Wat zijn de meest voorkomende oorzaken van certificaatverval tijdens een heraudit?

De meest voorkomende oorzaken van certificaatverval tijdens een heraudit zijn verouderde of ontbrekende documentatie, personeelsverloop zonder kennisoverdracht, terugkerende afwijkingen uit eerdere audits en onvoldoende interne controle tussen twee auditcycli. Certificaatverlies is zelden het gevolg van één grote fout, maar ontstaat meestal door een opeenstapeling van kleine tekortkomingen die onopgemerkt blijven. In dit artikel beantwoorden we de meest gestelde vragen over certificaatverval bij een heraudit voor informatiebeveiliging, zodat jouw organisatie goed voorbereid de volgende cyclus ingaat. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en wij helpen je graag verder.

Welke tekortkomingen leiden het vaakst tot certificaatverlies?

De tekortkomingen die het vaakst leiden tot certificaatverlies bij een heraudit zijn het ontbreken van aantoonbare risicobeheersing, onvolledige interne audits, een verouderd managementsysteem en het niet opvolgen van eerdere corrigerende maatregelen. Deze vier categorieën zijn verantwoordelijk voor het overgrote deel van de gevallen waarin een ISO 27001-heraudit of NEN 7510-heraudit niet succesvol wordt afgerond.

Wat opvalt, is dat het bij certificaatverlies zelden gaat om een fundamenteel gebrek aan kennis of intentie. Organisaties weten vaak wat er van hen wordt verwacht. Het probleem zit in de uitvoering en de borging. Een Information Security Management System (ISMS) is een levend systeem dat actief onderhoud vereist. Wanneer dit onderhoud tussen twee auditcycli verslapt, stapelen kleine gebreken zich op tot een patroon dat auditors als structureel aanmerken.

Concreet terugkerende tekortkomingen zijn onder andere:

• Geen actuele risicoanalyse of onvoldoende bijgewerkte risicoregisters
• Interne audits die zijn overgeslagen of niet gedocumenteerd
• Directiebeoordeling die niet aantoonbaar heeft plaatsgevonden
• Beveiligingsmaatregelen die wel beschreven zijn, maar niet in de praktijk worden toegepast
• Openstaande actiepunten uit de vorige audit zonder aantoonbare opvolging

Hoe ontstaan er gaten in de documentatie tussen twee auditcycli?

Documentatiegaten tussen twee auditcycli ontstaan doordat beleid, procedures en registraties na de initiële certificering niet actief worden bijgehouden. Zodra de druk van de eerste audit wegvalt, verschuift de aandacht naar dagelijkse operaties en raakt documentatiebeheer op de achtergrond. Dit is een van de meest voorkomende oorzaken van problemen bij een heraudit informatiebeveiliging.

Het proces verloopt vaak geleidelijk. In het eerste jaar na certificering is de documentatie nog redelijk op orde. In het tweede jaar worden updates uitgesteld. Tegen de tijd van de heraudit zijn procedures verouderd, zijn nieuwe systemen of processen niet gedocumenteerd en ontbreken logboeken of bewijzen van uitgevoerde controles.

Specifieke situaties die documentatiegaten versnellen zijn:

• Organisatorische veranderingen zoals fusies, reorganisaties of nieuwe dienstverlening
• Introductie van nieuwe software of cloudoplossingen zonder bijwerking van het ISMS
• Geen eigenaarschap aangewezen voor specifieke beleidsdocumenten
• Geen vaste reviewcyclus voor bestaande documentatie

De oplossing ligt in het inbouwen van documentatiebeheer als een structureel onderdeel van de bedrijfsvoering, niet als een activiteit die alleen voor een audit plaatsvindt.

Waarom leidt personeelsverloop zo vaak tot herauditproblemen?

Personeelsverloop leidt zo vaak tot herauditproblemen omdat kennis over het ISMS, de beveiligingsprocedures en de bijbehorende verantwoordelijkheden vaak persoonsgebonden is in plaats van organisatiegebonden. Wanneer een functionaris voor informatiebeveiliging, een systeembeheerder of een sleutelpersoon vertrekt, verdwijnt daarmee ook een groot deel van de operationele kennis over hoe het systeem in de praktijk werkt.

Dit vertaalt zich bij een heraudit naar concrete problemen: nieuwe medewerkers zijn niet op de hoogte van lopende verbeteracties, bewijsdocumenten worden niet meer aangemaakt omdat niemand weet dat dit vereist is, en de continuïteit van interne audits komt in gevaar. Bovendien worden nieuwe medewerkers soms niet of onvoldoende getraind op de beveiligingsvereisten die voor hun rol gelden.

Wat helpt, is het vastleggen van rollen en verantwoordelijkheden op procesniveau in plaats van op persoonsniveau, gecombineerd met een onboardingprocedure die expliciet aandacht besteedt aan het ISMS en de informatiebeveiligingsnormen waaraan de organisatie voldoet.

