Wat bepaalt hoe lang ISO 27001-certificering duurt?

De ISO 27001 doorlooptijd varieert sterk per organisatie. Waar het ene bedrijf binnen zes maanden klaar is voor de externe audit, heeft een ander anderhalf jaar nodig. Dat verschil zit niet in toeval, maar in keuzes en voorbereiding. Wie begrijpt welke factoren de doorlooptijd bepalen, kan het proces actief sturen in plaats van er achteraan lopen.

Deze gids legt stap voor stap uit hoe je de ISO 27001 certificering zo efficiënt mogelijk aanpakt. Van het in kaart brengen van je organisatie tot het strategisch inplannen van de externe audit: elke stap bouwt voort op de vorige en geeft je concrete handvatten om grip te houden op het proces.

Breng de omvang van je organisatie in kaart

Voordat je ook maar één document opstelt, moet je weten wat je precies gaat beveiligen. De omvang en complexiteit van je organisatie zijn de belangrijkste voorspellers van de ISO 27001 doorlooptijd. Een organisatie met tien medewerkers en één locatie doorloopt het traject fundamenteel anders dan een organisatie met honderd medewerkers, meerdere vestigingen en een uitgebreid leveranciersnetwerk.

Bepaal in deze fase het toepassingsgebied van je ISO 27001-implementatie, ook wel de scope genoemd. Stel jezelf de volgende vragen:

• Welke afdelingen, systemen en processen vallen binnen de scope?
• Hoeveel medewerkers zijn betrokken bij de verwerking van gevoelige informatie?
• Zijn er externe partijen, zoals leveranciers of verwerkers, die toegang hebben tot je gegevens?
• Hoe complex is je IT-infrastructuur?

Een smallere scope verkort de doorlooptijd aanzienlijk, maar kies bewust. Een scope die te smal is, geeft een vals gevoel van veiligheid en kan problemen opleveren bij de externe audit. Leg je scopekeuze goed vast en onderbouw waarom bepaalde onderdelen wel of niet zijn meegenomen. Dit document vormt later de basis van je managementsysteem.

Beoordeel de huidige staat van informatiebeveiliging

Met de scope helder, is de volgende stap een eerlijke beoordeling van waar je nu staat. Dit noemen we een nulmeting of GAP-analyse: je vergelijkt de huidige situatie met wat ISO 27001 vereist en brengt in kaart welke maatregelen al aanwezig zijn en welke ontbreken. De uitkomst van deze analyse bepaalt in grote mate hoeveel implementatiewerk er nog voor je ligt.

Voer de nulmeting gestructureerd uit:

1. Loop de eisen van de norm systematisch door en beoordeel per eis of je organisatie al voldoet, gedeeltelijk voldoet, of nog niets heeft ingericht.
2. Breng de risico’s in kaart die specifiek zijn voor jouw organisatie, sector en informatiestromen.
3. Prioriteer de geconstateerde tekortkomingen op basis van risico en impact.
4. Stel een lijst op van benodigde maatregelen, verdeeld in technische, organisatorische en procesmatige acties.

Na deze stap weet je precies hoe groot de afstand is tussen je huidige situatie en certificering. Organisaties die al werken met een informatiebeveiligingsbeleid, risicomanagement of een vergelijkbare norm zoals NEN-7510 hebben hier een voorsprong. Voor hen is de doorlooptijd doorgaans korter omdat veel fundament al aanwezig is.

Stel een realistisch implementatieplan op

Op basis van de GAP-analyse stel je een implementatieplan op. Dit plan is je routekaart voor de komende maanden en bepaalt in hoge mate of je de certificering haalt binnen de beoogde termijn. Een realistisch plan houdt rekening met de beschikbare capaciteit binnen je organisatie, want ISO 27001-implementatie vraagt tijd van medewerkers naast hun dagelijkse werk.

Een goed implementatieplan bevat minimaal de volgende elementen:

• Een fasering van activiteiten met concrete deadlines per fase
• Duidelijke eigenaarschappen: wie is verantwoordelijk voor welke maatregel?
• Een realistisch tijdpad gebaseerd op beschikbare uren per week
• Ruimte voor review, correctie en herhaling van activiteiten
• Een moment waarop het managementsysteem operationeel is en aantoonbaar wordt toegepast

Een veelgemaakte fout is het onderschatten van de operationele fase. ISO 27001 vereist niet alleen dat je maatregelen inricht, maar ook dat je aantoont dat ze werken. Reken minimaal drie tot zes maanden in voor de periode waarin je managementsysteem aantoonbaar draait voordat je de interne audit inplant. De begeleiding bij implementatie kan helpen om dit tijdpad realistisch te houden en veelgemaakte vertragingen te voorkomen.

