Bij het shortlisten van certificerende instellingen zijn accreditatie, sectorspecifieke kennis, auditaanpak, normbeheersing en klanttevredenheid de meest bepalende criteria. Een gecertificeerde instelling moet aantoonbaar geaccrediteerd zijn door een erkende nationale accreditatieorganisatie en beschikken over auditors die jouw branche en de relevante normen goed kennen. De secties hieronder werken elk criterium concreet uit, zodat je een weloverwogen keuze kunt maken. Heb je al specifieke vragen over jouw situatie? Neem gerust contact op en we helpen je graag verder.
Welke eisen stelt een accreditatie aan een certificerende instelling?
Een accreditatie is het officiële bewijs dat een certificerende instelling voldoet aan internationale kwaliteitseisen voor het uitvoeren van audits en het afgeven van certificaten. In Nederland verleent de Raad voor Accreditatie (RvA) deze accreditaties op basis van de norm ISO/IEC 17021. Zonder geldige accreditatie heeft een certificaat geen juridisch of markterkend gewicht.
Concreet betekent accreditatie dat de instelling aantoonbaar beschikt over competente auditors, onafhankelijke besluitvormingsprocedures en een intern kwaliteitssysteem dat periodiek wordt getoetst. Voor organisaties die ISO 27001-certificering willen behalen voor aanbestedingen, samenwerkingsovereenkomsten of NIS2-compliance, is het essentieel dat het certificaat afkomstig is van een RvA-geaccrediteerde instelling. Wij zijn geaccrediteerd onder RvA C618, wat betekent dat onze certificaten internationaal worden erkend.
Let bij het shortlisten op het volgende:
- Is de instelling aantoonbaar geaccrediteerd en is de accreditatie actueel?
- Welke normen vallen binnen de scope van de accreditatie?
- Is de accreditatiestatus openbaar te verifiëren via de RvA-website?
Hoe beoordeel je de sectorspecifieke kennis van een auditinstelling?
De sectorspecifieke kennis van een auditinstelling beoordeel je door te kijken naar de achtergrond van de auditors, de sectoren waarvoor de instelling eerder heeft gecertificeerd en de mate waarin de instelling vertrouwd is met de regelgeving die in jouw branche geldt. Een generalist mist vaak de nuance die nodig is voor een waardevolle audit.
Voor zorginstellingen is kennis van NEN 7510 en de AVG onmisbaar. Voor overheden is vertrouwdheid met de Baseline Informatiebeveiliging Overheid (BIO) een vereiste. In de maakindustrie en kritieke infrastructuur spelen OT-omgevingen en sectorspecifieke risicoprofielen een grote rol. Vraag bij een kennismaking dan ook expliciet naar de branche-ervaring van de auditor die jouw traject begeleidt, niet alleen die van de instelling als geheel.
Praktische vragen om te stellen:
- Welke auditors worden ingezet en wat is hun achtergrond?
- Heeft de instelling eerder gecertificeerd in jouw sector?
- Zijn de auditors op de hoogte van recente sectorontwikkelingen, zoals NIS2?
Wat zegt de auditaanpak over de kwaliteit van een certificerende instelling?
De auditaanpak onthult hoe een instelling haar werk opvat: als een formele checklistoefening of als een inhoudelijk proces dat aansluit bij de context van jouw organisatie. Een kwalitatief hoogwaardige instelling hanteert een aanpak die verder gaat dan het afvinken van normeisen en die ook ruimte geeft aan maatwerk en dialoog.
Een aanpak die waarde toevoegt, kenmerkt zich door transparante communicatie vooraf over wat de audit inhoudt, ruimte voor de organisatie om haar eigen context toe te lichten en aandacht voor zowel verbeterpunten als sterke punten. Wij noemen dit waarderend auditen: een benadering waarbij de audit niet alleen tekortkomingen blootlegt, maar ook erkent wat goed gaat. Dat maakt de uitkomst bruikbaarder en de samenwerking constructiever.
Signalen van een sterke auditaanpak zijn onder andere:
- Een duidelijke planning en heldere communicatie over elke fase
- Auditors die vragen stellen en luisteren in plaats van alleen toetsen
- Een eindrapport dat concreet en begrijpelijk is, niet alleen technisch jargon
- Aandacht voor de organisatiecontext, niet alleen de norm op papier
Welke normen en kaders moet een certificerende instelling beheersen?
