De doorlooptijd voor een ISO 27001-certificering varieert doorgaans tussen de drie en achttien maanden, afhankelijk van de grootte en volwassenheid van de organisatie. Kleine organisaties met een beperkte scope kunnen het traject in drie tot zes maanden afronden, terwijl grote en complexe organisaties rekening moeten houden met een jaar of langer. De exacte tijdlijn hangt sterk af van de huidige staat van informatiebeveiliging, de beschikbare interne capaciteit en de gekozen aanpak. Als je wilt weten waar jouw organisatie staat, kun je altijd contact opnemen voor een vrijblijvend gesprek. In dit artikel beantwoorden we de meest gestelde vragen over doorlooptijden per organisatiegrootte en laten we zien hoe je het traject zo efficiënt mogelijk doorloopt.
Welke factoren bepalen hoe lang een ISO 27001-traject duurt?
De doorlooptijd van een ISO 27001-certificering wordt bepaald door vier hoofdfactoren: de omvang van de scope, de huidige volwassenheid van informatiebeveiliging binnen de organisatie, de beschikbare interne capaciteit en de complexiteit van de IT-omgeving. Hoe meer van deze elementen al op orde zijn, hoe korter het traject.
De scope is misschien wel de meest bepalende variabele. Een organisatie die alleen haar cloudinfrastructuur wil certificeren, heeft een veel kortere implementatietijd dan een organisatie die meerdere locaties, afdelingen of systemen onder de norm wil brengen. Een bredere scope betekent meer risicoanalyses, meer beleid en meer betrokken medewerkers.
Daarnaast speelt de bestaande staat van informatiebeveiliging een grote rol. Organisaties die al werken met gestructureerde beveiligingsmaatregelen, toegangsbeleid of risicoregisters, hoeven minder op te bouwen en kunnen daardoor sneller richting de certificeringsaudit. Organisaties die vrijwel vanaf nul beginnen, hebben meer tijd nodig voor de implementatiefase.
Tot slot is interne capaciteit cruciaal. Als er een toegewijde projectleider of CISO beschikbaar is, verloopt het traject aanzienlijk soepeler dan wanneer informatiebeveiliging erbij wordt gedaan naast andere verantwoordelijkheden.
Hoe lang duurt een ISO 27001-certificering voor kleine organisaties?
Voor kleine organisaties met een duidelijk afgebakende scope duurt een ISO 27001-certificering doorgaans drie tot zes maanden. Dit geldt voor organisaties met tien tot vijftig medewerkers, een beperkt aantal systemen en een homogene IT-omgeving. Wanneer er al een basisniveau van beveiligingsmaatregelen aanwezig is, kan de ondergrens van drie maanden realistisch zijn.
In de praktijk zien we dat kleine ICT-bedrijven en softwareleveranciers relatief snel kunnen certificeren. Zij werken vaak al met gestructureerde processen, hebben technische kennis in huis en begrijpen de norm goed. De voornaamste uitdaging voor kleine organisaties is niet de technische implementatie, maar de documentatie: het vastleggen van beleid, procedures en risicoanalyses kost tijd en aandacht.
Een veelgemaakte fout bij kleine organisaties is onderschatting van de benodigde interne tijdsinvestering. Zelfs al is het traject kort, er zijn altijd medewerkers nodig die bewustzijnstrainingen volgen, interne audits uitvoeren en managementreviews bijwonen. Reken op gemiddeld twee tot vier uur per week aan interne inzet gedurende het gehele traject.
Wat zijn realistische tijdlijnen voor middelgrote organisaties?
Middelgrote organisaties met vijftig tot tweehonderd medewerkers rekenen realistisch gezien op een ISO 27001-tijdlijn van zes tot twaalf maanden. De grotere omvang zorgt voor meer complexiteit in de scope, meer stakeholders en een uitgebreidere risicoanalyse, waardoor de implementatiefase langer duurt dan bij kleine organisaties.
In deze categorie vallen veel zorginstellingen, gemeenten en maakindustriebedrijven. Zij hebben te maken met meerdere afdelingen, uiteenlopende systemen en soms ook wettelijke verplichtingen die aansluiten bij de norm, zoals de AVG of NIS2. Het in kaart brengen van alle informatieverwerking en het afstemmen van maatregelen op de sectorspecifieke context vraagt meer doorlooptijd.
Een realistisch stappenplan voor een middelgrote organisatie ziet er doorgaans zo uit:
- Maand 1 tot 2: Nulmeting, scopebepaling en projectplanning
- Maand 2 tot 5: Risicoanalyse, beleidsontwikkeling en implementatie van maatregelen
- Maand 5 tot 8: Interne audit, managementreview en correctieve acties
- Maand 8 tot 12: Certificeringsaudit fase 1 en fase 2
De variatie binnen deze bandbreedte hangt sterk af van de beschikbare interne capaciteit en de mate waarin het management actief betrokken is bij het traject.
Hoeveel tijd kost ISO 27001-certificering bij grote organisaties?
Grote organisaties met meer dan tweehonderd medewerkers, meerdere locaties of een complexe IT-infrastructuur moeten rekenen op een ISO 27001-implementatietijd van twaalf tot achttien maanden of meer. De omvang van de scope, het aantal betrokken systemen en de coördinatie tussen afdelingen maken het traject inherent langer en intensiever.
Bij grote organisaties is de uitdaging vaak niet technisch van aard, maar organisatorisch. Het afstemmen van beleid over meerdere teams, het creëren van draagvlak bij management en medewerkers, en het borgen van maatregelen in bestaande werkprocessen vergen tijd. Verandermanagement is bij grote ISO 27001-trajecten net zo belangrijk als de technische implementatie.
