Wat is het verschil tussen een fase 1 en een fase 2 audit?

Een fase 1 audit en een fase 2 audit zijn de twee verplichte stappen in een ISO 27001-certificeringsaudit. De fase 1 audit is een documentatiebeoordeling waarbij de auditor toetst of je managementsysteem voldoende is uitgewerkt op papier. De fase 2 audit is de eigenlijke certificeringsaudit, waarbij wordt beoordeeld of het systeem in de praktijk werkt en effectief is geïmplementeerd. Beide fasen zijn noodzakelijk om een ISO 27001-certificaat te behalen. In dit artikel beantwoorden we de meest gestelde vragen over het auditproces, zodat je precies weet wat je kunt verwachten. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en wij helpen je verder.

Wat wordt er precies beoordeeld in een fase 1 audit?

In een fase 1 audit beoordeelt de auditor of jouw informatiebeveiligingsmanagementsysteem (ISMS) voldoende is gedocumenteerd en of de organisatie klaar is voor de fase 2 audit. De focus ligt op beleid, procedures, risicobeoordelingen en het begrip dat de organisatie heeft van de ISO 27001-vereisten.

Concreet kijkt de auditor tijdens de fase 1 audit naar de volgende zaken:

• De scope van het ISMS: welke processen, systemen en locaties vallen eronder?
• Het informatiebeveiligingsbeleid en de bijbehorende doelstellingen
• De risicobeoordelingsmethodiek en de bijbehorende resultaten
• De Statement of Applicability (SoA): een overzicht van welke beheersmaatregelen van toepassing zijn en waarom
• Interne auditverslagen en directiebeoordelingen
• Bewijs dat het management betrokken is bij het ISMS

De fase 1 audit is bewust minder diepgaand dan de fase 2 audit. Het doel is om te signaleren of er fundamentele tekortkomingen zijn die een succesvolle fase 2 audit in de weg staan. De auditor geeft na afloop een terugkoppeling met eventuele aandachtspunten die je vóór de fase 2 audit moet oppakken.

Wat gebeurt er tijdens een fase 2 audit?

Tijdens de fase 2 audit onderzoekt de auditor of het ISMS daadwerkelijk werkt in de dagelijkse praktijk. Dit is de eigenlijke certificeringsaudit: de auditor toetst niet alleen de documentatie, maar ook de implementatie en werking van de beheersmaatregelen die je hebt ingevoerd.

De fase 2 audit is intensiever en duurt langer dan de fase 1 audit. De auditor voert interviews met medewerkers op verschillende niveaus, bekijkt systemen en processen, en controleert of de werkwijze overeenkomt met wat er op papier staat. Denk hierbij aan:

• Interviews met proceseigenaren en medewerkers over hun rol in het ISMS
• Beoordeling van logbestanden, toegangsrechten en incidentregistraties
• Verificatie van de uitvoering van interne audits en correctieve maatregelen
• Controle van de werking van beheersmaatregelen uit de SoA
• Beoordeling van bewustzijn en training van medewerkers

Na de fase 2 audit stelt de auditor een rapport op. Als er geen majeure tekortkomingen zijn, wordt het certificaat aanbevolen. Zijn er wel bevindingen, dan krijg je de kans om deze binnen een afgesproken termijn op te lossen.

Wat zijn de belangrijkste verschillen tussen fase 1 en fase 2?

Het belangrijkste verschil tussen een fase 1 en fase 2 audit is het beoordelingsniveau: fase 1 richt zich op de opzet en documentatie van het ISMS, terwijl fase 2 de werking en effectiviteit in de praktijk toetst. Fase 1 is een voorbereiding; fase 2 is de daadwerkelijke certificeringsaudit.

De verschillen op een rij:

• Focus: Fase 1 beoordeelt documenten en gereedheid; fase 2 beoordeelt implementatie en werking
• Diepgang: Fase 1 is relatief beperkt; fase 2 is uitgebreid en omvat interviews, systeemcontroles en procesbeoordelingen
• Duur: Fase 1 duurt doorgaans één dag of korter; fase 2 kan meerdere dagen in beslag nemen, afhankelijk van de organisatiegrootte
• Uitkomst: Fase 1 leidt tot een gereedheidsadvies; fase 2 leidt tot een certificeringsbeslissing
• Locatie: Fase 1 kan deels op afstand plaatsvinden; fase 2 vindt doorgaans on-site plaats

Beide fasen zijn onderdeel van het volledige ISO 27001-certificeringstraject en zijn niet los van elkaar te zien. De fase 1 audit legt de basis voor een succesvolle fase 2 audit.

