Een ISO 27001-certificaat verifiëren doe je via officieel erkende registers zoals IAF CertSearch en het register van de Raad voor Accreditatie (RvA). Deze publieke databanken geven inzicht in de geldigheid van een certificaat en de accreditatiestatus van de certificerende instelling. Voor wie direct wil weten of een leverancier of partner betrouwbaar gecertificeerd is, zijn dit de enige bronnen die echt tellen. In de secties hieronder beantwoorden we de meest gestelde vragen over het controleren van ISO 27001-certificaten, stap voor stap. Wil je liever direct advies? Neem gerust contact op en wij helpen je verder.
Welke registers zijn officieel erkend voor ISO 27001-verificatie?
De twee officieel erkende registers voor het verifiëren van een ISO 27001-certificaat zijn IAF CertSearch (het internationale register van de International Accreditation Forum) en het RvA-register (het Nederlandse register van de Raad voor Accreditatie). Samen bieden deze registers een volledig beeld van zowel de geldigheid van een certificaat als de accreditatiestatus van de uitgevende instelling.
Een ISO 27001-certificaat is alleen geldig als het is afgegeven door een certificerende instelling die geaccrediteerd is door een erkend accreditatieorgaan, zoals de RvA in Nederland. Certificaten die buiten dit systeem worden uitgegeven, zijn formeel niet erkend en bieden geen garantie op betrouwbaarheid. Het controleren via een officieel register is daarom geen overbodige luxe, maar een noodzakelijke stap bij elke serieuze leveranciersbeoordeling of aanbesteding.
Naast IAF CertSearch en het RvA-register publiceren sommige certificerende instellingen ook hun eigen certificatenregisters. Deze kunnen als aanvullende bron dienen, maar vervangen de officiële registers nooit. Alleen de accreditatiegebonden registers bieden de zekerheid dat een certificaat door een bevoegde partij is afgegeven.
Hoe gebruik je IAF CertSearch om een certificaat op te zoeken?
IAF CertSearch is een gratis toegankelijke online database waarmee je een ISO 27001-certificaat kunt opzoeken op basis van de naam van de organisatie, het certificaatnummer of de certificerende instelling. De database wordt gevoed door geaccrediteerde certificerende instellingen wereldwijd en toont actuele informatie over de geldigheid en reikwijdte van certificaten.
Zo gebruik je IAF CertSearch stap voor stap:
- Ga naar certsearch.iaf.nu en kies de zoekoptie die past bij de beschikbare informatie, zoals de bedrijfsnaam of het certificaatnummer.
- Voer de naam in van de organisatie waarvan je het certificaat wilt controleren.
- Bekijk de zoekresultaten en selecteer het juiste certificaat. Let op de norm (ISO/IEC 27001), de geldigheidsdatum en de scope van het certificaat.
- Controleer welke certificerende instelling het certificaat heeft afgegeven en of die instelling zelf geaccrediteerd is.
Een belangrijk aandachtspunt: niet alle certificerende instellingen leveren hun gegevens aan IAF CertSearch. Als een certificaat niet in de database staat, betekent dat niet automatisch dat het ongeldig is. Het kan ook betekenen dat de instelling haar data niet heeft geüpload. In dat geval is het verstandig om aanvullend het RvA-register te raadplegen en rechtstreeks contact op te nemen met de certificerende instelling.
Wat zegt het RvA-register over een certificerende instelling?
Het register van de Raad voor Accreditatie (RvA) toont welke certificerende instellingen in Nederland geaccrediteerd zijn en voor welke normen zij mogen certificeren. Voor ISO 27001 is dit van direct belang: alleen een RvA-geaccrediteerde instelling mag in Nederland een rechtsgeldig ISO 27001-certificaat afgeven. Het RvA-register is daarmee de eerste controle op de betrouwbaarheid van de uitgevende partij.
In het register vind je per instelling de accreditatiestatus, het accreditatienummer en de scope van de accreditatie. Die scope beschrijft voor welke normen en sectoren de instelling bevoegd is. Een instelling met RvA-accreditatienummer C618, zoals DigiTrust, is bijvoorbeeld geaccrediteerd voor informatiebeveiliging en mag dus rechtmatig ISO 27001-certificaten afgeven.
Het RvA-register geeft ook inzicht in eventuele beperkingen of schorsingen van een accreditatie. Als een certificerende instelling haar accreditatie heeft verloren of tijdelijk is geschorst, is dat zichtbaar in het register. Certificaten die na een schorsing zijn afgegeven, zijn formeel niet geldig. Dit maakt het RvA-register tot een onmisbaar controlemiddel naast IAF CertSearch.
Wat zijn de tekenen dat een ISO 27001-certificaat nep of verlopen is?
Een nep of verlopen ISO 27001-certificaat herken je aan een combinatie van signalen: de certificerende instelling is niet terug te vinden in het RvA-register of IAF CertSearch, de geldigheidsdatum is verstreken, de scope op het certificaat sluit niet aan bij de activiteiten van de organisatie, of het certificaatnummer is niet verifieerbaar via een officieel register.
