Welke gebeurtenissen leiden meestal tot een schorsing van een ISO 27001 certificaat?

Een ISO 27001-certificaat kan worden geschorst wanneer een organisatie bij een controle-audit ernstige tekortkomingen vertoont die niet tijdig worden hersteld, of wanneer zij de auditverplichtingen niet nakomt. De meest voorkomende oorzaken zijn majeure non-conformiteiten in het informatiebeveiligingsbeheersysteem (ISMS), een gebrek aan interne audits of directiebeoordeling, en het ontbreken van aantoonbare verbeteracties na eerdere bevindingen. In dit artikel bespreken we de gevolgen van schorsing, welke non-conformiteiten het vaakst de oorzaak zijn, hoe het traject verloopt en wat je kunt doen om schorsing te voorkomen of te herstellen. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en wij denken graag met je mee.

Wat zijn de gevolgen van een schorsing voor een organisatie?

Een schorsing van het ISO 27001-certificaat betekent dat de certificaatstatus tijdelijk wordt opgeschort. De organisatie mag het certificaat gedurende de schorsingsperiode niet meer gebruiken in offertes, op de website of in communicatie richting klanten en partners. Dit heeft directe commerciële, juridische en reputatiegevolgen.

In de praktijk merken organisaties de impact van een schorsing van het ISO 27001-certificaat op meerdere vlakken. Klanten en opdrachtgevers die het certificaat als contractuele eis stellen, kunnen lopende overeenkomsten ter discussie stellen of nieuwe aanbestedingen uitsluiten. Zeker in sectoren als de zorg, overheid en kritieke infrastructuur is een geldig certificaat vaak een harde voorwaarde voor samenwerking. Ook intern zorgt een schorsing voor onrust: medewerkers, het management en de raad van toezicht worden geconfronteerd met het signaal dat de informatiebeveiliging onvoldoende op orde is.

Daarnaast kan een schorsing gevolgen hebben voor de aansluiting bij andere normen en richtlijnen. Organisaties die werken met NEN 7510 of de NIS2-richtlijn, zien dat een geschorst ISO 27001-certificaat ook de aantoonbaarheid binnen die kaders verzwakt. Een schorsing is dus zelden een geïsoleerd probleem. Het is een signaal dat vraagt om directe, doortastende actie.

Welke non-conformiteiten leiden het vaakst tot schorsing?

De non-conformiteiten die het vaakst leiden tot een schorsing van het ISO 27001-certificaat zijn majeure tekortkomingen in de kernprocessen van het ISMS. Denk aan het volledig ontbreken van interne audits, een niet-uitgevoerde directiebeoordeling, of het aantoonbaar negeren van eerder vastgestelde verbeterpunten. Wanneer deze bevindingen bij een controle-audit opnieuw worden aangetroffen zonder herstelactie, is schorsing een logisch gevolg.

Meer specifiek zien wij bij DigiTrust de volgende categorieën het vaakst terugkomen als aanleiding voor een ISO 27001-non-conformiteit die tot schorsing leidt:

• Risicobeheersing niet actueel: Het risicomanagementproces is niet bijgehouden, nieuwe dreigingen zijn niet geanalyseerd en beheersmaatregelen zijn niet aangepast aan veranderde omstandigheden.
• Geen of onvolledige interne audits: De norm vereist dat een organisatie periodiek intern auditeert. Ontbreekt dit volledig, dan is er sprake van een majeure non-conformiteit.
• Directiebeoordeling niet aantoonbaar: Het management moet het ISMS jaarlijks beoordelen. Zonder gedocumenteerde directiebeoordeling voldoet een organisatie niet aan een fundamentele eis van de norm.
• Incidentbeheer onvoldoende: Beveiligingsincidenten worden niet geregistreerd, geanalyseerd of opgevolgd, waardoor structurele verbeteringen uitblijven.
• Corrigerende maatregelen niet geïmplementeerd: Bevindingen uit eerdere audits zijn niet of onvoldoende opgepakt, wat aantoont dat het verbeterproces niet functioneert.

Wat deze non-conformiteiten gemeen hebben, is dat ze wijzen op een ISMS dat op papier bestaat maar in de praktijk niet wordt geleefd. Een certificering verliezen is dan ook zelden het gevolg van één incident, maar van een opeenstapeling van signalen die te lang worden genegeerd.

Hoe verloopt het schorsingstraject bij een certificerende instelling?

Het schorsingstraject begint doorgaans nadat bij een controle-audit een of meerdere majeure non-conformiteiten zijn vastgesteld die niet binnen de gestelde termijn worden opgelost. De certificerende instelling geeft de organisatie eerst een herstelperiode, meestal dertig tot negentig dagen, om corrigerende maatregelen te treffen en te documenteren. Wordt er geen of onvoldoende actie ondernomen, dan volgt de formele schorsing.