Wat is het verschil tussen een kleine en een grote afwijking bij een heraudit?

Bij een heraudit is een kleine afwijking (minor non-conformity) een geïsoleerde tekortkoming die het managementsysteem als geheel niet aantast, terwijl een grote afwijking (major non-conformity) duidt op een structureel falen van een vereiste uit de norm of een patroon van herhaalde kleine afwijkingen. Het onderscheid bepaalt direct of een certificaat in gevaar komt.

Kleine afwijking

Een kleine afwijking is een incidentele tekortkoming. Denk aan een procedure die niet op tijd is bijgewerkt, een interne audit die iets te laat is uitgevoerd of een registratie die ontbreekt voor een specifieke handeling. De organisatie krijgt de gelegenheid om een corrigerend actieplan in te dienen en de tekortkoming binnen een afgesproken termijn op te lossen. Het certificaat blijft in stand zolang de actie aantoonbaar wordt opgepakt.

Grote afwijking

Een grote afwijking is ernstiger. Dit doet zich voor wanneer een kernvereiste van de norm volledig ontbreekt, wanneer meerdere kleine afwijkingen samen een patroon vormen of wanneer een tekortkoming uit een vorige audit niet is opgelost. In dit geval kan het certificaat worden opgeschort of ingetrokken totdat de organisatie aantoonbaar corrigerende maatregelen heeft getroffen en een aanvullende audit heeft doorstaan. Certificaatverval bij een heraudit is vrijwel altijd het gevolg van een of meer grote afwijkingen.

Hoe voorkom je dat verbeterpunten uit de vorige audit terugkeren?

Verbeterpunten uit een vorige audit keren terug wanneer corrigerende maatregelen worden afgesloten zonder dat de onderliggende oorzaak is weggenomen. Om herhaling te voorkomen, moet een organisatie niet alleen de symptomen aanpakken, maar ook de oorzaak analyseren en structurele aanpassingen doorvoeren in processen, systemen of verantwoordelijkheden.

Een effectieve aanpak bestaat uit de volgende stappen:

1. Oorzaakanalyse: Stel vast waarom de tekortkoming is ontstaan, niet alleen wat er mis was.
2. Structurele maatregel: Pas het proces, de procedure of de taakverdeling aan zodat herhaling structureel wordt voorkomen.
3. Verificatie: Controleer na implementatie of de maatregel daadwerkelijk werkt, bij voorkeur via een interne audit.
4. Documentatie: Leg de maatregel en het bewijs van effectiviteit vast in het ISMS.
5. Opvolging in directiebeoordeling: Neem openstaande en afgesloten verbeterpunten op als vast agendapunt in de managementreview.

Wij zien bij onze certificeringstrajecten dat organisaties die verbeterpunten actief monitoren in een actielijst met eigenaren en deadlines, aanzienlijk minder herhaling ervaren bij de volgende auditcyclus.

Wanneer moet je een heraudit als risico beschouwen?

Een heraudit moet als risico worden beschouwd wanneer er signalen zijn dat het ISMS niet langer actueel, effectief of aantoonbaar functioneert. Concrete risicosignalen zijn onder andere openstaande actiepunten uit de vorige audit, overgeslagen interne audits, significante organisatorische veranderingen zonder aanpassing van het systeem of een directiebeoordeling die niet heeft plaatsgevonden.

Aanvullende situaties die de kans op certificeringsverlies verhogen, zijn:

• Hoog personeelsverloop in functies met informatiebeveiligingsverantwoordelijkheid
• Nieuwe wet- en regelgeving (zoals NIS2) waarop het ISMS nog niet is aangepast
• Significante uitbreiding van de scope zonder herziening van risicoanalyses
• Beveiligingsincidenten die niet zijn gedocumenteerd of geëvalueerd
• Geen aantoonbare bewustwording of training van medewerkers in het afgelopen jaar

Een eerlijk intern zelfoordeel, bij voorkeur in de vorm van een pre-audit of een interne gap-analyse, maakt risico’s zichtbaar voordat een externe auditor ze constateert. Zo behoud je de regie over het proces en kom je goed voorbereid aan de start van de heraudit.

Wil je weten hoe sterk jouw organisatie staat voor de volgende heraudit? Neem contact op met ons team en plan een vrijblijvend gesprek. Wij denken graag met je mee over een aanpak die past bij jouw organisatie en sector.

Gerelateerde artikelen

• Wat is een schorsing van het ISO 27001 certificaat?
• Wat doe je als een opdrachtgever om een ISO 27001 certificaat vraagt?
• Hoe verloopt een overstap naar een andere certificerende instelling?
• Hoeveel tijd krijg je om een afwijking op te lossen na de audit?
• Hoe lang duurt het ISO 27001 certificeringsproces?