ISO 27001-certificering: het stappenplan van scope tot certificaat

ISO 27001-certificering begint zelden waar mensen denken dat het begint. De meeste organisaties slaan de norm open bij Annex A, zien 93 maatregelen staan en gaan die afvinken. Dat is de snelste manier om er maanden naast te zitten. Een certificerende auditor toetst Annex A namelijk niet als lijst. Hij toetst de hoofdtekst van de norm, clausules 4 tot en met 10, en gebruikt Annex A alleen om te controleren of je risicobehandeling logisch is onderbouwd.

Hieronder staat de volgorde waarin een certificeringstraject wel werkt, met per stap waar het in de praktijk misgaat.

Stap 1: de scope bepalen

Clausule 4.3 vraagt je vast te leggen wat je managementsysteem omvat. Dat is de eerste echte beslissing van het traject en meteen de duurste om terug te draaien. De scope bepaalt welke processen, locaties, systemen en mensen binnen het ISMS vallen, en die formulering komt letterlijk op je certificaat te staan.

Er zijn twee kanten om op te vallen. Te ruim, en je moet beleid, bewijs en interne audits organiseren voor afdelingen die niets met je dienstverlening te maken hebben. Te smal, en je klant leest het certificaat, ziet dat juist het systeem waar zijn data in staat erbuiten valt, en stuurt alsnog zijn eigen vragenlijst. Vraag bij twijfel aan je grootste klant of prospect wat hij wil zien. Die vraag beslecht de scopediscussie meestal binnen een kwartier.

Bij het bepalen van de context horen ook clausules 4.1 en 4.2. Sinds het amendement van februari 2024 moet je daar expliciet vaststellen of klimaatverandering een relevant onderwerp is voor je organisatie, en of belanghebbenden daar eisen over stellen. Wie zijn contextanalyse voor 2024 heeft geschreven en sindsdien niet heeft aangeraakt, heeft daar een gat. Meer over die wijziging staat in het artikel over de ISO 27001:2022-update.

Stap 2: vaststellen waar je staat

Een gap-analyse legt naast elkaar wat de norm eist en wat je aantoonbaar hebt. Aantoonbaar is het sleutelwoord. Dat een proces bestaat is niet hetzelfde als dat het is vastgelegd, en dat het is vastgelegd is niet hetzelfde als dat er bewijs ligt dat het draait.

Weeg daarbij de hoofdtekst zwaarder dan Annex A. Risicobeoordeling, doelstellingen, competentie, het beheersen van wijzigingen, interne audit en directiebeoordeling zijn eisen waar geen enkele organisatie onderuit komt. Een Annex A-maatregel kun je onderbouwd uitsluiten. Clausule 9.3 kun je niet uitsluiten.

Stap 3: risicobeoordeling en risicobehandeling

Clausule 6.1.2 vraagt om een proces dat herhaalbaar is en vergelijkbare uitkomsten oplevert, met vooraf vastgelegde acceptatiecriteria. De 2022-versie schrijft geen methode voor. Je mag per informatieasset werken, per proces, per scenario of per dreiging, zolang je maar kunt uitleggen hoe je aan je uitkomsten komt en dezelfde beoordeling later opnieuw tot dezelfde conclusies leidt.

Uit de risicobehandeling volgt welke maatregelen je nodig hebt. Pas daarna kijk je naar Annex A, dat 93 maatregelen bevat in vier thema's: 37 organisatorische, 8 rond mensen, 14 fysieke en 34 technologische. Annex A is bedoeld als controlelijst achteraf, om te toetsen of je niets over het hoofd hebt gezien. Wie ermee begint, laat de risicoanalyse de gekozen maatregelen volgen in plaats van andersom. Dat valt een ervaren auditor onmiddellijk op.

Stap 4: de Verklaring van Toepasselijkheid

De SoA is het document waar auditors het langst in zitten. Clausule 6.1.3 vraagt per Annex A-maatregel drie dingen: is hij van toepassing, is hij geimplementeerd, en waarom. Die derde kolom is waar het misgaat. Een SoA waarin bij vijftien uitsluitingen dezelfde zin staat, is niet ingevuld maar gekopieerd.

Een bruikbare onderbouwing verwijst naar iets buiten het document zelf: een risico uit je eigen analyse, een contractuele eis, een wettelijke verplichting, of het simpele feit dat je geen ontwikkelafdeling hebt. Hoe je die opbouwt staat in het artikel over de Verklaring van Toepasselijkheid.

