De belangrijkste verschillen tussen certificerende instellingen voor ISO 27001 liggen in hun accreditatiestatus, auditaanpak en sectorkennis. Niet elke instelling werkt op dezelfde manier: sommige hanteren een strakke checklistmethode, terwijl andere diepgaander kijken naar de context van jouw organisatie. Als je twijfelt welke instelling het beste bij jou past, kun je altijd contact met ons opnemen voor een vrijblijvend gesprek. In dit artikel beantwoorden we de meest gestelde vragen over het kiezen van de juiste certificerende instelling.
Wat maakt de ene certificerende instelling anders dan de andere?
Certificerende instellingen voor ISO 27001 verschillen van elkaar op vier gebieden: accreditatiestatus, auditaanpak, sectorspecifieke kennis en serviceniveau. Alle geaccrediteerde instellingen mogen hetzelfde certificaat afgeven, maar de manier waarop ze dat doen en de waarde die ze daarbij toevoegen, verschilt aanzienlijk per instelling.
Een van de meest zichtbare verschillen zit in de auditfilosofie. Sommige instellingen werken sterk proceduregericht en toetsen vooral of je aan de letter van de norm voldoet. Andere instellingen, zoals wij bij DigiTrust, hanteren een contextgerichte benadering waarbij de audit aansluit op de specifieke situatie, sector en ambities van jouw organisatie. Dat verschil klinkt subtiel, maar heeft grote gevolgen voor wat je uit het auditproces haalt.
Daarnaast verschilt de samenstelling van het auditteam. Bij sommige instellingen voert een generalist de audit uit, terwijl andere instellingen auditors inzetten met diepgaande kennis van IT, OT of sectorspecifieke regelgeving. Ook de communicatie tijdens het proces, de snelheid van rapportage en de mate van begeleiding lopen sterk uiteen.
Wat betekent accreditatie en waarom is het verplicht?
Accreditatie betekent dat een onafhankelijke nationale instantie heeft bevestigd dat een certificerende instelling competent en onpartijdig is om ISO 27001-audits uit te voeren. In Nederland is de Raad voor Accreditatie (RvA) de bevoegde accreditatie-instantie. Zonder accreditatie mag een instelling geen geldig ISO 27001-certificaat afgeven dat internationaal wordt erkend.
Voor organisaties die ISO 27001 nodig hebben voor aanbestedingen, samenwerkingsovereenkomsten of wettelijke verplichtingen, is een geaccrediteerd certificaat geen keuze, maar een vereiste. Opdrachtgevers en toezichthouders accepteren alleen certificaten van geaccrediteerde instellingen. Kijk bij het vergelijken van aanbieders altijd of zij een geldig accreditatienummer hebben, zoals ons RvA-accreditatienummer C618.
Accreditatie biedt ook een praktische zekerheid: de instelling wordt periodiek beoordeeld op haar werkwijze, auditprocedures en de kwaliteit van haar auditors. Dat geeft jou als klant een objectieve garantie over de kwaliteit van de uitgevoerde audits.
Hoe verschilt de auditaanpak tussen certificerende instellingen?
De auditaanpak verschilt voornamelijk in de mate van diepgang, maatwerk en de manier waarop bevindingen worden gecommuniceerd. Sommige instellingen werken met gestandaardiseerde vragenlijsten en een strak tijdschema, terwijl andere instellingen de audit volledig afstemmen op de context en risicoprofielen van de organisatie.
Een checklistgerichte aanpak is efficiënt maar beperkt: de auditor toetst of processen bestaan, maar gaat niet altijd dieper in op de effectiviteit ervan. Een contextgerichte aanpak, zoals wij die toepassen, kijkt verder. Auditors analyseren hoe het managementsysteem daadwerkelijk werkt binnen jouw organisatie, welke risico’s relevant zijn en waar verbeterpotentieel zit.
Ook de toon van de audit maakt een verschil. Bij waarderend auditen worden niet alleen tekortkomingen benoemd, maar ook de sterke punten van de organisatie expliciet erkend. Dat levert een genuanceerder beeld op en maakt het auditrapport waardevoller als intern verbeterinstrument. Wil je meer weten over hoe een ISO 27001-certificering bij ons verloopt, dan vind je daar alle informatie over.
Welke rol speelt sectorkennis bij het kiezen van een certificerende instelling?
Sectorkennis is een bepalende factor bij de keuze voor een certificerende instelling, omdat de relevante dreigingen, wettelijke verplichtingen en organisatorische context sterk verschillen per sector. Een auditor die de zorgsector goed kent, begrijpt de samenhang tussen ISO 27001 en NEN 7510, terwijl een auditor met OT-kennis beter kan beoordelen of industriële systemen afdoende zijn beveiligd.
Voor organisaties in sectoren als de zorg, overheid, maakindustrie of kritieke infrastructuur is het sterk aan te raden een instelling te kiezen waarvan de auditors aantoonbare ervaring hebben in die sector. Generieke IT-kennis is onvoldoende als de organisatie te maken heeft met medische gegevensbescherming, BIO-verplichtingen of operationele technologie.
Onze auditors bij DigiTrust combineren technische IT- en OT-kennis met sectorspecifieke expertise, zodat de audit aansluit op de werkelijkheid van jouw organisatie en niet op een generiek normkader. Dat maakt het verschil tussen een audit die voldoet aan de norm en een audit die ook echt iets oplevert.
