Opdrachtgevers vragen bij informatiebeveiliging doorgaans om een combinatie van documenten: een geldig ISO 27001-certificaat, een informatiebeveiligingsbeleid, een verwerkersovereenkomst en soms een ingevulde vragenlijst of auditverklaring. Welke bewijsstukken precies vereist zijn, hangt af van de sector, het type contract en de risicoklasse van de verwerkte gegevens. Heb je vragen over jouw specifieke situatie? Je kunt altijd contact opnemen met ons team. In dit artikel beantwoorden we de meest gestelde vragen over bewijsdocumentatie voor informatiebeveiliging, van certificaten tot aanbestedingsvereisten.
Welke documenten tonen aan dat een organisatie informatiebeveiliging serieus neemt?
Documenten die aantonen dat een organisatie informatiebeveiliging serieus neemt, zijn onder andere een geldig ISO 27001-certificaat, een gedocumenteerd informatiebeveiligingsbeleid, een risicoanalyse, een verwerkersovereenkomst en interne auditrapportages. Samen geven deze stukken een opdrachtgever inzicht in hoe een organisatie risico’s beheerst en beveiligingsmaatregelen borgt.
Niet elk document weegt even zwaar. Een ISO 27001-certificaat is het meest erkende bewijs, omdat het door een onafhankelijke, geaccrediteerde instelling is afgegeven na een grondige audit. Maar ook zonder certificering kun je waardevolle bewijsstukken aanleveren. Denk aan een Statement of Applicability (SoA), een intern beveiligingsbeleid dat regelmatig wordt herzien, of verslagen van managementreviews en interne audits.
Opdrachtgevers in sectoren zoals de zorg, overheid en financiële dienstverlening hanteren vaak specifieke lijsten met vereiste documenten. Het is verstandig om vooraf te informeren welke bewijsstukken voor informatiebeveiliging precies worden verwacht, zodat je niet voor verrassingen komt te staan bij een aanbesteding of contractonderhandeling. Meer achtergrond over de brede context van informatiebeveiliging vind je op onze website.
Waarom vragen opdrachtgevers specifiek om een ISO 27001-certificaat?
Opdrachtgevers vragen specifiek om een ISO 27001-certificaat omdat het een internationaal erkende, onafhankelijk getoetste standaard is voor informatiebeveiliging. Het certificaat bewijst dat een organisatie niet alleen beleid heeft opgesteld, maar dat dit beleid ook daadwerkelijk wordt nageleefd en periodiek wordt gecontroleerd door een externe auditor.
Een ISO 27001-certificering levert iets wat een eigen verklaring niet kan: onafhankelijkheid. Wanneer een leverancier zelf zegt dat zijn beveiliging op orde is, blijft er altijd een vraagteken bestaan. Een certificaat afgegeven door een geaccrediteerde certificeringsinstelling, zoals wij als RvA-geaccrediteerde instelling (C618), geeft opdrachtgevers de zekerheid dat er een objectieve toets heeft plaatsgevonden.
Daarnaast sluit ISO 27001 aan op Europese wet- en regelgeving zoals de AVG en de NIS2-richtlijn. Voor opdrachtgevers die zelf aan regelgeving moeten voldoen, is het eenvoudiger om leveranciers te selecteren die al gecertificeerd zijn, dan om zelf de beveiliging van elke leverancier te beoordelen. Het certificaat werkt daarmee als een efficiënte risicobeheersmaatregel in de toeleveringsketen.
Wat is het verschil tussen een certificaat en een auditverklaring?
Een certificaat is een formeel document dat bevestigt dat een organisatie voldoet aan een bepaalde norm, afgegeven door een geaccrediteerde certificeringsinstelling na een geslaagde audit. Een auditverklaring is een rapportage van een auditor over de bevindingen van een specifieke audit, maar zonder de formele certificering die daaraan verbonden is.
Het verschil zit hem in de status en reikwijdte. Een ISO 27001-certificaat heeft een vaste geldigheidsduur van drie jaar, met jaarlijkse tussentijdse audits, en is internationaal herkenbaar. Een auditverklaring of assurance-rapport kan nuttig zijn als aanvullend bewijs, maar heeft niet dezelfde formele erkenning bij aanbestedingen of in contracten waar expliciet om een certificaat wordt gevraagd.
In de praktijk wordt een auditverklaring soms gebruikt door organisaties die nog in het certificeringstraject zitten, of door organisaties die een specifiek onderdeel van hun beveiliging willen laten toetsen zonder een volledig managementsysteem te certificeren. Voor opdrachtgevers die auditbewijsdocumentatie willen beoordelen, is het belangrijk om te begrijpen wat ze precies in handen hebben: een certificaat of een verklaring.
Welke bewijsstukken zijn verplicht bij aanbestedingen en overheidscontracten?
Bij aanbestedingen en overheidscontracten zijn de meest gevraagde bewijsstukken voor informatiebeveiliging een geldig ISO 27001-certificaat of een BIO-conformiteitsverklaring, een verwerkersovereenkomst, een actueel informatiebeveiligingsbeleid en soms een ingevulde DPIA of risicoanalyse. De exacte eisen staan vermeld in het aanbestedingsdocument of het Programma van Eisen.
