Een certificaat in twee audits
Wie ISO 27001-certificering aanvraagt, krijgt niet één audit maar twee. De eerste kijkt naar het ontwerp en de documentatie van je managementsysteem, de tweede naar of het in de praktijk werkt. Daarna komt de auditor elk jaar terug. Dat ritme bepaalt hoe je het traject plant, en waar de meeste bedrijven tijd verliezen.
De wat-kost-het-vraag behandelen we in een apart stuk over de kosten van ISO 27001. Hier gaat het om de volgorde: wat moet er klaar zijn voor welke audit.
Wat er klaar moet zijn voor de eerste audit
De eerste audit, stage 1, is volgens ISMS.online een beoordeling van het ontwerp en de documentatie van je ISMS: kloppen je beleid, je risicobeoordelingen en je procedures met de norm? Daarvoor moeten in elk geval deze stukken er liggen:
- de scope: welke afdelingen, locaties en systemen vallen onder het managementsysteem;
- een risicobeoordeling, met per risico wat je eraan doet;
- de Verklaring van Toepasselijkheid, die per maatregel uit de norm vastlegt of je hem toepast en waarom;
- een interne audit, waarmee je zelf de gaten vindt voordat de externe auditor dat doet.
De scope is de knop waar je het meest mee wint of verliest. Een scope die alleen je klantportaal en de mensen die eraan werken omvat, is in een paar maanden te doen. Een scope over het hele bedrijf met drie vestigingen is een ander traject. Kies hem op basis van wat je klant of aanbesteding echt vraagt, niet op basis van wat het mooiste klinkt.
De tweede audit kijkt naar de praktijk
Bij stage 2 verschuift de aandacht van papier naar werking. De auditor houdt interviews, kijkt mee in de praktijk en verzamelt bewijs dat de maatregelen uit stage 1 ook echt draaien. Een beleid dat zegt dat back-ups elke maand getest worden, moet dan ook testverslagen opleveren. Een toegangsbeleid moet terug te zien zijn in wie waar bij kan.
Hier struikelen bedrijven het vaakst, en bijna altijd op hetzelfde: beleid dat uit een sjabloon komt en niet past bij hoe er gewerkt wordt. Een auditor ziet dat snel. Begin daarom bij wat je al doet, leg dat vast, en dicht pas daarna de gaten.
Na de certificering volgen jaarlijkse controle-audits. Het certificaat is dus geen eindpunt, maar een afspraak om het elk jaar opnieuw te laten zien.
Alleen de 2022-versie telt nog
Sinds 1 mei 2024 worden er geen nieuwe certificaten meer uitgegeven op de oude versie uit 2013, en de overgangstermijn voor bestaande certificaten liep tot 31 oktober 2025, volgens ISMS.online. Een certificaat dat je nu haalt, is dus altijd op ISO 27001:2022 gebaseerd. Krijg je van een adviseur nog sjablonen die naar de 2013-versie verwijzen, dan weet je genoeg.
Kies een geaccrediteerde certificeerder
Een certificaat is zoveel waard als de instelling die het afgeeft. In Nederland controleert de Raad voor Accreditatie of certificatie-instellingen hun werk goed doen. Op de lijst van alle geaccrediteerden staan op dit moment 56 managementsysteemcertificatie-instellingen. Kijk bij de instelling die je kiest in het bijbehorende scopedocument of ISO 27001 erin staat. Een klant of aanbesteding die om ISO 27001 vraagt, bedoelt bijna altijd een certificaat onder accreditatie.
Begin met weten waar je staat
Het traject wordt korter als je vooraf weet welke maatregelen al op orde zijn en welke niet. Een Cyber RI&E kijkt van buitenaf en van binnenuit naar je systemen, netwerk en gegevens en koppelt elke bevinding aan de bijbehorende maatregel uit ISO 27001. Dan begin je aan de scope en de risicobeoordeling met een lijst die je niet zelf hoeft uit te zoeken.