Waar moet je op letten bij het vergelijken van offertes?
Bij het vergelijken van offertes van certificerende instellingen voor ISO 27001 moet je verder kijken dan de prijs. De belangrijkste aandachtspunten zijn de accreditatiestatus, de kwalificaties van de auditors, wat er precies is inbegrepen in de offerte en hoe de instelling omgaat met bevindingen en vervolgaudits.
- Accreditatiestatus: Controleer het RvA-accreditatienummer en de scope van de accreditatie. Is de instelling ook geaccrediteerd voor jouw sector of normschema?
- Kwalificaties van auditors: Vraag wie de audit uitvoert en welke achtergrond die persoon heeft. Heeft de auditor relevante sectorervaring?
- Wat is inbegrepen: Sommige instellingen rekenen apart voor reiskosten, rapportage of herbeoordeling van non-conformiteiten. Vergelijk offertes altijd op totaalprijs.
- Communicatie en begeleiding: Hoe toegankelijk is de instelling tijdens het traject? Krijg je een vaste contactpersoon?
- Doorlooptijd en planning: Hoe snel kan de audit worden ingepland en hoe lang duurt de rapportage?
Een lage prijs kan aantrekkelijk zijn, maar als de audit oppervlakkig is of de auditor onvoldoende sectorkennis heeft, betaal je uiteindelijk meer voor herstelwerk of een minder waardevol certificaat. Kijk ook naar de informatiebeveiligingsaanpak van de instelling om te beoordelen of die aansluit bij jouw organisatiestrategie.
Wanneer is het zinvol om van certificerende instelling te wisselen?
Het is zinvol om van certificerende instelling te wisselen als de huidige instelling onvoldoende waarde toevoegt, de communicatie te wensen overlaat, de auditaanpak niet aansluit bij jouw organisatiecontext of als de kosten niet in verhouding staan tot de kwaliteit van de dienstverlening.
Praktische momenten om een overstap te overwegen zijn het verstrijken van de certificaatcyclus van drie jaar, een organisatieverandering zoals een fusie of groei naar een nieuwe sector, of een verandering in de wettelijke omgeving zoals de invoering van NIS2-verplichtingen. Op die momenten is het logisch om de markt opnieuw te verkennen en te beoordelen welke instelling het beste past bij de nieuwe situatie.
Een overstap is technisch goed te regelen: de nieuwe instelling voert een initiële certificeringsaudit uit op basis van de bestaande documentatie en het bestaande managementsysteem. Je hoeft dus niet opnieuw te beginnen. Zorg er wel voor dat je de lopende certificaatcyclus netjes afsluit en tijdig communiceert met beide instellingen om overlap of hiaten te voorkomen.
Wil je weten of een overstap naar DigiTrust iets voor jouw organisatie is, of wil je gewoon vrijblijvend verkennen wat wij kunnen bieden? Neem contact met ons op en we kijken graag samen met je wat de beste stap is.
Veelgestelde vragen
Wat is het verschil tussen een geaccrediteerde en een niet-geaccrediteerde certificerende instelling?
Een geaccrediteerde instelling is officieel goedgekeurd door een nationale instantie, zoals de Raad voor Accreditatie in Nederland, en mag internationaal erkende ISO 27001-certificaten afgeven. Een niet-geaccrediteerde instelling mag dit niet, waardoor haar certificaten niet worden geaccepteerd door opdrachtgevers, toezichthouders of bij aanbestedingen.
Hoe kies ik de certificerende instelling die het beste bij mijn organisatie past?
Kijk verder dan alleen de prijs en beoordeel de accreditatiestatus, de sectorkennis van de auditors en de auditaanpak van de instelling. Een instelling die ervaring heeft in jouw sector en een contextgerichte aanpak hanteert, levert een waardevollere audit op die echt aansluit bij de risico’s en ambities van jouw organisatie.
Wanneer is het verstandig om van certificerende instelling te wisselen?
Een overstap is verstandig wanneer de huidige instelling onvoldoende waarde toevoegt, de communicatie tegenvalt of de auditaanpak niet aansluit op jouw organisatiecontext. Logische momenten zijn het einde van een certificaatcyclus van drie jaar, een fusie, groei naar een nieuwe sector of een wijziging in wet- en regelgeving zoals de invoering van NIS2.
Waarom is sectorkennis van de auditor zo belangrijk bij een ISO 27001-audit?
Elke sector heeft eigen dreigingen, wettelijke verplichtingen en organisatorische context, die een generieke auditor mogelijk mist. Een auditor met aantoonbare sectorervaring, bijvoorbeeld in de zorg of maakindustrie, beoordeelt niet alleen of je voldoet aan de norm, maar geeft ook relevante inzichten die direct toepasbaar zijn binnen jouw specifieke werkomgeving.
Gerelateerde artikelen
- Welke informatie staat in een auditrapport die niet op het certificaat zelf terug te vinden is?
- Hoe reageer je op bevindingen van de auditor tijdens een ISO 27001 audit?
- Wat is het verschil tussen een fase 1 en een fase 2 audit bij ISO 27001?
- Wat is de CBW en geldt die ook voor kleine zorgaanbieders?
- Kun je online controleren of een organisatie gecertificeerd is?
