Tijdens een fase 1-audit spreekt de auditor voornamelijk met het management en de ISMS-verantwoordelijke om te toetsen of de organisatie voldoende voorbereid is op de fase 2-certificeringsaudit. De gesprekken richten zich op de opzet van het informatiebeveiligingsmanagementsysteem, de scope, de risicoaanpak en de documentatie. Heb je vragen over hoe dit proces eruitziet voor jouw organisatie, dan kun je altijd contact met ons opnemen. Hieronder beantwoorden we de meest gestelde vragen over de fase 1-audit en de gesprekken die daarin plaatsvinden.
Welke onderwerpen komen verplicht aan bod in een fase 1-audit?
In een fase 1-audit komen altijd de scope van het ISMS, de risicobeoordelingsmethodiek, de verklaring van toepasselijkheid (Statement of Applicability) en de interne auditresultaten aan bod. Daarnaast toetst de auditor of de organisatie de vereisten van ISO 27001 begrijpt en of het managementsysteem voldoende is opgezet om de fase 2-audit in te gaan.
De fase 1-audit is in essentie een documentatie- en gereedheidscheck. De auditor wil vaststellen of de organisatie niet alleen papieren beleid heeft opgesteld, maar ook begrijpt wat dat beleid inhoudt en hoe het in de praktijk wordt toegepast. Verplichte onderwerpen zijn onder andere:
- De afbakening en onderbouwing van de ISMS-scope
- Het informatiebeveiligingsbeleid en de doelstellingen
- De risicobeoordelingsmethodiek en de bijbehorende risicobehandeling
- De verklaring van toepasselijkheid (VvT) met motivatie voor in- en uitsluitingen
- Resultaten van interne audits en managementreviews
- Aanwezigheid en volledigheid van vereiste procedures en registraties
Als er hiaten zijn in deze onderwerpen, worden die vastgelegd als aandachtspunten of bevindingen die de organisatie moet oplossen voordat de fase 2-audit van start gaat.
Met wie spreekt de auditor tijdens een fase 1-audit?
Tijdens een fase 1-audit spreekt de auditor primair met de ISMS-verantwoordelijke, de informatiebeveiligingsfunctionaris (CISO of vergelijkbare rol) en een vertegenwoordiger van het management. Het gaat in deze fase nog niet om brede interviews door de hele organisatie, maar om het toetsen van kennis en eigenaarschap op strategisch en coördinerend niveau.
De auditor wil begrijpen wie verantwoordelijk is voor het ISMS, hoe besluitvorming rondom informatiebeveiliging is belegd en of het management aantoonbaar betrokken is. In de praktijk zijn de gesprekspartners tijdens een fase 1-audit vaak:
- De directie of een lid van het managementteam (voor aantoonbare betrokkenheid)
- De CISO, ISO-manager of kwaliteitsmanager (voor inhoudelijke verantwoording)
- Eventueel een IT-verantwoordelijke bij technische vragen over de scope
Medewerkers op de werkvloer worden in fase 1 doorgaans nog niet uitvoerig geïnterviewd. Dat gebeurt in de fase 2-audit, waarbij de auditor toetst of beleid en procedures ook daadwerkelijk worden nageleefd in de dagelijkse praktijk.
Wat controleert de auditor in de documentatie tijdens fase 1?
De auditor controleert tijdens de fase 1-audit of alle verplichte ISO 27001-documenten aanwezig, actueel en inhoudelijk consistent zijn. Denk aan het informatiebeveiligingsbeleid, de risicobeoordeling, de verklaring van toepasselijkheid, interne auditverslagen en het verslag van de managementreview.
Documentatie is het fundament van een ISMS-audit. De auditor beoordeelt niet alleen of documenten bestaan, maar ook of ze logisch samenhangen en aansluiten op de werkelijke situatie van de organisatie. Een risicobeoordeling die niet past bij de scope, of een VvT zonder onderbouwde motivaties, zijn signalen dat het ISMS nog niet rijp genoeg is voor fase 2.
Veelgecontroleerde documenten zijn:
- Informatiebeveiligingsbeleid (inclusief versie en goedkeuring door management)
- Risicobeoordeling en risicobehandelingsplan
- Verklaring van toepasselijkheid met motivaties
- Interne auditplanning en -verslagen
- Managementreview-verslag
- Relevante procedures en werkinstructies die de norm vereist
Wat zijn veelvoorkomende bevindingen na een fase 1-audit?
Veelvoorkomende bevindingen na een fase 1-audit zijn een onvolledige of slecht onderbouwde verklaring van toepasselijkheid, een risicobeoordeling die niet aansluit op de werkelijke scope, ontbrekende interne auditresultaten of een managementreview die nog niet heeft plaatsgevonden. Dit zijn geen harde fouten, maar aandachtspunten die vóór fase 2 opgelost moeten worden.
Een fase 1-bevinding is geen reden tot paniek. Het is juist de bedoeling van deze fase om dergelijke hiaten tijdig te signaleren, zodat de organisatie gericht verbeteringen kan doorvoeren. Wij hanteren bij DigiTrust een transparante en constructieve aanpak: bevindingen worden helder toegelicht, inclusief wat er verwacht wordt om ze op te lossen.
