Wat is het verschil tussen gecertificeerd zijn en compliant zijn?

Gecertificeerd zijn en compliant zijn lijken op het eerste gezicht hetzelfde, maar er is een wezenlijk verschil. Compliance betekent dat een organisatie voldoet aan bepaalde regels, wetten of normen. Een certificering is een formeel, onafhankelijk bewijs dat dit ook daadwerkelijk is aangetoond en getoetst. Voor organisaties die werken met gevoelige gegevens of zakendoen met veeleisende opdrachtgevers is dat onderscheid cruciaal. In dit artikel beantwoorden we de meest gestelde vragen over dit onderwerp. Heb je tussendoor al vragen? Neem gerust contact op, we helpen je graag verder.

Wat betekent het als een organisatie ‘compliant’ is?

Een organisatie is compliant wanneer zij voldoet aan de eisen van een bepaalde wet, norm of richtlijn op het gebied van informatiebeveiliging. Denk aan de AVG, de BIO of de NEN 7510. Compliance is een interne toestand: de organisatie heeft de juiste maatregelen getroffen, processen ingericht en beleid vastgelegd. Er is echter geen externe partij die dit heeft gecontroleerd of bevestigd.

Compliant zijn is dus een zelfbeoordeling. Een organisatie kan intern concluderen dat zij aan alle eisen voldoet, maar dat oordeel is niet onafhankelijk gevalideerd. Dit maakt compliance waardevol als intern sturingsinstrument, maar minder sterk als bewijs richting externe partijen zoals klanten, aanbestedende diensten of toezichthouders.

Wat bewijst een certificering dat compliance niet bewijst?

Een certificering bewijst dat een onafhankelijke, geaccrediteerde auditinstelling heeft vastgesteld dat de organisatie voldoet aan de eisen van een specifieke informatiebeveiligingsnorm. Dit is het fundamentele verschil: een certificaat is extern, objectief en controleerbaar. Compliance is een eigen inschatting; een certificering is een bewezen feit.

Concreet biedt een certificering drie dingen die compliance alleen niet geeft:

• Onafhankelijke verificatie: een geaccrediteerde auditor heeft de organisatie beoordeeld op basis van vastgestelde criteria.
• Aantoonbaarheid: het certificaat is een tastbaar document dat je kunt overleggen aan klanten, partners of aanbesteders.
• Periodieke hertoetsing: certificeringen worden regelmatig herbeoordeeld, wat zorgt voor continue borging van de beveiligingsmaatregelen.

Voor organisaties die moeten aantonen dat hun informatiebeveiliging op orde is, is een certificering daarmee een veel sterker instrument dan een intern compliance-rapport.

Kan een organisatie compliant zijn zonder gecertificeerd te zijn?

Ja, een organisatie kan compliant zijn zonder gecertificeerd te zijn. Als een organisatie alle maatregelen heeft getroffen die een norm zoals ISO 27001 vereist, maar geen externe audit heeft laten uitvoeren, is zij feitelijk compliant maar niet gecertificeerd. Dit komt regelmatig voor bij organisaties die intern al ver zijn met hun informatiebeveiliging, maar de formele stap naar certificering nog niet hebben gezet.

Het omgekeerde, gecertificeerd zijn zonder daadwerkelijk compliant te zijn, is in theorie niet mogelijk. Een certificering kan immers alleen worden afgegeven na een geslaagde externe audit. Toch is het belangrijk te beseffen dat een certificaat een momentopname is: een organisatie moet actief blijven werken aan haar beveiligingsmaatregelen om ook tussen audits in compliant te blijven.

Wanneer is een certificering verplicht of noodzakelijk?

Een certificering is verplicht wanneer wet- of regelgeving dit voorschrijft, of wanneer een opdrachtgever of aanbestedende dienst dit als harde eis stelt. In de praktijk is ISO 27001 certificering steeds vaker een voorwaarde bij aanbestedingen in de publieke sector, bij contracten met grote ondernemingen en bij het verwerken van bijzondere persoonsgegevens in de zorg.

