Bij het vernieuwen van je ISO 27001-certificaat zijn de belangrijkste overwegingen: de timing van de hercertificeringsaudit (doorgaans in het derde jaar van de certificaatcyclus), de volledigheid van je documentatie en bewijslast, eventuele wijzigingen in de norm, en de lessen uit eerdere surveillance-audits. Het certificaat heeft een geldigheidsduur van drie jaar, waarna een volledige heraudit nodig is om de certificering te behouden. In dit artikel beantwoorden we de meest gestelde vragen over het proces, zodat je goed voorbereid aan de slag kunt. Heb je tussendoor vragen? Neem gerust contact op en we helpen je verder.
Wat gebeurt er als je ISO 27001-certificaat verloopt?
Als je ISO 27001-certificaat verloopt zonder dat een succesvolle hercertificeringsaudit heeft plaatsgevonden, verlies je de certificering. Dit betekent dat je organisatie niet langer aantoonbaar voldoet aan de internationale norm voor informatiebeveiliging, wat directe gevolgen kan hebben voor klantrelaties, aanbestedingen en samenwerkingsovereenkomsten waarbij het certificaat als vereiste geldt.
In de praktijk betekent een verlopen certificaat dat je opnieuw moet starten met een volledige initiële certificeringsaudit, vergelijkbaar met de eerste keer dat je het certificaat behaalde. Dat is een tijdrovend en kostbaar proces. Bovendien kan het vertrouwen van klanten, partners en toezichthouders worden aangetast, zeker in sectoren zoals de zorg, overheid of kritieke infrastructuur waar informatiebeveiliging zwaar weegt.
Naast de reputatieschade zijn er ook praktische risico’s. Organisaties die werken met vertrouwelijke gegevens en niet meer gecertificeerd zijn, kunnen in strijd handelen met contractuele verplichtingen of sectorspecifieke regelgeving. Het is dus sterk aan te raden het certificaat actief te bewaken en ruim op tijd te beginnen met de voorbereiding op hercertificering.
Hoe verschilt een hercertificeringsaudit van een surveillance-audit?
Een hercertificeringsaudit is een volledige herbeoordeling van je informatiebeveiligingsmanagementsysteem (ISMS) en vindt plaats aan het einde van de driejarige certificaatcyclus. Een surveillance-audit is een jaarlijkse tussentijdse controle die de continuïteit van het ISMS beoordeelt, maar minder diepgaand is dan de hercertificeringsaudit.
Concreet verschil: bij een surveillance-audit beoordeelt de auditor een selectie van de ISO 27001-eisen, met nadruk op de voortgang van verbeteracties, interne audits en managementreviews. Bij een hercertificeringsaudit wordt het volledige ISMS opnieuw doorgelicht, inclusief alle beheersmaatregelen uit Annex A, het risicobeoordelingsproces en de aantoonbare werking van het systeem over de afgelopen periode.
Een ander belangrijk verschil is de scope: bij hercertificering wordt ook beoordeeld of de scope van het ISMS nog actueel en passend is. Als je organisatie is gegroeid, nieuwe diensten aanbiedt of processen heeft gewijzigd, moet dit in de hercertificeringsaudit worden meegenomen. Surveillance-audits gaan ervan uit dat de scope stabiel is, tenzij je zelf een scopewijziging hebt doorgegeven.
Welke documenten en bewijzen moet je voorbereiden voor de heraudit?
Voor een hercertificeringsaudit moet je een complete set ISMS-documentatie kunnen overleggen, inclusief het informatiebeveiligingsbeleid, de risicobeoordelingsresultaten, de verklaring van toepasselijkheid (Statement of Applicability), interne auditrapportages en de notulen van managementreviews uit de afgelopen drie jaar.
Daarnaast verwacht de auditor bewijs van de daadwerkelijke werking van beheersmaatregelen. Denk aan:
- Logboeken van incidenten en de afhandeling daarvan
- Bewijs van bewustwordingstrainingen voor medewerkers
- Resultaten van kwetsbaarheidsscans of penetratietests
- Gedocumenteerde procedures voor toegangsbeheer, back-ups en continuïteit
- Aantoonbare opvolging van eerdere bevindingen uit surveillance-audits
Een veelgemaakte fout is dat organisaties wel goede documentatie hebben, maar onvoldoende bewijs van de uitvoering in de praktijk. De auditor wil zien dat het ISMS niet alleen op papier bestaat, maar ook daadwerkelijk wordt toegepast en verbeterd. Zorg er daarom voor dat je bewijslast actueel, volledig en eenvoudig terug te vinden is.
Wanneer moet je beginnen met de voorbereiding op hercertificering?
Begin minimaal zes maanden voor het verlopen van je huidige certificaat met de voorbereiding op hercertificering. Dit geeft je voldoende tijd om een interne audit uit te voeren, eventuele tekortkomingen te corrigeren en de benodigde documentatie op orde te brengen voordat de externe heraudit plaatsvindt.
In de praktijk raden wij aan om al in het tweede jaar van de certificaatcyclus te beginnen met een nulmeting of interne audit. Zo kun je tijdig bijsturen als er verbeterpunten zijn, en kom je niet voor verrassingen te staan in het derde jaar. Een goed functionerend ISMS zorgt er idealiter voor dat hercertificering geen stressmoment is, maar een bevestiging van wat je al doet.
Plan ook de hercertificeringsaudit zelf tijdig in. Auditinstanties hebben soms wachttijden, en je wilt voorkomen dat de audit pas plaatsvindt nadat het certificaat al verlopen is. Stem de planning af met je auditpartner en reserveer intern voldoende capaciteit voor de voorbereiding en de auditdagen zelf.
