Wat is het verschil tussen een adviesbureau en een certificerende instelling?

Een adviesbureau helpt je om je informatiebeveiliging op orde te brengen en je organisatie klaar te stomen voor een certificering. Een certificerende instelling (CI) voert vervolgens de onafhankelijke audit uit en besluit of je het certificaat verdient. Die twee rollen zijn fundamenteel verschillend en mogen niet door dezelfde partij worden uitgevoerd. Wil je weten hoe je dit traject slim aanpakt? Neem gerust contact op als je direct een vraag hebt. In dit artikel beantwoorden we de meest gestelde vragen over het verschil tussen een adviesbureau en een certificerende instelling.

Wat doet een adviesbureau bij een ISO 27001-traject?

Een adviesbureau begeleidt je organisatie bij de voorbereiding op een ISO 27001 certificering. Het helpt je een Information Security Management System (ISMS) op te zetten, risicoanalyses uit te voeren, beleidsdocumenten te schrijven en medewerkers te trainen. Het adviesbureau staat aan jouw kant en heeft als doel jouw organisatie zo goed mogelijk voor te bereiden.

Concreet kan een adviesbureau je helpen met:

• Het uitvoeren van een nulmeting om te zien waar je nu staat
• Het opstellen of verbeteren van informatiebeveiligingsbeleid
• Het begeleiden van risicobeoordelingen
• Het inrichten van processen en procedures die aansluiten op de norm
• Het voorbereiden van interne audits als oefening voor de echte certificeringsaudit

Een adviesbureau heeft dus een adviserende en ondersteunende rol. Het is partijdig in de beste zin van het woord: het werkt voor jou. Dat is precies waarom een adviesbureau nooit ook de certificerende instelling kan zijn.

Wat is de taak van een certificerende instelling?

Een certificerende instelling is een onafhankelijke auditorganisatie die beoordeelt of jouw organisatie voldoet aan een bepaalde norm, zoals ISO 27001 of NEN 7510. De CI voert de formele audit uit, stelt bevindingen vast en besluit of een certificaat wordt afgegeven. De CI werkt niet voor jou, maar toetst objectief aan de normvereisten.

Een certificerende instelling moet geaccrediteerd zijn door een nationale accreditatie-instantie, in Nederland de Raad voor Accreditatie (RvA). Die accreditatie garandeert dat de CI werkt volgens internationale kwaliteitsnormen en dat haar certificaten wereldwijd worden erkend. Wij zijn bijvoorbeeld geaccrediteerd onder RvA C618 en gespecialiseerd in informatiebeveiliging.

Het certificeringsproces bij een CI verloopt doorgaans in twee stappen:

1. Fase 1 audit (documentatiebeoordeling): De auditor beoordeelt of je ISMS goed gedocumenteerd is en klaar is voor de praktijktoets.
2. Fase 2 audit (implementatiebeoordeling): De auditor controleert of de beveiligingsmaatregelen ook daadwerkelijk worden toegepast in de praktijk.

Mag één partij zowel adviseren als certificeren?

Nee, één partij mag niet zowel adviseren als certificeren voor hetzelfde traject bij dezelfde organisatie. Dit is een fundamenteel principe van onafhankelijkheid dat vastligt in internationale accreditatienormen. Als een CI ook advies geeft aan een klant, verliest ze haar objectiviteit en daarmee haar geloofwaardigheid als onafhankelijke beoordelaar.

Dit principe heet de scheiding van advies en certificering en is verankerd in de ISO 17021-norm, die de eisen beschrijft voor certificerende instellingen. Een geaccrediteerde CI die toch advies geeft aan haar certificeringsklanten riskeert haar accreditatie te verliezen.

Voor jou als organisatie betekent dit: je hebt in principe twee partijen nodig als je externe hulp wilt bij de voorbereiding én bij de formele audit. Dat is geen nadeel, maar juist een kwaliteitswaarborg. Het zorgt ervoor dat het uiteindelijke certificaat echt iets zegt over je beveiligingsniveau.

Wanneer heb je een adviesbureau nodig en wanneer een CI?

Je hebt een adviesbureau nodig wanneer je organisatie nog niet klaar is voor een certificering en ondersteuning nodig heeft bij de voorbereiding. Je hebt een certificerende instelling nodig wanneer je organisatie klaar is voor de formele toetsing en het officiële certificaat wil behalen. In de praktijk komen beide partijen achter elkaar in beeld.

Een aantal situaties waarin een adviesbureau zinvol is:

• Je start voor het eerst met ISO 27001 en weet niet waar je moet beginnen
• Je hebt onvoldoende interne kennis om een volledig ISMS op te zetten
• Je wilt een interne preaudit laten uitvoeren als voorbereiding
• Je hebt na een eerdere audit bevindingen gekregen die je wilt aanpakken

Een certificerende instelling wordt ingeschakeld zodra je organisatie de implementatie heeft afgerond en klaar is voor de formele beoordeling. Sommige organisaties met voldoende interne expertise slaan het adviesbureau over en gaan direct naar een CI. Dat is mogelijk, maar vraagt om een sterk intern team met kennis van de norm.

Hoe kies je een betrouwbare certificerende instelling?

Een betrouwbare certificerende instelling is geaccrediteerd door de Raad voor Accreditatie (RvA) voor de specifieke norm waarop je gecertificeerd wilt worden. Controleer altijd de accreditatiestatus via het openbare register op de website van de RvA. Naast accreditatie zijn sectorkennis, auditervaring en een heldere werkwijze belangrijke selectiecriteria.

Let bij je keuze op de volgende punten:

• Accreditatie: Is de CI geaccrediteerd voor jouw norm (ISO 27001, NEN 7510, BIO)?
• Sectorervaring: Heeft de CI ervaring in jouw branche, zoals zorg, ICT of overheid?
• Auditaanpak: Werkt de CI met een contextgerichte aanpak of puur met checklists?
• Communicatie: Is de CI transparant over het proces, de planning en de kosten?
• Klantreferenties: Wat zeggen andere organisaties over hun ervaringen?

Een goede CI voegt waarde toe aan je organisatie, ook als het certificaat al binnen is. Onze auditors kijken niet alleen naar wat er beter kan, maar erkennen ook wat er al goed gaat. Dat noemen we waarderend auditen: een aanpak die inzicht geeft en motivatie versterkt in plaats van alleen tekortkomingen te signaleren.

Het verschil tussen een adviesbureau en een certificerende instelling is helder: de adviseur bereidt voor, de CI beoordeelt onafhankelijk. Weet je nog niet precies welke partij je wanneer nodig hebt, of wil je meer weten over hoe een certificeringstraject eruitziet? Neem contact op en we denken graag met je mee over de juiste aanpak voor jouw organisatie.

Gerelateerde artikelen

• Hoe beoordeel je of het ISO 27001 certificaat van een leverancier echt geldig is?
• Welke antwoorden van een certificerende instelling zijn een rode vlag?
• Wat is NEN 7510 verplicht voor zorginstellingen?
• Hoe weet je of de informatiebeveiliging van je organisatie op orde is?
• Welke documenten zijn nodig voor ISO 27001 certificering?