Een ISO 27001-certificaat is drie jaar geldig. Binnen die drie jaar voert een certificerende instelling jaarlijkse surveillanceaudits uit om te controleren of je managementsysteem nog steeds voldoet aan de norm. Na het derde jaar vervalt het certificaat tenzij je een volledige hercertificeringsaudit doorloopt. In dit artikel beantwoorden we de meest gestelde vragen over de geldigheid, het verlopen en de hercertificering van je ISO 27001-certificaat.
Hoe lang is een ISO 27001-certificaat geldig?
Een ISO 27001-certificaat is geldig voor een periode van drie jaar. Na de initiële certificeringsaudit ontvangt je organisatie een certificaat met een vaste vervaldatum, drie jaar na de datum van afgifte. Gedurende die drie jaar moet je aantonen dat je informatiebeveiligingsmanagementsysteem (ISMS) actief wordt onderhouden en verbeterd.
De geldigheid van drie jaar betekent niet dat je drie jaar lang niets hoeft te doen. De certificerende instelling beoordeelt je systeem elk jaar opnieuw via een surveillanceaudit. Alleen als je die audits met succes doorloopt, blijft je ISO 27001-certificaat geldig tot het einde van de driejarige cyclus. Het certificaat is daarmee geen statisch document, maar een bewijs van doorlopende naleving.
Wat zijn surveillanceaudits en wanneer vinden ze plaats?
Surveillanceaudits zijn tussentijdse beoordelingen door je certificerende instelling die plaatsvinden in het eerste en tweede jaar na de initiële certificering. Ze zijn lichter dan de volledige certificeringsaudit, maar toetsen wel of je ISMS operationeel blijft, of verbeteringen worden doorgevoerd en of de managementreview actueel is.
Tijdens een surveillanceaudit kijkt de auditor doorgaans naar een selectie van onderdelen uit de norm, zoals:
- De uitkomsten van interne audits en de opvolging van bevindingen
- De resultaten van de managementreview
- De voortgang op eerder vastgestelde verbeterpunten
- Wijzigingen in de organisatie die invloed hebben op het ISMS
- De werking van risicobeheersmaatregelen
Een surveillanceaudit neemt minder tijd in beslag dan de initiële audit, maar mag niet worden onderschat. Organisaties die hun ISMS tussen audits laten versloffen, lopen het risico op een negatieve beoordeling of zelfs schorsing van het certificaat. Actief onderhoud van je ISMS gedurende het hele jaar is dan ook geen luxe, maar een vereiste.
Klaar voor de volgende stap?
Tijdens de Quickscan brengt een consultant in één uur je huidige beleid en maatregelen in kaart en krijg je direct praktisch advies. Liever eerst sparren? Plan een vrijblijvend adviesgesprek.
Wat gebeurt er als je certificaat verloopt zonder hercertificering?
Als je ISO 27001-certificaat verloopt en je geen hercertificeringsaudit hebt doorlopen, verliest het certificaat zijn geldigheid. Je organisatie mag op dat moment niet langer claimen ISO 27001-gecertificeerd te zijn. Dit heeft directe gevolgen voor je positie in aanbestedingen, leveranciersbeoordelingen en klantrelaties.
In de praktijk betekent een verlopen certificaat dat je het volledige certificeringstraject opnieuw moet doorlopen, inclusief een volledige Stage 1- en Stage 2-audit. Hoeveel extra tijd en inspanning dit kost, hangt af van de omvang van je organisatie, de complexiteit van je ISMS en de beschikbaarheid van de certificerende instelling. Wel staat vast dat een tijdige hercertificering doorgaans aanzienlijk minder belastend is dan een volledig nieuw traject. Bovendien kan een gat in je certificeringsgeschiedenis vragen oproepen bij opdrachtgevers die ISO 27001 als contractuele eis stellen.
Voor organisaties die werken met NIS2-plichtige opdrachtgevers of in sectoren zoals zorg en ICT, is een ononderbroken certificeringsstatus extra belangrijk. Opdrachtgevers kunnen strengere eisen stellen aan hun leveranciers, en een verlopen certificaat kan het verschil maken bij een aanbesteding. Meer over de relatie tussen ISO 27001 en andere normen lees je op de normen-overzichtspagina.
Hoe verloopt de hercertificeringsaudit na drie jaar?
De hercertificeringsaudit, ook wel recertificatie of hernieuwde certificering genoemd, is een volledige herbeoordeling van je ISMS aan het einde van de driejarige certificeringscyclus. De audit bestaat uit twee fasen: een documentatiebeoordeling (Stage 1) en een uitvoeringsaudit (Stage 2), vergelijkbaar met de initiële certificering.