Hoeveel tijd zit er tussen fase 1 en fase 2?

Tussen een fase 1 en fase 2 audit zit doorgaans een periode van vier tot twaalf weken. Deze tijd gebruik je om de aandachtspunten uit de fase 1 audit op te lossen en eventuele ontbrekende documentatie of implementatiestappen af te ronden.

De exacte tussenliggende periode hangt af van de bevindingen uit de fase 1 audit en de capaciteit van jouw organisatie. Als de fase 1 audit weinig aandachtspunten oplevert en de organisatie goed is voorbereid, kan de fase 2 audit al na vier tot zes weken plaatsvinden. Zijn er substantiële verbeterpunten, dan is meer tijd nodig.

Het is belangrijk om de fase 2 audit niet te lang uit te stellen. In de meeste gevallen geldt dat de fase 2 audit binnen zes maanden na de fase 1 audit moet plaatsvinden. Duurt het langer, dan kan het nodig zijn om de fase 1 audit te herhalen, omdat de bevindingen en context inmiddels kunnen zijn veranderd.

Hoe bereid je je voor op een fase 2 audit na fase 1?

De beste voorbereiding op een fase 2 audit is het opvolgen van alle aandachtspunten uit de fase 1 audit en ervoor zorgen dat het ISMS aantoonbaar werkt in de dagelijkse praktijk. Documentatie alleen is niet genoeg; medewerkers moeten de procedures kennen en toepassen.

Praktische stappen voor een goede voorbereiding:

1. Los bevindingen uit fase 1 op: Pak alle aandachtspunten die de auditor heeft benoemd systematisch aan en documenteer de oplossingen
2. Controleer de werking van beheersmaatregelen: Verifieer dat de maatregelen uit de SoA daadwerkelijk zijn geïmplementeerd en werken
3. Train medewerkers: Zorg dat medewerkers weten wat het ISMS inhoudt, wat hun rol is en hoe ze moeten handelen bij incidenten
4. Voer een interne audit uit: Een interne audit helpt om resterende zwakke plekken op te sporen vóór de externe auditor langskomt
5. Houd een directiebeoordeling: Dit is een formeel ISO 27001-vereiste en toont aan dat het management actief betrokken is
6. Verzamel bewijs: Zorg voor aantoonbaar bewijs van de werking van het systeem, zoals logbestanden, notulen en trainingsregistraties

Meer achtergrond over wat er bij informatiebeveiliging komt kijken, helpt ook om de juiste context te bieden aan medewerkers die tijdens de fase 2 audit worden geïnterviewd.

Wat gebeurt er als je fase 2 niet haalt?

Als de fase 2 audit leidt tot majeure bevindingen, wordt het certificaat niet direct afgegeven. Je krijgt dan de mogelijkheid om de tekortkomingen binnen een afgesproken termijn op te lossen, waarna de auditor beoordeelt of de correctieve maatregelen voldoende zijn.

Er zijn twee soorten bevindingen die de auditor kan rapporteren:

• Majeure afwijkingen: Dit zijn ernstige tekortkomingen die aantonen dat het ISMS niet voldoet aan een kernvereiste van ISO 27001. Een certificaat kan pas worden afgegeven nadat deze zijn opgelost en geverifieerd
• Mineure afwijkingen: Dit zijn kleinere tekortkomingen die de werking van het systeem niet fundamenteel ondermijnen. Deze moeten worden opgelost, maar leiden niet automatisch tot het uitstellen van certificering

In de meeste gevallen betekent het niet halen van de fase 2 audit geen mislukking, maar een verbeterkans. De auditor geeft concrete feedback over wat er ontbreekt of niet goed werkt. Met die informatie kun je gericht aan de slag. Afhankelijk van de ernst van de bevindingen volgt een aanvullend auditbezoek of een documentatiebeoordeling om te verifiëren dat de verbeteringen zijn doorgevoerd.

Wil je zeker weten dat jouw organisatie goed voorbereid is op het volledige auditproces? Neem contact op en wij denken graag met je mee over de beste aanpak.

Gerelateerde artikelen

• Hoe plan je een realistisch tijdpad naar een ISO 27001 certificering?
• Wat zijn de risico's als een adviesbureau zich voordoet als certificerende instelling?
• Wat is het verschil tussen een norm en een wet bij informatiebeveiliging?
• Wat moet je doen om te certificeren voor ISO 27001?
• Wat is het verschil tussen een minor en een major non-conformiteit?