Hoe kies ik een goede ISO 27001-consultant?

Een ISO 27001 consultant kiezen is een beslissing die direct invloed heeft op het succes van je certificeringstraject. Een goede consultant bespaart je tijd, voorkomt dure fouten en zorgt ervoor dat informatiebeveiliging daadwerkelijk in je organisatie verankerd raakt. Een slechte keuze leidt tot een papieren systeem dat de externe audit wel doorstaat maar verder weinig toevoegt. In dit artikel loop je stap voor stap door het selectieproces, zodat je met vertrouwen de juiste ISO 27001 consultant kiest.

Voordat je gesprekken aangaat, is het verstandig om intern helder te hebben wat je zoekt. Gaat het om een volledige begeleiding bij implementatie van het managementsysteem, of heb je al een basis en zoek je iemand die je voorbereidt op de externe audit? Die duidelijkheid bepaalt welke vragen relevant zijn en welk aanbod bij je past.

Stel deze vragen voordat je een consultant inhuurt

Begin het selectieproces met een gestructureerd vraaggesprek. Veel organisaties slaan deze stap over en kiezen op basis van een offerte of een eerste indruk. Dat is risicovol, want de kwaliteit van een consultant blijkt pas als je doorvraagt op inhoud en werkwijze. Stel minimaal de volgende vragen voordat je een beslissing neemt:

1. Wat is uw ervaring binnen mijn sector? ISO 27001-implementatie in de zorg verschilt wezenlijk van een implementatie bij een ICT-bedrijf of een onderwijsinstelling. Vraag naar concrete voorbeelden van vergelijkbare organisaties.
2. Hoe borgt u dat het systeem na certificering blijft werken? Een consultant die alleen op de certificeringsdatum stuurt, levert een systeem op dat snel veroudert. Vraag expliciet naar de aanpak voor beheer en onderhoud na de eerste audit.
3. Bent u zelf gecertificeerd? Een consultant die ISO 27001 adviseert maar zelf niet gecertificeerd is, mist geloofwaardigheid. Vraag naar het eigen certificaat van de organisatie.
4. Welke hulpmiddelen levert u mee? Denk aan een ISMS-tool, beleidssjablonen, risicoregisters en auditchecklists. Vraag of deze tools na afloop van het traject in eigendom van jouw organisatie zijn.
5. Hoe gaat u om met NIS2? Voor organisaties die onder de Cyberbeveiligingswet (NIS2) vallen, biedt ISO 27001 een goede basis maar zijn aanvullende eisen nodig. Vraag of de consultant een GAP-analyse uitvoert tussen ISO 27001 en NIS2.

Controleer na het gesprek of de antwoorden concreet waren of vaag bleven. Een ervaren consultant geeft specifieke voorbeelden en durft ook te zeggen wat buiten zijn of haar expertise valt. Vage antwoorden op inhoudelijke vragen zijn een vroeg waarschuwingssignaal.

Beoordeel de werkwijze en aanpak van de consultant

Met de antwoorden op je vragen in handen, beoordeel je nu de werkwijze van elke kandidaat. De methode die een consultant hanteert, bepaalt grotendeels of het traject efficiënt verloopt en of het eindresultaat duurzaam is. Let op de volgende aspecten:

Standaardisering versus maatwerk

Goede consultants combineren slimme standaardisering met persoonlijke begeleiding. Volledig maatwerk klinkt aantrekkelijk maar is duur en tijdrovend. Volledig gestandaardiseerd werk levert een generiek systeem op dat niet aansluit op jouw bedrijfsvoering. Vraag hoe de consultant deze balans bewaakt en vraag om een concreet voorbeeld van hoe hij of zij een norm heeft afgestemd op een specifieke organisatie.

Betrokkenheid van jouw team

Een consultant die alles zelf doet zonder jouw medewerkers te betrekken, creëert afhankelijkheid. Na het traject weet niemand intern hoe het systeem werkt. Vraag hoe de consultant kennisoverdracht organiseert, of er trainingen worden aangeboden en of interne medewerkers actief worden begeleid. Sommige aanbieders bieden ook gerichte trainingen voor Security Officers aan als onderdeel van het traject.

Rol van de interne audit

Een professionele aanpak omvat altijd een interne audit voorafgaand aan de externe certificeringsaudit. Deze interne audit signaleert zwakke plekken in het managementsysteem en fungeert als generale repetitie. Vraag of de consultant interne audits uitvoert of begeleidt, en hoe de bevindingen worden verwerkt in concrete verbeteracties.

Vergelijk de werkwijzen van minimaal twee of drie kandidaten naast elkaar. Schrijf per kandidaat op wat je als sterke en zwakke punten beschouwt. Dat maakt de uiteindelijke vergelijking objectiever en minder afhankelijk van wie de beste indruk maakte in het gesprek.