Grote organisaties kiezen er soms voor om het traject gefaseerd aan te pakken: eerst een beperkte scope certificeren en die daarna uitbreiden. Dit biedt het voordeel dat het certificaat eerder behaald wordt en dat de organisatie leert van de eerste ronde voordat de scope wordt vergroot. Dit is een strategische keuze die zowel tijdwinst als kwaliteitsvoordelen kan opleveren.
Wanneer begint de officiële certificeringsaudit?
De officiële certificeringsaudit begint pas wanneer het Information Security Management System (ISMS) minimaal drie maanden operationeel is. Dit is een vereiste vanuit de norm: de organisatie moet kunnen aantonen dat het systeem daadwerkelijk werkt en dat er een interne auditcyclus en managementreview hebben plaatsgevonden.
De certificeringsaudit bestaat uit twee fasen. In fase 1 beoordeelt de auditor de documentatie en de gereedheid van de organisatie. Dit is een toetsing op papier: zijn de beleidsdocumenten compleet, is de risicoanalyse uitgevoerd en zijn de doelstellingen gedefinieerd? Na fase 1 ontvangt de organisatie feedback en eventuele aandachtspunten.
Fase 2 is de eigenlijke audit op locatie, waarbij de auditor toetst of de beschreven maatregelen ook daadwerkelijk worden uitgevoerd in de praktijk. Medewerkers worden bevraagd, systemen worden bekeken en processen worden gecontroleerd. Na een positieve beoordeling ontvangt de organisatie het ISO 27001-certificaat met een geldigheid van drie jaar, gevolgd door jaarlijkse controle-audits.
Wij plannen de twee auditfasen altijd in overleg met de organisatie, zodat de timing aansluit bij de interne voorbereiding en er voldoende ruimte is om eventuele bevindingen uit fase 1 te verwerken voordat fase 2 plaatsvindt. Meer informatie over ons certificeringsproces vind je op onze website.
Hoe versnel je het ISO 27001-traject zonder concessies aan kwaliteit?
Het ISO 27001-traject versnellen is mogelijk door vroeg te starten met de nulmeting, een toegewijde interne projectleider aan te wijzen en de scope bewust beperkt te houden. Deze drie maatregelen hebben het meeste effect op de totale doorlooptijd, zonder dat dit ten koste gaat van de kwaliteit van het ISMS.
Een grondige nulmeting aan het begin van het traject voorkomt verrassingen later. Door snel helder te krijgen welke maatregelen al aanwezig zijn en waar de grootste hiaten zitten, kan de implementatie gericht en efficiënt worden ingericht. Zonder nulmeting riskeer je dat je tijd investeert in gebieden die al voldoen, terwijl kritieke lacunes onopgemerkt blijven.
Daarnaast is managementbetrokkenheid een onderschatte versneller. Wanneer het management actief achter het traject staat en beslissingen snel worden genomen, loopt het project aanzienlijk soepeler. Vertragingen ontstaan het vaakst bij het accorderen van beleid, het vrijmaken van medewerkers of het prioriteren van beveiligingsmaatregelen ten opzichte van andere projecten.
Tot slot loont het om te kiezen voor een auditpartner die de organisatie goed begrijpt en contextgericht werkt. Een auditor die maatwerk levert en de sectorspecifieke context kent, stelt relevante vragen en geeft gerichte feedback, waardoor de organisatie sneller de juiste stappen zet. Wil je weten hoe wij jouw organisatie kunnen helpen om het traject zo efficiënt mogelijk te doorlopen? Neem contact op en wij denken graag met je mee.
Veelgestelde vragen
Hoe lang duurt een ISO 27001-certificering gemiddeld?
V: Hoe lang duurt een ISO 27001-certificering gemiddeld? A: De doorlooptijd varieert van drie maanden voor kleine organisaties met een beperkte scope tot achttien maanden of meer voor grote, complexe organisaties. De exacte tijdlijn hangt af van factoren zoals de huidige staat van informatiebeveiliging, de beschikbare interne capaciteit en de breedte van de gekozen scope.
Wat kan ik doen om het ISO 27001-traject te versnellen?
V: Wat kan ik doen om het ISO 27001-traject te versnellen? A: Door vroeg te starten met een grondige nulmeting, een toegewijde projectleider aan te wijzen en de scope bewust beperkt te houden, kun je de doorlooptijd aanzienlijk verkorten. Sterke managementbetrokkenheid zorgt er bovendien voor dat beslissingen snel worden genomen en vertragingen worden voorkomen.
Wanneer mag de officiële certificeringsaudit plaatsvinden?
V: Wanneer mag de officiële certificeringsaudit plaatsvinden? A: De certificeringsaudit mag pas starten als het ISMS minimaal drie maanden operationeel is en er aantoonbaar een interne auditcyclus en managementreview hebben plaatsgevonden. De audit verloopt in twee fasen: eerst een documentatiebeoordeling en daarna een praktijktoets op locatie door de auditor.
Waarom duurt een ISO 27001-traject bij grote organisaties zo lang?
V: Waarom duurt een ISO 27001-traject bij grote organisaties zo lang? A: Bij grote organisaties is de uitdaging vooral organisatorisch: het afstemmen van beleid over meerdere teams, het creëren van draagvlak en het borgen van maatregelen in bestaande werkprocessen kost veel tijd. Verandermanagement speelt daarom een even grote rol als de technische implementatie van beveiligingsmaatregelen.