Voer de interne audit uit op het juiste moment

De interne audit is een verplicht onderdeel van ISO 27001 en dient als een serieuze toets van je managementsysteem, niet als een formaliteit. Het juiste moment voor de interne audit is nadat het systeem een periode aantoonbaar heeft gedraaid en je voldoende bewijs hebt verzameld dat de maatregelen daadwerkelijk worden toegepast.

Plan de interne audit zorgvuldig:

1. Zorg dat de interne auditor onafhankelijk is van de processen die worden geauditeerd. Laat nooit iemand zijn eigen werk beoordelen.
2. Gebruik een gestructureerd auditprogramma dat alle relevante onderdelen van de norm dekt.
3. Documenteer bevindingen nauwkeurig: zowel sterke punten als verbeterpunten.
4. Stel voor elke afwijking een correctieve maatregel op met een eigenaar en deadline.
5. Voer een managementbeoordeling uit na de interne audit en verwerk de uitkomsten aantoonbaar.

De interne audit werkt het beste als een generale repetitie voor de externe certificering. Bevindingen die hier naar boven komen, zijn waardevol: je hebt nog de kans om ze te corrigeren voordat een externe auditor langskomt. Zie de uitkomst dus niet als falen, maar als stuurinformatie. Meer informatie over hoe een interne audit in de praktijk werkt, vind je op onze dienstenpagina.

Plan de externe audit strategisch in

Met een succesvolle interne audit achter de rug en de correctieve maatregelen afgerond, ben je klaar voor de externe certificeringsaudit. Deze audit wordt uitgevoerd door een geaccrediteerde certificerende instelling en bestaat doorgaans uit twee fasen: een documentbeoordeling (fase 1) en een uitvoeringsaudit op locatie (fase 2).

Strategisch inplannen van de externe audit betekent het volgende:

1. Kies een certificerende instelling vroeg in het traject. De planning bij erkende instellingen kan meerdere weken tot maanden vooruit lopen.
2. Zorg dat alle vereiste documentatie compleet en actueel is voor fase 1. Denk aan het ISMS-beleid, de risicoanalyse, het behandelplan en de resultaten van de interne audit.
3. Bereid medewerkers voor op de fase 2-audit: zij moeten kunnen uitleggen hoe de maatregelen in de praktijk werken, niet alleen op papier.
4. Plan voldoende hersteltijd tussen fase 1 en fase 2 in voor het geval de auditor aanvullende documentatie of aanpassingen vraagt.

Na een geslaagde externe audit ontvang je het ISO 27001-certificaat, dat drie jaar geldig is. In die periode vinden jaarlijkse bewakingsaudits plaats om aan te tonen dat je managementsysteem actief wordt onderhouden. De ISO 27001 certificering is daarmee geen eindpunt, maar het begin van een cyclus van continue verbetering.

Hoe wij helpen met ISO 27001 certificering

Kwinzo begeleidt organisaties in zorg, ICT en onderwijs door het volledige ISO 27001-traject, van de eerste nulmeting tot en met de voorbereiding op de externe audit. Onze aanpak kenmerkt zich door slimme standaardisering gecombineerd met persoonlijke begeleiding, zodat je profiteert van een efficiënt proces zonder in te leveren op maatwerk.

Wat wij concreet bieden:

• Een vaste consultant per klant, ondersteund door een volledig team en maandelijkse kennissessies
• Een GAP-analyse als startpunt, zodat je direct weet waar je staat en wat er nog moet gebeuren
• Begeleiding bij de implementatie van het ISMS, afgestemd op jouw sector en bedrijfsvoering
• Onafhankelijke interne audits, altijd uitgevoerd door een andere consultant dan de begeleidende consultant
• Een eigen ISMS-tool en bewezen templates die het implementatieproces versnellen
• Maandelijkse workshops voor Security Officers om kennis actueel te houden
• Begeleidingspakketten die variëren van volledig ontzorgen tot een doe-het-zelf-aanpak met coaching

Wil je weten hoe lang jouw ISO 27001-implementatie realistisch duurt en wat daarvoor nodig is? Neem contact op voor een vrijblijvend adviesgesprek. We maken graag een concrete inschatting van doorlooptijd en benodigde inzet, afgestemd op de omvang, complexiteit en volwassenheid van jouw organisatie.