Concrete waarschuwingssignalen zijn:
- Onbekende of niet-geaccrediteerde certificerende instelling: Als de naam van de instelling niet voorkomt in het RvA-register of bij een erkend buitenlands accreditatieorgaan, is het certificaat niet rechtsgeldig.
- Verlopen geldigheid: Een ISO 27001-certificaat heeft een looptijd van drie jaar. Daarna moet het worden hernieuwd. Controleer altijd de einddatum op het certificaat en vergelijk die met de actuele datum.
- Onjuiste of vage scope: De scope beschrijft welke processen, locaties of systemen onder het certificaat vallen. Een te brede of onduidelijke scope kan duiden op een certificaat dat niet correct is afgegeven.
- Certificaat niet vindbaar in IAF CertSearch: Als de organisatie beweert gecertificeerd te zijn maar het certificaat niet in de database staat, vraag dan om het certificaatnummer en verifieer dit rechtstreeks bij de certificerende instelling.
- Geen jaarlijkse controle-audits aantoonbaar: Een geldig ISO 27001-certificaat vereist tussentijdse surveillance-audits. Als een organisatie geen bewijs kan leveren van recente audits, is de certificering mogelijk niet meer actueel.
Twijfel je over de echtheid van een certificaat? Neem dan contact op met de certificerende instelling die op het certificaat staat vermeld en vraag om bevestiging. Een betrouwbare certificerende partij verstrekt deze informatie zonder aarzeling.
Wie is verantwoordelijk voor het controleren van een ISO 27001-certificaat?
De verantwoordelijkheid voor het controleren van een ISO 27001-certificaat ligt bij de partij die het certificaat als bewijs accepteert, zoals een opdrachtgever, aanbestedende dienst of zakelijke partner. De gecertificeerde organisatie zelf is verantwoordelijk voor het up-to-date houden van haar certificering, maar de verificatieplicht ligt bij degene die op basis van dat certificaat een beslissing neemt.
In de praktijk betekent dit dat inkoopafdelingen, compliance officers en risicomanagers een actieve rol spelen in het verificatieproces. Bij aanbestedingen is het controleren van certificaten vaak een formele stap in het kwalificatieproces. Ook bij het aangaan van verwerkersovereenkomsten of samenwerkingsverbanden waarbij informatiebeveiliging een rol speelt, is verificatie van een ISO 27001-certificaat een logische en noodzakelijke stap.
Certificerende instellingen zoals DigiTrust spelen hierin een ondersteunende rol. Wij staan garant voor de integriteit van de certificaten die wij afgeven en zijn transparant over de scope en geldigheid ervan. Onze certificaten zijn verifieerbaar via het RvA-register onder accreditatienummer C618, zodat opdrachtgevers en partners altijd snel en eenvoudig de juiste informatie kunnen vinden.
Het controleren van een ISO 27001-certificaat hoeft geen tijdrovend proces te zijn. Met de juiste registers en een systematische aanpak is verificatie in enkele minuten gedaan. Wil je weten hoe wij organisaties begeleiden bij het behalen van een erkend en verifieerbaar certificaat? Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.
Veelgestelde vragen
Wat is het verschil tussen IAF CertSearch en het RvA-register bij het controleren van een ISO 27001-certificaat?
IAF CertSearch is een internationaal register dat informatie toont over de geldigheid en reikwijdte van certificaten wereldwijd, terwijl het RvA-register specifiek de accreditatiestatus van certificerende instellingen in Nederland weergeeft. Samen geven ze een volledig en betrouwbaar beeld van zowel het certificaat zelf als de bevoegdheid van de instelling die het heeft afgegeven.
Hoe weet ik of een ISO 27001-certificaat echt geldig is en niet nep of verlopen?
Controleer altijd de geldigheidsdatum op het certificaat, zoek de certificerende instelling op in het RvA-register of IAF CertSearch, en verifieer of het certificaatnummer vindbaar is in een officieel register. Als de instelling niet geaccrediteerd blijkt of het certificaat niet traceerbaar is, neem dan rechtstreeks contact op met de certificerende instelling voor bevestiging.
Waarom is het controleren van een ISO 27001-certificaat verplicht bij aanbestedingen en samenwerkingen?
Bij aanbestedingen en samenwerkingen waarbij informatiebeveiliging een rol speelt, is verificatie noodzakelijk omdat de verantwoordelijkheid voor het accepteren van een certificaat als bewijs bij de ontvangende partij ligt. Een ongeldig of nep certificaat biedt geen juridische of inhoudelijke garantie, waardoor risico’s voor de organisatie onaanvaardbaar groot worden.
Wanneer moet een ISO 27001-certificaat worden vernieuwd en hoe controleer ik of dit is gebeurd?
Een ISO 27001-certificaat heeft een looptijd van drie jaar en vereist daarnaast jaarlijkse tussentijdse surveillance-audits om geldig te blijven. Controleer via IAF CertSearch of het RvA-register of de einddatum nog niet verstreken is en vraag de organisatie indien nodig om bewijs van recente controle-audits.
