?
• Waarom is het belangrijk dat een certificerende instelling niet ook advies geeft?
• Hoe verschilt de AVG van een informatiebeveiligingsnorm?
• Welke procedures zijn essentieel voor ISO 27001?
• Hoe rapporteer je over informatiebeveiliging prestaties?