Een readiness assessment voor ISO 27001 is een voorbereidende audit waarbij een onafhankelijke auditor jouw informatiebeveiliging beoordeelt voordat de officiële certificeringsaudit plaatsvindt. Het doel is om te bepalen of jouw organisatie klaar is voor certificering en om eventuele zwakke plekken tijdig op te sporen. In dit artikel beantwoorden we de meest gestelde vragen over het readiness assessment, zodat je goed voorbereid aan de ISO 27001-certificering begint. Heb je direct een vraag? Neem gerust contact op en we helpen je verder.
Wat controleert een ISO 27001-auditor tijdens een readiness assessment?
Tijdens een readiness assessment controleert de ISO 27001-auditor in hoeverre jouw Information Security Management System (ISMS) voldoet aan de eisen van de norm. De auditor kijkt naar de aanwezigheid en kwaliteit van beleidsdocumenten, de opzet van risicomanagement, de implementatie van beheersmaatregelen en of medewerkers aantoonbaar betrokken zijn bij informatiebeveiliging.
Concreet loopt de auditor door de belangrijkste clausules van ISO 27001 heen. Dat betekent onder andere aandacht voor:
- De context van de organisatie en het toepassingsgebied van het ISMS
- Leiderschap en betrokkenheid van het management
- De risicobeoordelingsmethodiek en de bijbehorende risicobehandeling
- Doelstellingen voor informatiebeveiliging en de plannen om die te realiseren
- Interne audits en managementreviews
- De Statement of Applicability (SoA) met de gekozen beheersmaatregelen
De auditor beoordeelt niet alleen of documenten bestaan, maar ook of ze daadwerkelijk worden toegepast in de dagelijkse praktijk. Een goed opgezet beleid dat niemand kent of gebruikt, is voor een ISO 27001-auditor een duidelijk signaal dat er nog werk aan de winkel is.
Wat is het verschil tussen een readiness assessment en de officiële ISO 27001-audit?
Het belangrijkste verschil is dat een readiness assessment geen certificeringsuitkomst heeft. Bij de officiële ISO 27001-audit beoordeelt de auditor of jouw organisatie voldoet aan de norm en beslist hij of het certificaat wordt afgegeven. Bij een readiness assessment is het doel uitsluitend om te toetsen waar je staat en wat er nog verbeterd moet worden, zonder dat er direct gevolgen zijn voor de certificering.
De officiële certificeringsaudit bestaat uit twee fasen: een documentatiebeoordeling (fase 1) en een implementatieaudit op locatie (fase 2). Een readiness assessment lijkt qua opzet op fase 1, maar heeft een ander karakter. De bevindingen zijn bedoeld als leermoment, niet als formeel oordeel. Er zijn geen non-conformiteiten die je binnen een bepaalde termijn moet oplossen om een certificaat te behouden.
Een ander verschil is de sfeer en de benadering. Wij voeren readiness assessments uit vanuit een adviserende rol, waarbij we openlijk bespreken wat goed gaat en wat beter kan. Bij de officiële audit is de auditor gebonden aan strikte normen en procedures die de onafhankelijkheid en objectiviteit waarborgen.
Wanneer is een readiness assessment zinvol vóór de certificeringsaudit?
Een readiness assessment is zinvol wanneer je twijfelt of jouw ISMS voldoende volwassen is voor de officiële certificeringsaudit, of wanneer je concreet wilt weten welke onderdelen nog aandacht nodig hebben. Het is ook waardevol als je intern het gevoel hebt dat de voorbereiding klaar is, maar een onafhankelijke blik wilt om dit te bevestigen.
In de praktijk is een pre-audit ISO 27001 het meest nuttig in de volgende situaties:
- Je hebt het ISMS recent ingericht en wilt weten of de implementatie volledig is
- Er is intern weinig ervaring met ISO 27001 en je wilt verrassingen tijdens de certificeringsaudit voorkomen
- Er zijn significante organisatorische veranderingen geweest, zoals een fusie of uitbreiding van het toepassingsgebied
- De vorige audit leverde bevindingen op en je wilt checken of de verbeteringen afdoende zijn doorgevoerd
Een readiness assessment is minder nodig als je organisatie al ervaring heeft met ISO 27001-cycli en intern voldoende auditcapaciteit heeft. In dat geval kun je de voorbereiding ook via interne audits afdekken. Voor organisaties die voor het eerst certificering nastreven, is een extern readiness assessment echter bijna altijd een slimme investering.
Welke documenten en bewijsstukken moet je klaar hebben voor een readiness assessment?
Voor een readiness assessment informatiebeveiliging moet je de kerndocumentatie van je ISMS beschikbaar hebben. Dit omvat in ieder geval het informatiebeveiligingsbeleid, het toepassingsgebied van het ISMS, de risicobeoordelingsresultaten, het risicobehandelingsplan en de Statement of Applicability.
