Hoe bereid ik mij voor op de hercertificering van ISO 27001?

Een ISO 27001-certificaat heeft een geldigheidsduur van drie jaar. Na die drie jaar volgt de hercertificeringsaudit, waarbij een externe auditor opnieuw beoordeelt of jouw managementsysteem voor informatiebeveiliging nog steeds voldoet aan de eisen van de norm. Een goede voorbereiding op de hercertificering ISO 27001 voorkomt verrassingen en zorgt dat de audit soepel verloopt. In dit artikel lees je stap voor stap wat je moet doen om jouw organisatie klaar te stomen voor een succesvolle ISO 27001-hercertificering.

Het verschil tussen een vlotte hercertificeringsaudit en een moeizame zit vrijwel altijd in de voorbereiding. Organisaties die gedurende de hele certificeringsperiode actief hun ISMS onderhouden, staan er bij de hercertificeringsaudit sterk voor. Heb je de afgelopen jaren minder aandacht besteed aan het systeem, dan is nu het moment om structuur aan te brengen. De vier stappen hieronder geven je een concreet handvat.

Wat je op orde moet hebben vóór de hercertificeringsaudit

Voordat je de audit zelf ingaat, is het verstandig om een helder beeld te hebben van de staat van je ISO 27001-managementsysteem. De auditor beoordeelt niet alleen of je beleid en procedures op papier staan, maar ook of je systeem aantoonbaar werkt en continu verbetert. Controleer daarom eerst of de volgende basisonderdelen aanwezig en actueel zijn:

• Een actuele risicoanalyse en bijbehorende risicobehandeling
• Een bijgewerkte Verklaring van Toepasselijkheid (Statement of Applicability)
• Gedocumenteerde beleids- en procedurestukken die aansluiten op de huidige bedrijfsvoering
• Bewijs van bewustzijnstrainingen en communicatie richting medewerkers
• Registraties van incidenten, afwijkingen en verbetermaatregelen
• Actuele informatie over leveranciers en hun beveiligingsafspraken

Loop deze lijst kritisch door en noteer wat ontbreekt of verouderd is. Zo weet je precies waar je de komende weken aandacht aan moet besteden. Met dit overzicht als startpunt kun je gericht werken aan de volgende stappen.

Voer een grondige interne audit uit

De interne audit is het fundament van een goede voorbereiding op ISO 27001-hercertificering. Voer de interne audit ruim voor de hercertificeringsaudit uit, zodat je voldoende tijd hebt om bevindingen op te lossen. Een interne audit die een week voor de externe audit plaatsvindt, biedt nauwelijks handelingsruimte.

1. Stel een auditplan op dat alle relevante processen en afdelingen omvat. Zorg dat de interne auditor onafhankelijk is van de processen die hij of zij beoordeelt.
2. Toets of de praktijk overeenkomt met wat er in beleid en procedures staat beschreven. Voer gesprekken met medewerkers en vraag naar bewijsstukken.
3. Documenteer alle bevindingen, zowel sterke punten als tekortkomingen. Maak onderscheid tussen non-conformiteiten (afwijkingen van de norm) en verbeterpunten (kansen voor verbetering).
4. Stel voor elke non-conformiteit een correctieve maatregel vast met een verantwoordelijke persoon en een concrete deadline.

Na de interne auditdienst heb je een gedetailleerd beeld van de sterke en zwakke punten van je managementsysteem. Controleer of alle bevindingen zijn vastgelegd in een auditrapport en of de correctieve maatregelen formeel zijn belegd. Dit rapport is ook een belangrijk document dat je tijdens de hercertificeringsaudit aan de externe auditor kunt overleggen als bewijs van continue verbetering.

Voer een managementreview uit en documenteer de uitkomsten

De managementreview is een formeel vereiste van ISO 27001. Het topmanagement bespreekt hierin de prestaties van het ISMS en neemt beslissingen over verbeteringen en middelen. Zonder gedocumenteerde managementreview zal de externe auditor dit direct als non-conformiteit aanmerken.

1. Plan de managementreview tijdig, bij voorkeur na de interne audit zodat de bevindingen als input kunnen dienen.
2. Bespreek verplichte agendapunten: de status van eerdere acties, wijzigingen in de interne en externe context, prestaties van het ISMS (incidenten, audits, KPI’s), feedback van belanghebbenden en mogelijkheden voor verbetering.
3. Leg de besluiten en actiepunten vast in een verslag. Noteer wie verantwoordelijk is voor welke actie en wanneer die afgerond moet zijn.
4. Zorg dat het verslag is ondertekend of formeel goedgekeurd door het verantwoordelijke management.