Tijdens de schorsing blijft het certificaat technisch bestaan, maar de geldigheid is opgeschort. De organisatie ontvangt een officiële kennisgeving en mag het certificaat niet meer actief inzetten. De certificerende instelling stelt vervolgens een termijn waarbinnen de organisatie moet aantonen de tekortkomingen te hebben hersteld, doorgaans zes maanden. Lukt dit niet, dan volgt intrekking van het ISO 27001-certificaat, wat betekent dat het certificaat definitief vervalt en een volledig nieuwe certificeringsprocedure noodzakelijk is.

Het is belangrijk te weten dat het schorsingstraject transparant en gestructureerd verloopt. Als geaccrediteerde auditinstelling (RvA C618) communiceren wij bij DigiTrust helder over elke stap in dit proces, zodat een organisatie altijd weet waar zij aan toe is en welke acties nodig zijn om het certificaat te herstellen.

Wat moet een organisatie doen om schorsing te voorkomen?

Schorsing van het ISO 27001-certificaat is te voorkomen door het ISMS actief te onderhouden en de jaarlijkse controle-audits serieus voor te bereiden. De kern is continuïteit: informatiebeveiliging mag geen eenmalig project zijn, maar een doorlopend beheerproces dat zichtbaar wordt geleefd door het management en de organisatie als geheel.

Concrete stappen om schorsing te voorkomen zijn:

1. Plan interne audits structureel in: Voer minimaal één volledige interne auditcyclus per jaar uit en documenteer de bevindingen en opvolging zorgvuldig.
2. Voer jaarlijks een directiebeoordeling uit: Het management bespreekt aantoonbaar de prestaties van het ISMS, inclusief risico’s, incidenten en verbeterpunten.
3. Werk het risicoregister actief bij: Pas het risicomanagement aan bij organisatorische veranderingen, nieuwe technologieën of gewijzigde dreigingen.
4. Registreer en analyseer beveiligingsincidenten: Zorg voor een functionerend incidentbeheerproces met aantoonbare opvolging.
5. Implementeer corrigerende maatregelen tijdig: Bevindingen uit audits moeten worden opgepakt, gedocumenteerd en geverifieerd op effectiviteit.
6. Bereid je voor op controle-audits: Ga niet pas nadenken over het ISMS wanneer de audit is gepland, maar houd het systeem het hele jaar actueel.

Onze ervaring bij DigiTrust leert dat organisaties die schorsing riskeren, vaak niet te maken hebben met slechte intenties maar met een gebrek aan structuur en eigenaarschap rondom het ISMS. Een goede informatiebeveiligingsaanpak begint met bewustwording op directieniveau en een heldere verdeling van verantwoordelijkheden.

Kan een geschorst certificaat worden hersteld, en hoe?

Ja, een geschorst ISO 27001-certificaat kan worden hersteld, mits de organisatie binnen de door de certificerende instelling gestelde termijn aantoonbaar corrigerende maatregelen heeft doorgevoerd. Herstel vereist een formele beoordeling door de certificerende instelling, waarbij de opgeloste non-conformiteiten worden geverifieerd. Is het bewijs overtuigend, dan wordt de schorsing opgeheven en het certificaat hersteld.

Het hersteltraject verloopt in de meeste gevallen als volgt:

1. Analyse van de oorzaak: De organisatie brengt in kaart waarom de non-conformiteiten zijn ontstaan en welke structurele maatregelen nodig zijn.
2. Implementatie van corrigerende maatregelen: De tekortkomingen worden daadwerkelijk opgelost, niet alleen gedocumenteerd. Denk aan het uitvoeren van een interne audit, het houden van een directiebeoordeling of het herstellen van het risicoregister.
3. Documentatie en bewijs verzamelen: Alle uitgevoerde acties worden vastgelegd met concrete bewijsstukken zoals notulen, rapportages en registraties.
4. Herstelaudit door de certificerende instelling: Een auditor beoordeelt of de corrigerende maatregelen effectief zijn en of het ISMS weer voldoet aan de norm.
5. Opheffing van de schorsing: Bij een positieve beoordeling wordt de schorsing formeel opgeheven en mag het certificaat opnieuw worden gebruikt.

Lukt het niet om binnen de gestelde termijn te herstellen, dan volgt intrekking van het ISO 27001-certificaat. In dat geval moet de organisatie een volledig nieuwe certificeringsprocedure doorlopen, inclusief een initiële audit. Dit is tijdrovend en kostbaar, en onderstreept nogmaals het belang van preventie. Wil je weten hoe je jouw certificaat veiligstelt of hoe een hersteltraject eruitziet voor jouw organisatie? Neem contact op met ons team en wij begeleiden je stap voor stap.

Gerelateerde artikelen

• Hoe verloopt een ISO 27001 certificering in de maakindustrie?
• Wat is het tijdsverloop van een fase 2 audit van start tot afronding?
• Wat doe je als je het niet eens bent met de bevinding van een auditor?
• Waar moet een interne audit bij een ISO 27001 certificering aan voldoen?
• Welke methodologie gebruik je voor risicoanalyse?