Tijdens de hercertificeringsaudit beoordeelt de certificerende instelling niet alleen de actuele staat van je ISMS, maar ook de prestaties over de gehele driejarige periode. Denk aan:
- De effectiviteit van het ISMS over de afgelopen drie jaar
- De opvolging van bevindingen uit eerdere surveillanceaudits
- De mate van continue verbetering
- De betrokkenheid van het management
- De volledigheid en actualiteit van de documentatie
Als de hercertificeringsaudit succesvol wordt afgerond, ontvangt je organisatie een nieuw certificaat met een nieuwe vervaldatum, drie jaar later. De cyclus van jaarlijkse surveillanceaudits begint dan opnieuw. Een goed voorbereide interne audit voorafgaand aan de hercertificering helpt om zwakke punten tijdig te identificeren.
Wanneer moet je beginnen met de voorbereiding op hercertificering?
Begin met de voorbereiding op de ISO 27001-hercertificering minimaal zes maanden voor de vervaldatum van je huidige certificaat. Dit geeft je voldoende tijd om een interne audit uit te voeren, bevindingen op te lossen en de benodigde documentatie op orde te brengen voordat de externe auditor langskomt.
In de praktijk is een jaar van tevoren beginnen met bewust onderhoud nog beter. De hercertificeringsaudit beoordeelt immers de prestaties over de gehele driejarige cyclus. Organisaties die hun ISMS doorlopend actief beheren, hebben bij de hercertificering aanzienlijk minder werk dan organisaties die kort voor de deadline alles in gereedheid brengen.
Een realistische voorbereiding ziet er als volgt uit:
- Twaalf maanden voor vervaldatum: Controleer of alle beleidsdocumenten en risicobeoordelingen actueel zijn
- Zes tot negen maanden voor vervaldatum: Voer een interne audit uit op alle relevante onderdelen van de norm
- Drie tot zes maanden voor vervaldatum: Verwerk de uitkomsten van de interne audit en voer een managementreview uit
- Twee tot drie maanden voor vervaldatum: Plan de hercertificeringsaudit met de certificerende instelling
- Direct voor de audit: Zorg dat alle documentatie compleet en toegankelijk is voor de auditor
Kan een ISO 27001-certificaat tussentijds worden ingetrokken?
Ja, een ISO 27001-certificaat kan tussentijds worden geschorst of ingetrokken door de certificerende instelling. Dit gebeurt wanneer een organisatie niet langer voldoet aan de eisen van de norm, een surveillanceaudit niet doorstaat, of weigert mee te werken aan een audit. Schorsing betekent dat het certificaat tijdelijk niet geldig is; intrekking is definitief.
Veelvoorkomende redenen voor schorsing of intrekking zijn:
- Ernstige of herhaalde non-conformiteiten die niet tijdig worden opgelost
- Het niet uitvoeren van verplichte interne audits of managementreviews
- Weigering van toegang voor de certificerende instelling tijdens een audit
- Ingrijpende organisatiewijzigingen die niet zijn gemeld aan de certificerende instelling
- Onjuist gebruik van het certificaatlogo of misleidende communicatie over de certificeringsstatus
Bij schorsing krijgt een organisatie doorgaans een hersteltermijn om de tekortkomingen te verhelpen. Lukt dat niet binnen de gestelde termijn, dan volgt intrekking. Het certificaat is dan niet langer geldig en de organisatie moet het volledige certificeringstraject opnieuw doorlopen om opnieuw gecertificeerd te worden.
Hoe Kwinzo helpt bij ISO 27001-hercertificering
Kwinzo begeleidt organisaties niet alleen bij de initiële ISO 27001-certificering, maar ook bij het doorlopend onderhouden van het ISMS en de voorbereiding op hercertificering. Onze aanpak is gericht op een systeem dat écht werkt in de praktijk, niet alleen op papier. Concreet bieden wij:
- Doorlopend ISMS-beheer: We helpen je het managementsysteem actueel en werkend te houden gedurende de hele driejarige cyclus
- Onafhankelijke interne audits: Uitgevoerd door een andere consultant dan je vaste begeleider, zodat je een objectief beeld krijgt van je gereedheid voor de externe audit
- Maandelijkse workshops: Voor Security Officers die hun kennis willen verdiepen en actueel houden
- Eigen ISMS-tool: Slimme standaardisering met ruimte voor maatwerk, zodat documentatie en opvolging efficiënt verlopen
- Begeleiding op maat: Van volledige ontzorging tot een doe-het-zelf-aanpak, afgestemd op de ervaring en capaciteit van jouw organisatie
Wil je weten hoe je organisatie er voor staat richting de hercertificering, of wil je voorkomen dat je certificaat onverwacht verloopt? Neem contact op voor een vrijblijvend adviesgesprek.
Klaar voor de volgende stap?
Tijdens de Quickscan brengt een consultant in één uur je huidige beleid en maatregelen in kaart en krijg je direct praktisch advies. Liever eerst sparren? Plan een vrijblijvend adviesgesprek.