Wat is het verschil tussen een fase 1 en een fase 2 audit bij ISO 27001?

Gepubliceerd op 10 oktober 2026

Een fase 1-audit en een fase 2-audit zijn de twee verplichte stappen in het ISO 27001-certificeringsproces. De fase 1-audit is een documentatiereview waarbij wordt beoordeeld of uw organisatie klaar is voor de eigenlijke certificeringsaudit. De fase 2-audit toetst vervolgens of uw informatiebeveiligingsmanagementsysteem (ISMS) in de praktijk werkt zoals beschreven. Beide audits samen vormen de basis voor het behalen van uw ISO 27001-certificaat. In dit artikel beantwoorden we de meest gestelde vragen over dit tweeledige auditproces. Twijfelt u over uw eigen situatie? Neem gerust contact op en wij helpen u graag verder.

Wat gebeurt er concreet tijdens een fase 1-audit?

Tijdens een fase 1-audit beoordeelt de auditor uw documentatie en de opzet van uw ISMS. Het gaat niet om een volledige praktijktoets, maar om een grondige review van beleidsdocumenten, risicoanalyses, de verklaring van toepasselijkheid (Statement of Applicability) en interne auditverslagen. De auditor stelt vast of uw organisatie voldoende voorbereid is op de fase 2-audit.

Concreet kijkt de auditor tijdens de fase 1-audit naar de volgende elementen:

De scope van het ISMS: welke processen, locaties en systemen vallen eronder?
De volledigheid en kwaliteit van uw beleidsdocumentatie
De risicoanalyse en het bijbehorende risicobehandelingsplan
De verklaring van toepasselijkheid (VvT / Statement of Applicability)
Bewijs van interne audits en managementreviews
De doelstellingen voor informatiebeveiliging

De fase 1-audit vindt doorgaans op locatie of deels op afstand plaats en duurt, afhankelijk van de omvang van uw organisatie, een halve tot een volledige dag. Het resultaat is een rapportage met eventuele aandachtspunten die u moet adresseren voordat de fase 2-audit van start gaat.

Wat wordt er getoetst in een fase 2-audit?

In de fase 2-audit toetst de auditor of uw ISMS daadwerkelijk werkt in de dagelijkse praktijk. Waar de fase 1-audit draait om documentatie en opzet, gaat de fase 2-audit over werking en effectiviteit. De auditor voert interviews, observeert processen en beoordeelt bewijsstukken om vast te stellen of de beheersmaatregelen uit de ISO 27001-norm aantoonbaar worden uitgevoerd.

Tijdens de fase 2-audit komen onder andere de volgende aspecten aan bod:

De implementatie van de risicobeheersmaatregelen in de praktijk
Bewustzijn en gedrag van medewerkers rondom informatiebeveiliging
De werking van incident- en afwijkingsbeheer
Monitoring, meting en evaluatie van het ISMS
Aantoonbare managementbetrokkenheid
Naleving van wettelijke en contractuele verplichtingen

De fase 2-audit is intensiever en duurt meerdere dagen, afhankelijk van de complexiteit en omvang van uw organisatie. Bij een positieve uitkomst ontvangt u het ISO 27001-certificaat, dat drie jaar geldig is.

Wat zijn de belangrijkste verschillen tussen fase 1 en fase 2?

Het kernverschil tussen de fase 1- en fase 2-audit bij ISO 27001 is het onderscheid tussen opzet en werking. Fase 1 beantwoordt de vraag: “Heeft de organisatie het ISMS goed ingericht op papier?” Fase 2 beantwoordt de vraag: “Werkt het ISMS ook echt zo in de praktijk?” Zonder een geslaagde fase 1-audit kunt u niet doorgaan naar fase 2.

De verschillen op een rij:

Focus: Fase 1 richt zich op documentatie en opzet; fase 2 op implementatie en effectiviteit
Diepgang: Fase 1 is een review; fase 2 omvat interviews, observaties en steekproeven
Duur: Fase 1 is korter; fase 2 neemt meer auditdagen in beslag
Uitkomst: Fase 1 levert een gereedheidsadvies op; fase 2 leidt tot een certificeringsbeslissing
Risico: Bevindingen in fase 1 zijn corrigeerbaar; bevindingen in fase 2 kunnen leiden tot afwijzing of aanvullende eisen

Hoeveel tijd zit er tussen fase 1 en fase 2?

Tussen de fase 1- en fase 2-audit zit doorgaans een periode van vier tot twaalf weken. Deze tussenperiode is bedoeld om eventuele tekortkomingen die tijdens de fase 1-audit zijn geconstateerd te corrigeren. De exacte duur hangt af van de ernst van de bevindingen en de capaciteit van uw organisatie om verbeteringen door te voeren.

Een te korte tussenperiode is onverstandig als er nog substantiële verbeterpunten openstaan. Een te lange periode kan er juist voor zorgen dat de situatie verandert en de auditor opnieuw moet beoordelen of de documentatie nog actueel is. Wij adviseren organisaties om de tussenperiode realistisch in te plannen: voldoende tijd voor correcties, maar zonder onnodig uitstel.

