Wat kost het je als je geen ISO 27001 certificaat hebt bij een aanbesteding?

Het ontbreken van een ISO 27001-certificaat bij een aanbesteding kan je direct diskwalificeren. Steeds meer overheidsinstanties en grote opdrachtgevers stellen ISO 27001 als harde eis, niet als wenselijk criterium. Wie niet gecertificeerd is, mag simpelweg niet meedingen. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001 als vereiste bij aanbestedingen, zodat je precies weet waar je aan toe bent. Wil je alvast weten wat dit voor jouw organisatie betekent? Neem gerust contact op, wij helpen je graag verder.

Welke aanbestedingen eisen een ISO 27001-certificaat?

ISO 27001 is een vereiste bij aanbestedingen in sectoren waar vertrouwelijke gegevens worden verwerkt. Dat geldt voor overheidsaanbestedingen op het gebied van ICT-diensten, cloudoplossingen, softwareontwikkeling en databeheer, maar ook voor opdrachten in de zorg, het onderwijs en de kritieke infrastructuur. Zowel Europese als nationale aanbestedingen nemen het certificaat steeds vaker op als knock-outcriterium.

Concreet zie je de eis terugkomen bij:

• Rijksoverheid en gemeenten die IT-diensten of SaaS-oplossingen inkopen
• Zorginstellingen die werken met patiëntdata en leveranciers selecteren
• Ministeries en uitvoeringsorganisaties die vallen onder de Baseline Informatiebeveiliging Overheid (BIO)
• Grote private opdrachtgevers in de financiële sector en maakindustrie
• Samenwerkingsverbanden waarbij één partij ISO 27001 vereist van haar toeleveranciers

De trend is duidelijk: naarmate de NIS2-richtlijn verder wordt geïmplementeerd en digitale risico’s toenemen, groeit het aantal opdrachtgevers dat informatiebeveiliging als voorwaarde stelt. ISO 27001 is daarin de meest erkende en geaccepteerde standaard.

Wat gebeurt er als je geen ISO 27001 hebt bij een aanbesteding?

Zonder een geldig ISO 27001-certificaat word je bij veel aanbestedingen direct uitgesloten. Als het certificaat is opgenomen als knock-outcriterium, geldt het als een harde geschiktheidseis: ontbreekt het, dan wordt je inschrijving terzijde gelegd zonder verdere beoordeling van prijs, kwaliteit of ervaring.

Naast directe uitsluiting zijn er andere gevolgen:

• Puntenverlies bij gunningscriteria: Zelfs als ISO 27001 geen harde eis is, telt het vaak mee als gunningscriterium. Organisaties zonder certificaat scoren lager en verliezen opdrachten aan gecertificeerde concurrenten.
• Reputatieschade: Aanbestedende diensten kunnen het ontbreken van certificering zien als een signaal dat informatiebeveiliging niet serieus wordt genomen.
• Contractuele blokkades: Sommige raamovereenkomsten vereisen dat alle deelnemers gecertificeerd zijn. Zonder certificaat val je buiten de scope van bestaande contracten.

Kortom: het ontbreken van een ISO 27001-certificaat bij een aanbesteding is niet alleen een gemiste kans, het is een actieve belemmering voor groei.

Hoeveel omzet mis je door het ontbreken van ISO 27001?

De gemiste omzet door het ontbreken van ISO 27001 is voor veel organisaties groter dan ze beseffen. Elke aanbesteding waarvoor je niet in aanmerking komt vanwege het ontbreken van het certificaat, vertegenwoordigt een concreet omzetverlies. Voor ICT-bedrijven en dienstverleners die actief zijn in de publieke sector kan dit oplopen tot een significant deel van hun potentiële markt.

Een paar overwegingen die de impact verduidelijken:

• Overheidsaanbestedingen vertegenwoordigen in Nederland miljarden aan jaarlijkse IT-uitgaven. Een groot deel daarvan is alleen toegankelijk voor gecertificeerde partijen.
• Raamovereenkomsten lopen vaak drie tot vier jaar. Wie een ronde mist, staat jarenlang buitenspel.
• De indirecte kosten tellen ook mee: het verlies van een grote opdracht betekent minder referenties, minder groei en een zwakkere positie bij volgende aanbestedingen.
• Private opdrachtgevers volgen de publieke sector steeds vaker. De markt voor gecertificeerde aanbieders groeit, die voor niet-gecertificeerde aanbieders krimpt.

De investering in ISO 27001-certificering weegt in de meeste gevallen ruimschoots op tegen de omzet die je misloopt door het ontbreken ervan.

Welke alternatieven voor ISO 27001 worden geaccepteerd bij aanbestedingen?