Naast deze verplichte documenten verwacht de auditor ook bewijsstukken die aantonen dat het systeem daadwerkelijk werkt. Denk daarbij aan:
- Verslagen van interne audits en managementreviews
- Registraties van beveiligingsincidenten en de afhandeling daarvan
- Trainings- en bewustwordingsactiviteiten voor medewerkers
- Procedures voor toegangsbeheer, back-ups en wijzigingsbeheer
- Contracten en afspraken met leveranciers die relevant zijn voor informatiebeveiliging
- Meetresultaten en KPI’s rondom de beveiligingsdoelstellingen
De kwaliteit van de documentatie is minstens zo belangrijk als de hoeveelheid. Documenten moeten actueel zijn, goedgekeurd door de juiste personen en aantoonbaar in gebruik. Een uitgebreide map met verouderde beleidsnotities maakt geen sterke indruk. Meer informatie over wat er bij informatiebeveiliging komt kijken, helpt je om de juiste context te begrijpen voor je documentatie.
Wat gebeurt er met de bevindingen na een readiness assessment?
Na een readiness assessment ontvang je een rapportage met de bevindingen van de auditor. Daarin staat wat goed is ingericht, welke onderdelen nog verbetering nodig hebben en welke punten een risico vormen voor de certificeringsaudit. De bevindingen zijn ingedeeld naar prioriteit, zodat je weet waar je als eerste mee aan de slag moet.
De rapportage is geen formeel auditrapport met non-conformiteiten, maar een praktisch verbeterdocument. Op basis van de bevindingen stel je een actieplan op met concrete maatregelen, eigenaren en deadlines. Wij bespreken de bevindingen altijd in een nabespreking, zodat er ruimte is voor vragen en toelichting.
Het is verstandig om voldoende tijd in te plannen tussen het readiness assessment en de officiële certificeringsaudit. Hoeveel tijd je nodig hebt, hangt af van de omvang van de bevindingen. Kleine verbeterpunten zijn soms binnen enkele weken opgelost, terwijl structurele tekortkomingen meer tijd vragen. Een goede vuistregel is om minimaal twee tot drie maanden te reserveren voor herstelwerkzaamheden na het readiness assessment.
Wil je weten of jouw organisatie klaar is voor de ISO 27001-voorbereiding of heb je vragen over het readiness assessment? Neem contact op met ons team en we plannen graag een vrijblijvend gesprek in.
Veelgestelde vragen
Wat controleert een ISO 27001-auditor tijdens een readiness assessment?
V: Wat controleert een ISO 27001-auditor tijdens een readiness assessment? A: Tijdens een readiness assessment beoordeelt de auditor of jouw ISMS voldoet aan de eisen van ISO 27001, met aandacht voor beleidsdocumenten, risicomanagement, beheersmaatregelen en medewerkerbetrokkenheid. De auditor kijkt niet alleen of documenten aanwezig zijn, maar ook of ze daadwerkelijk worden toegepast in de dagelijkse praktijk.
Wat is het verschil tussen een readiness assessment en de officiële ISO 27001-audit?
V: Wat is het verschil tussen een readiness assessment en de officiële ISO 27001-audit? A: Het grootste verschil is dat een readiness assessment geen certificeringsuitkomst heeft en puur bedoeld is om verbeterpunten in kaart te brengen zonder formele gevolgen. De officiële certificeringsaudit bestaat uit twee fasen en bepaalt daadwerkelijk of jouw organisatie het ISO 27001-certificaat ontvangt.
Wanneer is het zinvol om een readiness assessment uit te laten voeren vóór de certificeringsaudit?
V: Wanneer is het zinvol om een readiness assessment uit te laten voeren vóór de certificeringsaudit? A: Een readiness assessment is vooral waardevol als je voor het eerst ISO 27001-certificering nastreeft, weinig interne auditervaring hebt of wilt controleren of eerdere verbeteringen afdoende zijn doorgevoerd. Het geeft je een onafhankelijk en helder beeld van waar je staat voordat de officiële audit begint.
Hoe lang duurt het om bevindingen uit een readiness assessment op te lossen?
V: Hoe lang duurt het om bevindingen uit een readiness assessment op te lossen? A: Hoe lang het oplossen van bevindingen duurt, hangt af van de omvang en ernst van de tekortkomingen: kleine verbeterpunten zijn soms binnen enkele weken aangepakt, terwijl structurele problemen meer tijd vragen. Als vuistregel is het verstandig om minimaal twee tot drie maanden te reserveren tussen het readiness assessment en de officiële certificeringsaudit.