Wat als er bevindingen zijn na fase 1 of fase 2?

Bevindingen na een fase 1- of fase 2-audit zijn geen reden tot paniek. Ze worden ingedeeld naar ernst: majeure tekortkomingen (non-conformiteiten die het ISMS fundamenteel raken), mineure tekortkomingen (kleinere afwijkingen van de norm) en observaties (verbeterpunten zonder directe normafwijking). Hoe u ermee omgaat, verschilt per type en per fase.

Bevindingen na fase 1

Na de fase 1-audit krijgt u de kans om geconstateerde tekortkomingen op te lossen voordat de fase 2-audit begint. Majeure bevindingen moeten volledig zijn opgelost; voor mineure bevindingen kan soms worden afgesproken dat ze worden meegenomen in de fase 2-audit. U hoeft de fase 1-audit in de meeste gevallen niet over te doen.

Bevindingen na fase 2

Na de fase 2-audit kan de auditor een correctieve actie opleggen met een deadline. Bij mineure non-conformiteiten heeft u doorgaans negentig dagen de tijd om bewijs van verbetering aan te leveren. Bij een majeure non-conformiteit wordt de certificering niet verleend totdat het probleem aantoonbaar is opgelost en soms is een aanvullende audit nodig. Een transparante aanpak en heldere communicatie met uw auditinstelling maken dit proces beheersbaar.

Wanneer is een organisatie klaar voor fase 2?

Een organisatie is klaar voor de fase 2-audit wanneer het ISMS minimaal drie maanden operationeel is, alle bevindingen uit de fase 1-audit zijn opgelost en er aantoonbaar interne audits en een managementreview hebben plaatsgevonden. Dit zijn de basisvereisten die de ISO 27001-norm stelt voordat een volwaardige certificeringsaudit zinvol is.

Praktische indicatoren dat u klaar bent voor fase 2:

Alle beleidsdocumenten zijn vastgesteld en gecommuniceerd aan medewerkers
De risicoanalyse is uitgevoerd en het risicobehandelingsplan is geïmplementeerd
Er heeft minimaal één volledige interne auditcyclus plaatsgevonden
De managementreview is gedocumenteerd en toont betrokkenheid van de directie
Medewerkers zijn aantoonbaar getraind en zich bewust van hun rol binnen het ISMS
Alle bevindingen uit de fase 1-audit zijn afgehandeld

Twijfelt u of uw organisatie voldoende voorbereid is? Onze auditors kijken graag met u mee naar de staat van uw informatiebeveiliging en geven u eerlijk advies over uw gereedheid. Zo voorkomt u verrassingen tijdens de fase 2-audit en vergroot u de kans op een succesvolle certificering. Neem contact op en plan een vrijblijvend kennismakingsgesprek met een van onze specialisten.

Veelgestelde vragen

Wat gebeurt er als mijn organisatie de fase 1-audit niet haalt?

V: Wat gebeurt er als mijn organisatie de fase 1-audit niet haalt? A: Als de fase 1-audit tekortkomingen aan het licht brengt, krijgt u de kans om deze te corrigeren voordat de fase 2-audit begint. In de meeste gevallen hoeft u de fase 1-audit niet over te doen, maar u moet wel aantoonbaar bewijs leveren dat de geconstateerde problemen zijn opgelost.

Hoe lang duurt het hele ISO 27001-certificeringsproces van fase 1 tot certificaat?

V: Hoe lang duurt het hele ISO 27001-certificeringsproces van fase 1 tot certificaat? A: Het volledige certificeringsproces, inclusief de tussenperiode van vier tot twaalf weken tussen beide audits, duurt gemiddeld drie tot zes maanden. De exacte doorlooptijd hangt af van de omvang van uw organisatie, de ernst van eventuele bevindingen en hoe snel verbeteringen worden doorgevoerd.

Waarom moet het ISMS minimaal drie maanden operationeel zijn vóór de fase 2-audit?

V: Waarom moet het ISMS minimaal drie maanden operationeel zijn vóór de fase 2-audit? A: De ISO 27001-norm vereist aantoonbare werking over een bepaalde periode, zodat de auditor kan beoordelen of uw beveiligingsmaatregelen structureel en niet eenmalig worden toegepast. Zonder deze operationele periode ontbreekt het bewijsmateriaal — zoals interne auditverslagen en een managementreview — dat nodig is voor een succesvolle fase 2-audit.

Wat is het verschil tussen een majeure en een mineure non-conformiteit na de fase 2-audit?

V: Wat is het verschil tussen een majeure en een mineure non-conformiteit na de fase 2-audit? A: Een majeure non-conformiteit raakt de kern van uw ISMS en blokkeert de certificering totdat het probleem aantoonbaar is opgelost, soms met een aanvullende audit als gevolg. Een mineure non-conformiteit is een kleinere afwijking waarbij u doorgaans negentig dagen de tijd krijgt om verbeteringsbewijs aan te leveren zonder dat de certificering direct wordt tegengehouden.

Deel dit bericht

Contact

"*" geeft vereiste velden aan