Wat is het verschil tussen een initiële certificering en een hercertificering?

Een initiële certificering en een hercertificering zijn twee verschillende soorten audits binnen hetzelfde certificeringstraject. Bij een initiële certificering wordt voor de eerste keer vastgesteld of een organisatie voldoet aan de norm, zoals ISO 27001 of NEN 7510. Een hercertificering vindt plaats na drie jaar en beoordeelt of het managementsysteem ook daadwerkelijk volwassen en geborgd is in de organisatie. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en we helpen je graag verder. In dit artikel beantwoorden we de meest gestelde vragen over beide trajecten.

Wat gebeurt er tijdens een initiële certificering?

Tijdens een initiële certificering wordt voor het eerst getoetst of een organisatie voldoet aan de eisen van een informatiebeveiligingsnorm. Dit traject bestaat uit twee fasen: een documentatiebeoordeling (fase 1) en een implementatieaudit (fase 2). De auditor beoordeelt of het managementsysteem niet alleen op papier bestaat, maar ook daadwerkelijk in de praktijk wordt toegepast.

In fase 1 bekijkt de auditor de documentatie van het Information Security Management System (ISMS). Denk aan beleidsdocumenten, risicoanalyses, procedures en de verklaring van toepasselijkheid. Het doel is te bepalen of de organisatie klaar is voor de volledige audit.

Fase 2 is de eigenlijke implementatieaudit. Hierbij worden medewerkers geïnterviewd, processen geobserveerd en bewijs verzameld dat de beheersmaatregelen daadwerkelijk werken. Na een succesvolle fase 2 ontvangt de organisatie het certificaat, dat drie jaar geldig is. Wil je weten wat er bij een certificeringstraject komt kijken? We leggen het je graag uit.

Wat houdt een hercertificering precies in?

Een hercertificering is de hernieuwde beoordeling van een bestaand certificaat na drie jaar. Anders dan bij de initiële certificering richt de hercertificeringsaudit zich niet alleen op de vraag of het systeem bestaat, maar ook op de vraag of het systeem in de loop der jaren is doorontwikkeld, verbeterd en stevig verankerd in de organisatie.

Bij een hercertificering wordt het volledige managementsysteem opnieuw beoordeeld, inclusief de aantoonbare verbetercyclus over de afgelopen drie jaar. De auditor kijkt naar interne audits, directiebeoordelingen, corrigerende maatregelen en de manier waarop de organisatie heeft gereageerd op incidenten of veranderingen.

Een belangrijk verschil met de initiële audit is dat de lat bij een hercertificering hoger ligt. De verwachting is dat een organisatie na drie jaar ervaring heeft opgedaan en haar informatiebeveiliging structureel heeft verbeterd. Stagnatie of terugval wordt gezien als een aandachtspunt.

Wat zijn de belangrijkste verschillen tussen beide audits?

Het grootste verschil tussen een initiële certificering en een hercertificering zit in het uitgangspunt en de verwachte volwassenheid. Bij een initiële certificering wordt beoordeeld of een organisatie aan de norm voldoet. Bij een hercertificering wordt beoordeeld of de organisatie de norm ook heeft geborgd en doorontwikkeld over een periode van drie jaar.

De voornaamste verschillen op een rij:

• Startpositie: Initieel begint bij nul; hercertificering bouwt voort op een bestaand systeem.
• Scope van de audit: Initieel focust op opzet en bestaan; hercertificering toetst ook de werking en verbetering over tijd.
• Bewijslast: Bij hercertificering wordt bewijs van de afgelopen drie jaar verwacht, zoals auditrapportages, verbeterplannen en directiebeoordelingen.
• Fasering: Een initiële audit bestaat uit twee duidelijke fases; een hercertificering heeft vaak een vergelijkbare opzet, maar verloopt compacter als de organisatie goed is voorbereid.
• Verwachte volwassenheid: Na drie jaar verwacht de auditor een systeem dat leeft en groeit, niet één dat er alleen op papier staat.

Welke rol spelen tussentijdse surveillance-audits?