Verifieer na de review dat het verslag alle verplichte inputpunten uit de norm bevat en dat de uitkomsten concreet en opvolgbaar zijn. Een goed gedocumenteerde managementreview laat de externe auditor zien dat het topmanagement actief betrokken is bij informatiebeveiliging, wat een sterk signaal is richting certificering.

Sluit openstaande non-conformiteiten en verbeterpunten af

Met de bevindingen van de interne audit en de actiepunten uit de managementreview op tafel, is het tijd om daadwerkelijk aan de slag te gaan. Openstaande non-conformiteiten die tijdens de hercertificeringsaudit nog niet zijn opgelost, vormen een direct risico voor het behalen van je ISO 27001-certificering verlengen. Geef hieraan dan ook prioriteit.

1. Maak een overzicht van alle openstaande non-conformiteiten en verbeterpunten, inclusief de oorzakenanalyse en de geplande correctieve maatregel.
2. Voer de correctieve maatregelen uit en verzamel bewijsstukken die aantonen dat de maatregel effectief is. Denk aan aangepaste procedures, trainingsregistraties of technische wijzigingen.
3. Beoordeel of de maatregel de onderliggende oorzaak heeft weggenomen, niet alleen het symptoom. Dit heet effectiviteitsbeoordeling en is een formele stap in het correctieve maatregelproces.
4. Sluit elke non-conformiteit formeel af in je registratiesysteem zodra de effectiviteit is bevestigd.

Controleer aan het einde van deze stap of er geen non-conformiteiten meer openstaan die direct betrekking hebben op de eisen van de norm. Verbeterpunten die nog in uitvoering zijn, hoeven niet per se afgerond te zijn, maar je moet kunnen aantonen dat er concrete voortgang is geboekt en dat er een realistisch plan ligt. Transparantie hierover richting de auditor werkt beter dan open punten verzwijgen.

Bereid de hercertificeringsaudit zelf voor

Met een afgeronde interne audit, een gedocumenteerde managementreview en opgeloste non-conformiteiten ben je inhoudelijk goed voorbereid. De laatste stap is de logistieke en praktische voorbereiding op de hercertificeringsaudit zelf. Een gestructureerde aanpak hier bespaart tijd en voorkomt stress op de auditdag.

1. Stem de auditplanning af met de certificerende instelling. Zorg dat de juiste medewerkers beschikbaar zijn op de geplande auditdagen en dat zij weten welke rol ze spelen.
2. Stel een documentatiemap samen met alle relevante bewijsstukken: het auditrapport van de interne audit, het managementreviewverslag, de Verklaring van Toepasselijkheid, de risicoanalyse en registraties van correctieve maatregelen.
3. Bereid medewerkers voor die door de auditor gesproken worden. Zij hoeven geen expert te zijn in de norm, maar moeten wel kunnen uitleggen hoe hun dagelijkse werk bijdraagt aan informatiebeveiliging.
4. Loop de auditcriteria nog een keer door en controleer of je voor elk vereiste punt aantoonbaar bewijs kunt overleggen.

Na deze voorbereidingen kun je de hercertificeringsaudit met vertrouwen tegemoet treden. Behandel de auditor als een professionele gesprekspartner, niet als een tegenstander. Wees open over hoe je systeem werkt en waar je nog aan verbetert. Auditoren waarderen organisaties die aantoonbaar leren en groeien, ook als niet alles perfect is. Dat is precies de geest van de ISO 27001-hercertificering: continue verbetering, niet perfectie op papier.

Hoe Kwinzo helpt bij de hercertificering van ISO 27001

De voorbereiding op een hercertificering ISO 27001 vraagt om structuur, overzicht en de juiste expertise. Kwinzo begeleidt organisaties in zorg, ICT en onderwijs door dit proces op een efficiënte en praktische manier. Wij zorgen dat jouw managementsysteem niet alleen op papier klopt, maar ook in de praktijk werkt.

Concreet bieden wij:

• Een onafhankelijke interne audit als generale repetitie voor de externe hercertificeringsaudit
• Begeleiding bij de managementreview, inclusief het opstellen van een volledig gedocumenteerd verslag
• Ondersteuning bij het afhandelen van non-conformiteiten en het aantonen van effectiviteit
• Toegang tot onze eigen ISMS-tool voor overzichtelijk beheer van je managementsysteem
• Maandelijkse workshops voor Security Officers om kennis actueel te houden
• Begeleiding op maat, van lichte ondersteuning tot volledig ontzorgen

Wil je weten hoe Kwinzo jouw organisatie kan ondersteunen bij de hercertificering? Neem contact op voor een vrijblijvend adviesgesprek en ontdek wat wij voor jou kunnen betekenen.