Vergelijk aanbod en contractvormen kritisch

Nu je de inhoudelijke kwaliteit hebt beoordeeld, kijk je naar de commerciële voorwaarden. Prijs is relevant, maar moet altijd in verhouding staan tot wat er geleverd wordt. Wat een ISO 27001-traject kost, verschilt sterk per organisatie en hangt af van meerdere factoren: de omvang en complexiteit van de organisatie, de mate van begeleiding die gewenst is, de hoeveelheid werk die intern kan worden opgepakt en de sector waarin je actief bent. Vraag consultants daarom altijd om een offerte op maat, zodat je een eerlijke vergelijking kunt maken.

Let bij het vergelijken van offertes op de volgende punten:

• Wat is inbegrepen? Zijn de interne audit, hulpmiddelen, sjablonen en eventuele trainingen onderdeel van het pakket of worden ze apart gefactureerd?
• Welke begeleidingsvorm past bij jou? Sommige consultants bieden pakketten aan van volledig zelfstandig werken met ondersteuning op afstand tot volledige begeleiding waarbij de consultant het grootste deel van het werk uitvoert. Kies een vorm die aansluit op de capaciteit en kennis die intern beschikbaar is.
• Wat zijn de voorwaarden na certificering? ISO 27001 vereist jaarlijkse surveillance-audits en een hercertificering na drie jaar. Vraag of de consultant ook ondersteuning biedt bij beheer en onderhoud van het managementsysteem na de eerste certificering.
• Is er een vrijblijvend adviesgesprek? Serieuze consultants maken vooraf een inschatting van doorlooptijd, kosten en benodigde inzet zonder direct een contract te vereisen.

Wees kritisch op aanbiedingen die opvallend goedkoop zijn. Een laag tarief gaat vaak gepaard met minder begeleiding, generieke documentatie of een consultant die het traject uitbesteedt aan minder ervaren medewerkers. Vraag altijd wie concreet het werk uitvoert en wat diens achtergrond is.

Maak de definitieve keuze op basis van fit en vertrouwen

Met alle informatie op een rij maak je nu de definitieve keuze. Op dit punt heb je de inhoudelijke kwaliteit beoordeeld, de werkwijzen vergeleken en de offertes naast elkaar gelegd. Wat overblijft is de menselijke kant van de samenwerking.

Een ISO 27001-traject duurt doorgaans meerdere maanden en vraagt intensieve samenwerking. De consultant werkt nauw samen met jouw medewerkers, stelt kritische vragen over interne processen en geeft soms ongemakkelijke adviezen. Vertrouwen en een goede werkrelatie zijn daarvoor onmisbaar. Stel jezelf de volgende vragen:

• Communiceert de consultant helder en begrijpelijk, zonder onnodig jargon?
• Voelt de consultant aan als een partner die meedenkt, of als een leverancier die een product aflevert?
• Is er ruimte voor vragen en tussentijdse aanpassingen, of werkt de consultant strikt volgens een vast plan?
• Heeft de consultant aantoonbare ervaring met organisaties die vergelijkbaar zijn met de jouwe?

Kies de consultant waarbij het antwoord op al deze vragen positief is. Als je twijfelt tussen twee kandidaten die inhoudelijk gelijkwaardig zijn, laat dan de klik en het vertrouwen de doorslag geven. Een goed informatiebeveiligingstraject vraagt om een consultant die jouw organisatie echt begrijpt en daarnaar handelt.

Hoe Kwinzo helpt bij ISO 27001-certificering

Wij begeleiden organisaties in zorg, ICT en onderwijs door het volledige ISO 27001-traject, van de eerste nulmeting tot en met de voorbereiding op de externe certificeringsaudit. De Kwinzo-methode combineert slimme standaardisering met persoonlijke begeleiding, zodat de norm aansluit op jouw bedrijfsvoering en niet andersom. Wat wij bieden:

• Een vrijblijvend adviesgesprek met een concrete inschatting van doorlooptijd, kosten en benodigde inzet
• Begeleidingspakketten van doe-het-zelf tot volledige ontzorging, afgestemd op jouw capaciteit
• Toegang tot onze eigen ISMS-tool en bewezen documentatiesjablonen
• Uitvoering van interne audits als generale repetitie voor de externe audit
• Maandelijkse workshops voor Security Officers om kennis actueel te houden
• Een GAP-analyse voor organisaties die naast ISO 27001 ook aan NIS2 moeten voldoen
• Ondersteuning bij aanverwante normen zoals NEN-7510 voor de zorgsector

Wil je weten wat een ISO 27001-traject voor jouw organisatie betekent? Neem contact op voor een vrijblijvend gesprek en ontvang een heldere inschatting op maat.