Andere veelvoorkomende aandachtspunten zijn:
- Beleidsdocumenten die niet zijn goedgekeurd of verouderd zijn
- Ontbrekende koppeling tussen risico’s en beheersmaatregelen
- Onvoldoende bewijs van managementbetrokkenheid
- Procedures die beschreven zijn maar niet worden nageleefd of gedocumenteerd
Hoe lang duurt een fase 1-audit en hoeveel gesprekstijd is er?
Een fase 1-audit duurt doorgaans een halve tot een volledige werkdag, afhankelijk van de omvang en complexiteit van de organisatie. De gesprekstijd varieert, maar reken op twee tot vier uur aan directe interactie met de auditor, verdeeld over één of meerdere gesprekken met verschillende gesprekspartners.
De exacte doorlooptijd wordt bepaald door factoren als het aantal medewerkers, de complexiteit van de scope en de hoeveelheid te beoordelen documentatie. Bij kleinere organisaties met een beperkte ISMS-scope kan fase 1 soms binnen een halve dag worden afgerond. Voor grotere of meer complexe omgevingen, zoals organisaties in de kritieke infrastructuur of de zorg, is een volledige dag realistischer.
Na de gesprekken en documentatiebeoordeling stelt de auditor een fase 1-rapport op met de bevindingen en een advies over de gereedheid voor fase 2. Dit rapport vormt de basis voor de planning van de vervolgaudit.
Hoe bereidt een organisatie zich voor op de gesprekken in fase 1?
Een organisatie bereidt zich voor op de fase 1-gesprekken door alle verplichte ISMS-documenten op orde te brengen, de ISMS-verantwoordelijke goed te briefen en ervoor te zorgen dat het management aantoonbaar betrokken is geweest bij de opzet van het systeem. Goede voorbereiding verkort de doorlooptijd en vergroot de kans op een soepele overgang naar fase 2.
Concrete stappen die helpen bij de voorbereiding zijn:
- Documentatie volledig en actueel maken: Controleer of alle vereiste documenten aanwezig zijn, goedgekeurd zijn en de huidige situatie weerspiegelen.
- Interne audit uitvoeren: Zorg dat er minimaal één interne audit heeft plaatsgevonden en dat de resultaten gedocumenteerd zijn.
- Managementreview afronden: Laat het management aantoonbaar de ISMS-prestaties beoordelen en leg dit vast in een verslag.
- Gesprekspartners briefen: Zorg dat de ISMS-verantwoordelijke en directievertegenwoordiger weten wat er tijdens de audit besproken wordt en welke vragen ze kunnen verwachten.
- Scope en VvT nalopen: Controleer of de scope helder afgebakend is en of alle beslissingen in de verklaring van toepasselijkheid gemotiveerd zijn.
Onze ISO 27001-certificeringsdienst biedt een gestructureerde aanpak waarbij we organisaties ook in de aanloop naar fase 1 begeleiden, zodat er geen verrassingen zijn tijdens de audit zelf.
Een goede fase 1-audit legt de basis voor een succesvolle certificering. Bij DigiTrust zorgen we ervoor dat je als organisatie weet wat je kunt verwachten, welke gesprekken er plaatsvinden en hoe je je optimaal kunt voorbereiden. Wil je weten hoe wij jouw organisatie kunnen begeleiden richting ISO 27001-certificering? Neem contact op en we denken graag met je mee.
Veelgestelde vragen
Welke onderwerpen komen verplicht aan bod in een fase 1-audit?
V: Welke onderwerpen komen verplicht aan bod in een fase 1-audit? A: Tijdens een fase 1-audit toetst de auditor altijd de ISMS-scope, de risicobeoordelingsmethodiek, de verklaring van toepasselijkheid en de resultaten van interne audits en managementreviews. Hiaten in deze onderwerpen worden vastgelegd als aandachtspunten die de organisatie moet oplossen voordat de fase 2-audit van start gaat.
Met wie spreekt de auditor tijdens een fase 1-audit?
V: Met wie spreekt de auditor tijdens een fase 1-audit? A: De auditor spreekt in fase 1 voornamelijk met de ISMS-verantwoordelijke, de CISO of vergelijkbare rol, en een vertegenwoordiger van het management, omdat het gaat om eigenaarschap en besluitvorming op strategisch niveau. Medewerkers op de werkvloer worden pas uitvoerig geïnterviewd tijdens de fase 2-audit.
Wat zijn veelvoorkomende bevindingen na een fase 1-audit?
V: Wat zijn veelvoorkomende bevindingen na een fase 1-audit? A: Veelvoorkomende bevindingen zijn een onvolledige verklaring van toepasselijkheid, een risicobeoordeling die niet aansluit op de scope, ontbrekende interne auditresultaten of een nog niet uitgevoerde managementreview. Dit zijn aandachtspunten die vóór fase 2 opgelost moeten worden, geen reden tot paniek.
Hoe bereidt een organisatie zich voor op de gesprekken in fase 1?
V: Hoe bereidt een organisatie zich voor op de gesprekken in fase 1? A: Een goede voorbereiding bestaat uit het volledig en actueel maken van alle ISMS-documenten, het uitvoeren van een interne audit, het afronden van de managementreview en het briefen van de gesprekspartners over te verwachten vragen. Dit verkort de doorlooptijd en vergroot de kans op een soepele overgang naar fase 2.