Bij sommige aanbestedingen worden alternatieven voor ISO 27001 geaccepteerd, maar dit is de uitzondering, niet de regel. De meest voorkomende alternatieven zijn NEN 7510 (voor de zorgsector), SOC 2 Type II (met name in internationale context) en aantoonbare naleving van de BIO voor overheidsorganisaties zelf. Een eigen Information Security Management System zonder certificering wordt zelden geaccepteerd.

Wat je in de praktijk tegenkomt:

• NEN 7510: Gebaseerd op ISO 27001 en specifiek gericht op de zorgsector. Wordt geaccepteerd bij zorggerelateerde aanbestedingen, maar niet breed buiten die sector.
• SOC 2 Type II: Erkend in internationale aanbestedingen, maar in Nederland minder gangbaar dan ISO 27001.
• Gelijkwaardigheidsverklaring: Een aanbesteder kan een gelijkwaardig bewijs accepteren, maar de bewijslast ligt bij de inschrijver en wordt kritisch beoordeeld.
• BIO-compliance: Relevant voor overheidsorganisaties zelf, maar niet als vervanging voor leverancierscertificering.

De veiligste en meest universele keuze blijft ISO 27001. Het is de enige norm die breed geaccepteerd wordt in alle sectoren en bij vrijwel alle aanbestedende diensten in Nederland.

Hoe snel kun je een ISO 27001-certificaat behalen voor een aanbesteding?

Het behalen van een ISO 27001-certificaat duurt gemiddeld drie tot twaalf maanden, afhankelijk van de volwassenheid van je informatiebeveiliging op het moment van de start. Organisaties die al een gestructureerd beveiligingsbeleid hebben, kunnen het proces aanzienlijk versnellen. Een realistische minimumtermijn voor een organisatie die vrijwel vanaf nul begint, is zes maanden.

Het certificeringstraject bestaat globaal uit deze fasen:

1. Gap-analyse: Vaststellen waar je nu staat ten opzichte van de ISO 27001-norm.
2. Implementatie: Opzetten of verbeteren van beleid, procedures en technische maatregelen.
3. Interne audit: Controleren of het managementsysteem werkt zoals bedoeld.
4. Fase 1-audit (documentatiebeoordeling): Een geaccrediteerde auditinstelling beoordeelt de documentatie.
5. Fase 2-audit (implementatiebeoordeling): De feitelijke werking van het systeem wordt getoetst.
6. Certificaatuitgifte: Na een positieve beoordeling ontvang je het ISO 27001-certificaat, geldig voor drie jaar.

Bij DigiTrust begeleiden we organisaties door dit hele traject met een contextgerichte aanpak. We kijken niet alleen naar wat er ontbreekt, maar ook naar wat er al goed gaat. Dat maakt het traject efficiënter en het resultaat duurzamer. Bekijk onze certificeringsdiensten voor meer informatie over hoe dit werkt.

Wanneer is het de juiste tijd om te starten met ISO 27001?

De juiste tijd om te starten met ISO 27001 is ruim vóór je het nodig hebt voor een aanbesteding. Wie wacht tot een concrete aanbestedingsdeadline in zicht is, heeft vrijwel altijd te weinig tijd. De ideale start is op het moment dat je organisatie actief is in markten waar informatiebeveiliging een rol speelt, of wanneer je weet dat je de komende jaren wilt groeien in de publieke of semipublieke sector.

Concrete signalen dat het tijd is om te starten:

• Je ontvangt aanbestedingsdocumenten waarin ISO 27001 als eis of gunningscriterium verschijnt.
• Bestaande klanten of partners vragen naar je beveiligingsniveau of certificering.
• Je organisatie verwerkt persoonsgegevens of vertrouwelijke bedrijfsinformatie op schaal.
• Je wilt aantoonbaar voldoen aan de NIS2-richtlijn of AVG-verplichtingen.
• Concurrenten in jouw markt zijn al gecertificeerd en dat speelt mee in klantbeslissingen.

Wacht niet tot een gemiste aanbesteding je dwingt tot actie. ISO 27001 is geen eindbestemming, maar een fundament voor duurzame digitale weerbaarheid. Hoe eerder je begint, hoe sterker je positie bij de volgende aanbestedingsronde. Neem contact op en wij vertellen je precies waar je kunt beginnen.

Gerelateerde artikelen

• Hoe voorkom je dat je te vroeg aan een ISO 27001 fase 1 audit begint?
• Hoe verloopt een ISO 27001 certificering als je met meerdere kantoren werkt?
• Wat gebeurt er als je de geldigheidstermijn van je ISO 27001 certificaat laat verlopen?
• Hoe wordt een hybride werkomgeving meegenomen in een ISO 27001 audit?
• Hoe toon je aan dat je veilig met patiëntgegevens omgaat?