Voor overheidsorganisaties geldt de Baseline Informatiebeveiliging Overheid (BIO) als verplicht kader. Leveranciers die aan de overheid leveren, worden steeds vaker gevraagd om aan te tonen dat zij ook aan de BIO voldoen, of minimaal aan ISO 27001. Dit geldt zeker voor ICT-leveranciers, clouddiensten en partijen die persoonsgegevens verwerken namens een overheidsinstantie.
Bij Europese aanbestedingen boven de drempelwaarde kunnen de eisen nog strenger zijn. Organisaties dienen dan soms aanvullende documentatie te overleggen, zoals een overzicht van subverwerkers, een register van verwerkingsactiviteiten of een beschrijving van technische en organisatorische maatregelen. Het is raadzaam om ruim voor de inschrijfdeadline te inventariseren welke eisen de opdrachtgever aan informatiebeveiliging stelt, zodat je op tijd de juiste documenten kunt aanleveren.
Hoe lang zijn bewijsstukken voor informatiebeveiliging geldig?
Een ISO 27001-certificaat is drie jaar geldig, mits de organisatie jaarlijkse surveillanceaudits doorstaat. Na drie jaar vindt een hercertificeringsaudit plaats. Andere bewijsstukken, zoals een informatiebeveiligingsbeleid of een risicoanalyse, hebben geen vaste wettelijke geldigheidsduur, maar worden doorgaans jaarlijks herzien.
De geldigheidsduur van een certificaat is niet alleen een formele kwestie. Opdrachtgevers controleren steeds vaker of een certificaat nog actueel is en of de meest recente surveillanceaudit succesvol is afgerond. Een verlopen certificaat, of een certificaat waarbij de jaarlijkse audit niet heeft plaatsgevonden, biedt geen geldig bewijs meer.
Voor andere documenten geldt dat actualiteit een rol speelt bij de beoordeling. Een risicoanalyse uit 2022 die nooit is bijgewerkt, zal minder overtuigen dan een document dat aantoont dat de organisatie haar risico’s actief blijft monitoren. Opdrachtgevers kijken niet alleen naar het bestaan van documenten, maar ook naar de datum en de mate van actualiteit.
Wat kun je doen als je nog niet gecertificeerd bent maar wel bewijs moet leveren?
Als je nog niet gecertificeerd bent maar wel bewijs moet leveren voor informatiebeveiliging, kun je een combinatie van alternatieve documenten aanleveren: een actueel informatiebeveiligingsbeleid, een risicoanalyse, een verwerkersovereenkomst, een overzicht van technische maatregelen en eventueel een intern auditrapport of een gap-analyse. Wees transparant over de status van je certificeringstraject.
Veel opdrachtgevers begrijpen dat een ISO 27001-certificering niet van de ene op de andere dag beschikbaar is. Een certificeringstraject duurt gemiddeld zes tot twaalf maanden, afhankelijk van de omvang van de organisatie en de volwassenheid van het bestaande beveiligingsbeleid. Als je kunt aantonen dat je actief bezig bent met het behalen van een certificering, inclusief een tijdlijn en een beschrijving van de stappen die je al hebt gezet, vergroot dat je geloofwaardigheid aanzienlijk.
Sommige opdrachtgevers accepteren ook een third-party assessment of een pentest-rapport als aanvullend bewijs. Het is altijd verstandig om direct te vragen welke alternatieven worden geaccepteerd. Wil je weten hoe een ISO 27001-certificering eruitziet en hoe snel je dit kunt realiseren? Neem contact op met ons en we denken graag met je mee over de snelste route naar een erkend certificaat.
Veelgestelde vragen
Welke documenten tonen aan dat een organisatie informatiebeveiliging serieus neemt?
Documenten die dit aantonen zijn onder andere een geldig ISO 27001-certificaat, een gedocumenteerd informatiebeveiligingsbeleid, een risicoanalyse, een verwerkersovereenkomst en interne auditrapportages. Samen geven deze stukken een opdrachtgever inzicht in hoe een organisatie risico’s beheerst en beveiligingsmaatregelen borgt.
Waarom vragen opdrachtgevers specifiek om een ISO 27001-certificaat?
Opdrachtgevers vragen om een ISO 27001-certificaat omdat het een internationaal erkende, onafhankelijk getoetste standaard is die bewijst dat een organisatie haar beveiligingsbeleid daadwerkelijk naleeft en periodiek laat controleren. Bovendien sluit het certificaat aan op Europese regelgeving zoals de AVG en NIS2, waardoor het voor opdrachtgevers een efficiënte manier is om leveranciersrisico’s te beheersen.
Wat is het verschil tussen een certificaat en een auditverklaring?
Een certificaat is een formeel, internationaal erkend document afgegeven door een geaccrediteerde instelling na een geslaagde audit, terwijl een auditverklaring een rapportage is van bevindingen zonder die formele erkenning. Bij aanbestedingen of contracten waar expliciet om een certificaat wordt gevraagd, biedt een auditverklaring niet dezelfde juridische en commerciële status.
Hoe lang zijn bewijsstukken voor informatiebeveiliging geldig en wanneer moet ik ze vernieuwen?
Een ISO 27001-certificaat is drie jaar geldig, mits jaarlijkse surveillanceaudits succesvol worden doorstaan, waarna een hercertificeringsaudit plaatsvindt. Andere documenten zoals een informatiebeveiligingsbeleid of risicoanalyse hebben geen vaste wettelijke geldigheidsduur, maar worden doorgaans jaarlijks herzien om actueel en overtuigend te blijven voor opdrachtgevers.