Wat zijn veelvoorkomende struikelblokken bij het vernieuwen van een ISO 27001-certificaat?
De meest voorkomende struikelblokken bij ISO 27001-hercertificering zijn verouderde documentatie, onvoldoende bewijs van continue verbetering en het ontbreken van een goed gedocumenteerde managementreview. Veel organisaties laten het ISMS na de initiële certificering te veel op de automatische piloot lopen.
Andere veelgehoorde knelpunten zijn:
- Wisselingen in personeel: Als de verantwoordelijke voor het ISMS is vertrokken, gaat kennis en context verloren die moeilijk te reconstrueren is.
- Scope-drift: De organisatie is gegroeid of veranderd, maar de ISMS-scope is niet bijgewerkt.
- Onopgevolgde bevindingen: Bevindingen uit eerdere surveillance-audits zijn niet of onvolledig afgehandeld.
- Gebrek aan betrokkenheid van het management: ISO 27001 vereist aantoonbare betrokkenheid van de directie, en dat ontbreekt soms in de praktijk.
- Verouderde risicobeoordelingen: Als het dreigingslandschap is veranderd maar de risicobeoordeling niet is bijgewerkt, kan dit een struikelblok vormen.
Door het ISMS actief te onderhouden en jaarlijks te evalueren, voorkom je dat deze problemen zich opstapelen richting het moment van ISO 27001-hercertificering. Wij helpen organisaties bij het in kaart brengen van verbeterpunten, zodat de heraudit soepel verloopt.
Moet je bij hercertificering rekening houden met wijzigingen in de norm?
Ja, bij hercertificering moet je rekening houden met eventuele wijzigingen in de ISO 27001-norm. De meest recente versie van de norm is ISO 27001:2022, die op een aantal punten afwijkt van de vorige versie uit 2013. Organisaties die nog gecertificeerd zijn op basis van de 2013-versie, zijn inmiddels verplicht over te stappen naar de 2022-versie.
De ISO 27001:2022-versie bevat een herziene Annex A met 93 beheersmaatregelen, gegroepeerd in vier thematische categorieën in plaats van de veertien domeinen uit de vorige versie. Nieuw zijn onder andere maatregelen rondom cloud security, threat intelligence en data masking. Bij hercertificering beoordeelt de auditor of je ISMS is afgestemd op de actuele normversie.
Controleer dus voor je hercertificeringsaudit op welke versie van de norm je huidige certificaat is gebaseerd en of je de transitie naar ISO 27001:2022 al hebt doorgevoerd. Als dat nog niet het geval is, moet dit onderdeel zijn van je voorbereidingstraject. Onze auditors hebben diepgaande kennis van de actuele informatiebeveiligingsnormen en helpen je begrijpen wat de wijzigingen voor jouw organisatie betekenen.
De overgang naar een nieuwe normversie vraagt om een bijgewerkte verklaring van toepasselijkheid, een herziening van de risicobeoordeling en mogelijk aanvullende beheersmaatregelen. Hoe eerder je hiermee begint, hoe minder druk er op het moment van de heraudit staat.
Wil je weten waar jouw organisatie staat in de voorbereiding op hercertificering? Neem contact op en we plannen een vrijblijvend gesprek om samen te kijken wat er nodig is.
Veelgestelde vragen
Wat gebeurt er als mijn ISO 27001-certificaat verloopt zonder dat ik een hercertificeringsaudit heb gedaan?
Als je certificaat verloopt zonder succesvolle hercertificering, verlies je de certificering en moet je opnieuw beginnen met een volledige initiële audit, vergelijkbaar met de allereerste keer. Dit kan leiden tot reputatieschade, verlies van klanten en problemen met contractuele of wettelijke verplichtingen waarbij het certificaat als vereiste geldt.
Hoe vroeg moet ik beginnen met de voorbereiding op mijn hercertificeringsaudit?
Begin minimaal zes maanden voor het verlopen van je certificaat, maar idealiter al in het tweede jaar van de certificaatcyclus met een interne audit of nulmeting. Zo heb je voldoende tijd om tekortkomingen te corrigeren, documentatie op orde te brengen en de hercertificeringsaudit tijdig in te plannen bij je auditpartner.
Waarom is het belangrijk om bij hercertificering rekening te houden met de ISO 27001:2022-versie?
De ISO 27001:2022-versie bevat een herziene Annex A met nieuwe beheersmaatregelen, onder andere op het gebied van cloud security en threat intelligence, en organisaties gecertificeerd op de 2013-versie zijn verplicht over te stappen. Bij je hercertificeringsaudit beoordeelt de auditor of je ISMS volledig is afgestemd op de actuele normversie.
Wat zijn de meest voorkomende fouten die organisaties maken bij de voorbereiding op hercertificering?
De meest gemaakte fouten zijn verouderde documentatie, onvoldoende bewijs van daadwerkelijke uitvoering van beheersmaatregelen en het niet opvolgen van bevindingen uit eerdere surveillance-audits. Door het ISMS actief te onderhouden en jaarlijks te evalueren, voorkom je dat deze problemen zich opstapelen vlak voor de heraudit.
Gerelateerde artikelen
- Welke documentatiefouten zorgen het vaakst voor vertraging bij een ISO 27001 audit?
- Wat is het verschil tussen een bevinding en een non-conformiteit?
- Wat is het verschil tussen informatiebeveiliging en cybersecurity?
- Hoe lang is een ISO 27001 certificaat geldig?
- Wat is de relatie tussen ISO 27001 en privacy wetgeving?