Een certificerende instelling moet minimaal de normen beheersen die voor jouw organisatie relevant zijn, maar bij voorkeur ook de bredere normenfamilie die daarmee samenhangt. Voor informatiebeveiliging zijn dat in de Nederlandse markt in 2026 met name ISO 27001, NEN 7510, de BIO en de NIS2-richtlijn.
ISO 27001 is de internationale standaard voor informatiebeveiligingsmanagement en de meest gevraagde certificering in aanbestedingen en samenwerkingsovereenkomsten. NEN 7510 is de Nederlandse norm specifiek voor informatiebeveiliging in de zorg. De BIO geldt voor overheidsorganisaties. NIS2 legt aanvullende verplichtingen op aan aanbieders van essentiële en belangrijke diensten. Een instelling die deze kaders beheerst, kan jou ook adviseren over de samenhang en overlap ertussen, wat tijd en dubbel werk bespaart.
Vraag een potentiële auditinstelling daarom niet alleen of ze ISO 27001 kunnen certificeren, maar ook of ze de normen kennen die voor jouw sector en regelgevingsomgeving relevant zijn. Meer informatie over de normen die wij beheersen vind je op onze pagina over informatiebeveiliging.
Hoe weeg je klanttevredenheid en transparantie mee in je keuze?
Klanttevredenheid en transparantie zijn betrouwbare indicatoren voor hoe een certificerende instelling in de praktijk werkt. Ze vertellen je iets wat een accreditatiestatus of een normenlijst niet vertelt: hoe de samenwerking aanvoelt en of de instelling haar beloftes nakomt.
Kijk bij het beoordelen van klanttevredenheid naar onafhankelijke beoordelingen, referenties uit vergelijkbare sectoren en de gemiddelde score over een langere periode. Een consistent hoge score, zoals onze gemiddelde beoordeling van 8,9 of hoger, wijst op structurele kwaliteit en niet op een toevallige uitschieter. Vraag ook of de instelling referenties kan leveren van organisaties in jouw branche.
Transparantie herken je aan praktische zaken: communiceert de instelling proactief over de planning, zijn de kosten helder en volledig, en legt de instelling uit wat er gebeurt als er bevindingen zijn? Een instelling die open communiceert over het proces geeft je als organisatie de controle en het vertrouwen dat je nodig hebt om het certificeringstraject goed te doorlopen.
Bekijk ook of de instelling lid is van brancheverenigingen zoals Cyberveilig Nederland, wat een extra signaal is van betrokkenheid bij de sector en naleving van gedragsnormen. Een overzicht van onze certificeringsdiensten laat zien hoe wij dit in de praktijk vormgeven.
Wil je weten of wij de juiste certificeringspartner zijn voor jouw organisatie? Neem contact op en plan een vrijblijvend kennismakingsgesprek.
Veelgestelde vragen
Waarom is accreditatie zo belangrijk bij het kiezen van een certificerende instelling?
Een accreditatie door een erkende organisatie zoals de RvA garandeert dat de certificerende instelling voldoet aan internationale kwaliteitseisen en dat haar certificaten juridisch en marktbreed worden erkend. Zonder geldige accreditatie heeft een certificaat geen waarde bij aanbestedingen, samenwerkingsovereenkomsten of het aantonen van NIS2-compliance.
Hoe controleer ik of een certificerende instelling voldoende sectorkennis heeft voor mijn branche?
Vraag bij een kennismaking expliciet naar de achtergrond van de auditor die jouw traject begeleidt en naar eerdere certificeringservaringen in jouw sector. Een instelling met echte sectorkennis is vertrouwd met relevante kaders zoals NEN 7510, de BIO of NIS2 en kan die direct koppelen aan jouw specifieke situatie.
Wat zijn de belangrijkste signalen dat een auditinstelling transparant en betrouwbaar werkt?
Een betrouwbare instelling communiceert proactief over de planning, presenteert kosten helder en volledig, en legt duidelijk uit wat er gebeurt bij bevindingen. Onafhankelijke klantbeoordelingen en referenties uit vergelijkbare sectoren geven een betrouwbaar beeld van hoe de samenwerking in de praktijk verloopt.
Welke normen moet een certificerende instelling kennen als mijn organisatie onder NIS2 valt?
Een instelling die organisaties onder NIS2 begeleidt, moet minimaal ISO 27001 beheersen en ook vertrouwd zijn met aanverwante kaders zoals de BIO of NEN 7510, afhankelijk van jouw sector. Kennis van de samenhang tussen deze normen voorkomt dubbel werk en helpt je om efficiënt aan meerdere verplichtingen tegelijk te voldoen.