Naast formele verplichtingen zijn er situaties waarin een certificering sterk aan te raden is, ook zonder dat het wettelijk verplicht is:

• Je organisatie verwerkt grote hoeveelheden klantgegevens of gevoelige informatie.
• Klanten of partners vragen om bewijs van een goed ingericht informatiebeveiligingsbeleid.
• Je wil je onderscheiden van concurrenten in een markt waar vertrouwen en betrouwbaarheid centraal staan.
• Je organisatie wil intern grip krijgen op risico’s en beveiligingsprocessen structureel verbeteren.

In 2026 zien we dat steeds meer sectoren, waaronder ICT, zorg en financiële dienstverlening, certificering als de norm beschouwen in plaats van als uitzondering.

Hoe verhoudt ISO 27001 zich tot andere compliance-eisen?

ISO 27001 is een internationale norm voor informatiebeveiliging die een breed raamwerk biedt voor het opzetten, implementeren en continu verbeteren van een Information Security Management System (ISMS). Andere compliance-eisen, zoals de AVG, de BIO of NEN 7510, richten zich op specifieke sectoren of wettelijke verplichtingen. ISO 27001 en deze normen sluiten elkaar niet uit, ze vullen elkaar juist aan.

Veel organisaties die werken aan ISO 27001 certificering, merken dat zij daarmee tegelijkertijd een groot deel van hun AVG-verplichtingen invullen. De BIO, die geldt voor overheidsorganisaties, is gebaseerd op hetzelfde raamwerk als ISO 27001. NEN 7510 is specifiek ontwikkeld voor de zorgsector en bouwt ook voort op de principes van ISO 27001.

Een ISO 27001 certificering kan dus fungeren als fundament waarop sectorspecifieke compliance-eisen worden gebouwd, wat de totale inspanning voor organisaties aanzienlijk kan verminderen.

Wat zijn de concrete stappen van gecertificeerd worden?

Gecertificeerd worden via een norm zoals ISO 27001 verloopt in een aantal vaste stappen: voorbereiding, implementatie, interne audit, certificeringsaudit en periodieke surveillance. Het proces vraagt om een gerichte aanpak, maar is voor de meeste organisaties goed te doorlopen met de juiste begeleiding.

De stappen op een rij:

1. Scope bepalen: Welke onderdelen van de organisatie vallen onder het ISMS? Dit bepaalt de omvang van de certificering.
2. Risicoanalyse uitvoeren: Breng de informatiebeveiligingsrisico’s in kaart en bepaal welke beheersmaatregelen nodig zijn.
3. Maatregelen implementeren: Richt processen, beleid en technische maatregelen in op basis van de norm.
4. Interne audit uitvoeren: Toets intern of alles voldoet voordat de externe auditor langskomt.
5. Certificeringsaudit (fase 1 en 2): Een geaccrediteerde auditinstelling beoordeelt eerst de documentatie, daarna de praktijk.
6. Certificaat ontvangen en borgen: Na een geslaagde audit wordt het certificaat afgegeven. Vervolgens vinden jaarlijkse surveillanceaudits plaats om het certificaat te behouden.

De doorlooptijd varieert per organisatie, maar reken gemiddeld op enkele maanden tot een jaar voor de volledige voorbereiding en implementatie. Wil je weten wat dit traject voor jouw organisatie betekent? Neem contact op en we denken graag met je mee over de beste aanpak.

Gerelateerde artikelen

• Wat doe je als een klant een ISO 27001 certificaat eist en jij nog niet gecertificeerd bent?
• Wat controleert de auditor extra bij een zorgorganisatie met NEN 7510 naast ISO 27001?
• Wat kost een ISO 27001 certificeringsaudit en wat krijg je daarvoor?
• Wat is de volgende stap als je al met een beveiligingsconsultant werkt?
• Welke procedures zijn essentieel voor ISO 27001?