Wat vraag je aan referenties voordat je een ISO 27001 certificerende instelling kiest?

Bij het kiezen van een ISO 27001-certificerende instelling zijn referenties een van de meest waardevolle informatiebronnen die je hebt. Vraag referenties altijd naar concrete ervaringen: de diepgang van de audit, de sectorkennis van de auditor, de communicatie tijdens het proces en de meerwaarde die de certificering uiteindelijk opleverde. Zo krijg je een eerlijk beeld van wat je kunt verwachten. Als je wilt weten hoe wij bij DigiTrust te werk gaan, kun je altijd contact opnemen voor een vrijblijvend gesprek. In dit artikel lopen we langs de vragen die referenties écht onderscheidend maken.

Welke vragen geven écht inzicht in de kwaliteit van een auditor?

De meest waardevolle vragen aan referenties gaan over de diepgang en toegevoegde waarde van de audit, niet alleen over het behalen van het certificaat. Vraag specifiek of de auditor verder ging dan een checklist, of bevindingen werden uitgelegd in de context van de organisatie, en of de aanbevelingen achteraf daadwerkelijk bruikbaar bleken.

Stel referenties de volgende vragen om een scherp beeld te krijgen:

• Heeft de auditor zich verdiept in jullie specifieke bedrijfsprocessen en risico’s?
• Werden tekortkomingen constructief besproken, of voelde het als een afvinkexercitie?
• Heeft de audit jullie ISMS daadwerkelijk sterker gemaakt, of was het puur een formaliteit?
• Zou je dezelfde ISO 27001-auditor opnieuw inschakelen voor een vervolgaudit?

Die laatste vraag is misschien wel de meest veelzeggende. Een referentie die enthousiast terugkeert bij dezelfde instelling, geeft aan dat er echte meerwaarde werd ervaren, niet alleen een stempel op papier.

Wat zeggen referenties over de sectorkennis van een certificerende instelling?

Referenties onthullen snel of een certificerende instelling generalistisch werkt of echte sectorkennis meebrengt. Vraag of de auditor de specifieke wet- en regelgeving van de sector kende, begrip toonde voor de operationele context en relevante vergelijkingen maakte met vergelijkbare organisaties.

Sectorkennis maakt een wezenlijk verschil bij een ISO 27001-audit. Een auditor die werkt voor een zorginstelling moet begrijpen hoe patiëntgegevens stromen, welke systemen kritiek zijn en hoe NEN 7510 zich verhoudt tot ISO 27001. Voor een gemeente of overheidsorganisatie geldt dat de BIO een bepalende rol speelt. Vraag referenties dan ook expliciet: “Merkte je dat de auditor jouw sector kende?” en “Werden er voorbeelden of vergelijkingen gebruikt die voor jullie situatie relevant waren?”

Een certificerende instelling die breed inzetbaar is maar nergens specialist, levert vaak minder scherpe audits op. Referenties uit dezelfde of een vergelijkbare sector zijn daardoor waardevoller dan algemene aanbevelingen.

Hoe herken je een oppervlakkige audit aan de ervaringen van referenties?

Een oppervlakkige audit herken je aan referenties die aangeven dat de auditor vooral documentatie controleerde zonder door te vragen, dat bevindingen generiek waren en niet aansloten bij de praktijk, en dat het certificaat werd behaald zonder dat er iets wezenlijks veranderde in de organisatie.

Concrete signalen van een oppervlakkige aanpak zijn:

• De audit verliep opvallend snel, zonder diepgaande gesprekken met medewerkers.
• Bevindingen leken gekopieerd uit een standaardrapport en misten specifieke context.
• Er werden nauwelijks verbeterpunten geformuleerd, terwijl de organisatie wist dat er ruimte voor verbetering was.
• De auditor stelde weinig kritische vragen over de werking van het informatiebeveiligingsbeleid in de praktijk.

Het is juist de diepgang die een audit waardevol maakt. Een goede referentie beschrijft een auditor die ook sterke punten benoemt, doorvraagt bij onduidelijkheden en bevindingen bespreekt in de bredere context van de organisatie. Dat is wat wij bij DigiTrust “waarderend auditen” noemen: oog voor wat goed gaat, gecombineerd met scherpe aandacht voor verbeterpunten.

Wat vertellen referenties over de communicatie tijdens het auditproces?

Referenties geven een eerlijk beeld van hoe een certificerende instelling communiceert: of planning en verwachtingen vooraf helder werden uitgelegd, of er tijdens de audit ruimte was voor vragen, en of het eindrapport begrijpelijk en bruikbaar was voor de organisatie.

Goede communicatie is geen bijzaak bij een ISO 27001-certificering, het is een kernonderdeel van het proces. Vraag referenties specifiek naar:

• Was het voortraject duidelijk? Wisten jullie wat er van jullie werd verwacht?
• Hoe reageerde de auditor op vragen of onduidelijkheden tijdens de audit?
• Was het auditrapport begrijpelijk geschreven, ook voor mensen zonder diepgaande technische kennis?
• Hoe werd omgegaan met afwijkingen of tekortkomingen: zakelijk en afstandelijk, of constructief en begeleidend?

Transparante communicatie voorkomt verrassingen en zorgt ervoor dat een organisatie het auditproces als leerzaam ervaart in plaats van als stressvol. Referenties die beschrijven dat ze goed werden begeleid en nooit in het ongewisse werden gelaten, zijn een sterk signaal dat de instelling professioneel en klantgericht werkt.

Wanneer zijn referenties van een certificerende instelling niet betrouwbaar?

Referenties zijn minder betrouwbaar wanneer ze afkomstig zijn uit een sterk afwijkende sector, wanneer ze uitsluitend via de certificerende instelling zelf zijn aangeleverd, of wanneer ze vaag blijven en geen concrete ervaringen beschrijven. In die gevallen zeggen ze weinig over wat jouw organisatie daadwerkelijk kan verwachten.

Let op de volgende situaties die de betrouwbaarheid van referenties ondermijnen:

• Alleen positieve referenties via de instelling zelf: Elke organisatie selecteert haar beste referenties. Vraag of je zelf contact mag opnemen met klanten, buiten de aangeleverde lijst om.
• Referenties uit een andere sector of schaalgrootte: Een grote multinationale onderneming heeft weinig te zeggen over hoe een instelling omgaat met een middelgrote zorgorganisatie.
• Vage of generieke feedback: “Het was prima” of “het verliep soepel” zegt niets over diepgang, sectorkennis of communicatiekwaliteit.
• Verouderde referenties: Een audit die vijf jaar geleden plaatsvond, zegt weinig over de huidige werkwijze van een instelling, zeker nu het dreigingslandschap en normen zoals NIS2 sterk zijn veranderd.

De meest betrouwbare referenties zijn recente, spontane aanbevelingen van organisaties die vergelijkbaar zijn met de jouwe, bij voorkeur uit dezelfde sector. Die geven het scherpste beeld van wat je kunt verwachten van een ISO 27001-certificeringstraject.

Wil je weten hoe wij bij DigiTrust te werk gaan en ben je benieuwd wat onze klanten over ons zeggen? Neem contact op en we vertellen je graag meer over onze aanpak en verwijzen je door naar referenties die aansluiten bij jouw sector en situatie.

Gerelateerde artikelen

• Wat controleert de auditor extra bij een zorgorganisatie met NEN 7510 naast ISO 27001?
• Hoe werkt de samenwerking tussen een consultant en een certificerende instelling?
• Welke vragen stel je aan een potentiële certificerende instelling?
• Hoe verloopt een initiële certificering?
• Is ISO 27001 verplicht voor ICT-bedrijven?