Tussen de initiële certificering en de hercertificering vinden jaarlijkse surveillance-audits plaats. Deze tussentijdse audits zijn geen volledige herbeoordelingen, maar gerichte steekproeven die controleren of het managementsysteem actief in stand wordt gehouden en of er geen grote afwijkingen zijn ontstaan.

Surveillance-audits zijn kleiner van omvang dan de initiële of hercertificeringsaudit. Ze richten zich doorgaans op specifieke onderdelen van het ISMS, zoals recente incidenten, interne auditresultaten of eerder geconstateerde verbeterpunten. Ze bieden de organisatie ook de kans om lopende verbeteringen zichtbaar te maken.

Voor de hercertificering zijn surveillance-audits waardevol als voorbereiding. De bevindingen uit de eerste en tweede surveillanceaudit geven een goed beeld van wat er nog aandacht nodig heeft voordat het certificaat wordt verlengd. Organisaties die de surveillance-audits serieus nemen, lopen bij de hercertificering zelden tegen grote verrassingen aan.

Hoe bereid je je voor op een hercertificering?

De beste voorbereiding op een hercertificering begint niet in de maanden voor de audit, maar direct na de initiële certificering. Organisaties die hun managementsysteem gedurende de hele certificeringsperiode actief onderhouden, hoeven aan het einde van de drie jaar relatief weinig extra inspanning te leveren.

Concrete stappen voor een goede voorbereiding:

1. Voer jaarlijkse interne audits uit en documenteer de bevindingen en opvolging zorgvuldig.
2. Houd directiebeoordelingen bij en zorg dat de uitkomsten aantoonbaar worden omgezet in verbeteracties.
3. Registreer incidenten en corrigerende maatregelen structureel, ook de kleinere.
4. Actualiseer risicoanalyses en beleidsdocumenten wanneer de organisatie of het dreigingslandschap verandert.
5. Verwerk de bevindingen uit surveillance-audits tijdig en laat zien wat ermee is gedaan.

Een hercertificering is geen sprint, maar het resultaat van drie jaar consistent werken aan informatiebeveiliging. Organisaties die dat begrijpen, ervaren de audit als een bevestiging van wat al goed gaat, in plaats van een stressmoment.

Wat gebeurt er als je certificaat verloopt zonder hercertificering?

Als een organisatie geen hercertificering aanvraagt voordat het certificaat verloopt, verliest het certificaat zijn geldigheid. Dit betekent dat de organisatie niet langer aantoonbaar gecertificeerd is volgens de betreffende norm, zoals ISO 27001 of NEN 7510. Dat kan directe gevolgen hebben voor klantrelaties, aanbestedingen en contractuele verplichtingen.

In de praktijk kan een verlopen certificaat leiden tot:

• Verlies van opdrachten waarbij een geldig certificaat een vereiste is.
• Problemen bij aanbestedingen in de publieke sector, waar certificering vaak verplicht is gesteld.
• Reputatieschade bij klanten die erop vertrouwen dat de organisatie gecertificeerd is.
• De noodzaak om opnieuw een volledige initiële certificering te doorlopen, afhankelijk van hoe lang het certificaat verlopen is.

Het is verstandig om ruim voor de verloopdatum te beginnen met de voorbereiding op de hercertificering. De meeste certificeringsinstellingen, waaronder wij, plannen de hercertificeringsaudit bij voorkeur enkele maanden voor de verloopdatum in, zodat eventuele bevindingen nog tijdig kunnen worden opgepakt. Wil je weten wanneer jij aan de beurt bent of hoe je het traject het best aanpakt? Neem contact op en we denken graag met je mee.

Gerelateerde artikelen

• Wat gebeurt er als je scope wijzigt na een ISO 27001 certificering?
• Wat doe je als een klant een ISO 27001 certificaat eist en jij nog niet gecertificeerd bent?
• Wat is de CBW en geldt die ook voor kleine zorgaanbieders?
• Moet een ICT leverancier aan de zorg gecertificeerd zijn?
• Wat zijn jaarlijkse controle-audits?