Stap 5: implementeren en bewijs laten ontstaan

De norm schrijft een reeks documenten en registraties voor die er hoe dan ook moeten zijn: de scope, het informatiebeveiligingsbeleid, het risicobeoordelings- en risicobehandelingsproces met de uitkomsten daarvan, de SoA, de doelstellingen, bewijs van competentie, resultaten van monitoring en meting, het auditprogramma met de auditresultaten, de uitkomsten van de directiebeoordeling en de vastlegging van afwijkingen en corrigerende maatregelen.

Belangrijker dan de lijst is het tijdsaspect. Een auditor stelt niet alleen vast dat een maatregel bestaat, maar ook dat hij heeft gewerkt. Daarvoor heeft hij registraties nodig over een periode: toegangsbeoordelingen die daadwerkelijk zijn uitgevoerd, wijzigingen die zijn goedgekeurd, incidenten die zijn afgehandeld. Een maatregel die twee weken voor stage 2 is ingericht heeft niets om een steekproef over te trekken. Begin daarom vroeg met de processen die bewijs produceren, ook als het beleid eromheen nog niet af is.

Stap 6: interne audit en directiebeoordeling

Beide zijn verplicht en beide moeten hebben plaatsgevonden voordat de certificerende auditor aan stage 2 begint. Dit onderdeel wordt het vaakst onderschat, omdat het geen techniek vraagt maar agenda.

Clausule 9.2 vraagt een auditprogramma dat objectief en onpartijdig is. In de praktijk betekent dat: wie de maatregel heeft ingericht, beoordeelt hem niet zelf. In een klein team is dat lastig, en dan is een uitbestede interne audit de gebruikelijke oplossing. Een interne audit die alleen bevestigt dat alles in orde is, is bovendien een signaal op zich. Nul bevindingen in een eerste jaar betekent zelden dat er niets te vinden was.

Clausule 9.3 somt op wat er in de directiebeoordeling langs moet komen: de status van eerdere acties, wijzigingen in de context, de prestaties van het ISMS, auditresultaten, terugkoppeling van belanghebbenden, de risicostatus en kansen voor verbetering. De uitkomst moet besluiten bevatten over verbeteringen en over middelen. Een notulenregel dat het ISMS is besproken haalt stage 2 niet.

Stap 7: de certificerende instelling kiezen

Certificering wordt uitgevoerd door een certificerende instelling die daarvoor geaccrediteerd is. In Nederland houdt de Raad voor Accreditatie het register bij van instellingen die zijn beoordeeld tegen ISO/IEC 17021-1 en ISO/IEC 27006-1. Een certificaat van een niet-geaccrediteerde partij is niet waardeloos, maar veel inkoopafdelingen accepteren het niet. Controleer dat dus voordat je tekent.

Twee praktische punten daarbij. De auditduur ligt niet vrij: ISO/IEC 27006-1 koppelt het aantal auditdagen aan het aantal mensen dat werk verricht binnen de scope, met bijstelling naar boven of beneden voor complexiteit. Een offerte die daar ver onder duikt, verdient een vraag.

En dan de onafhankelijkheid. Een instelling die je heeft geadviseerd bij het inrichten van je ISMS mag je daarna niet certificeren. ISO/IEC 17021-1 hanteert daarvoor een periode van twee jaar. Dat is geen formaliteit maar precies waar de waarde van het certificaat op rust. Voorbereiding en certificering horen bij verschillende partijen, wat ook betekent dat je adviseur je nooit het certificaat kan bezorgen. Alleen de gereedheid ervoor. Wat wij in die voorbereidende rol doen, staat op de pagina over compliance.

Stap 8: stage 1 en stage 2

De certificeringsaudit bestaat uit twee delen.

Stage 1 is een beoordeling van je documentatie en je gereedheid. De auditor kijkt of de scope klopt, of de verplichte documenten er zijn, of interne audit en directiebeoordeling zijn uitgevoerd, en of het zin heeft om stage 2 in te plannen. De uitkomst is doorgaans geen bevindingenlijst maar een lijst aandachtspunten. Neem die serieus, want ze komen in stage 2 terug.

Stage 2 is de inhoudelijke audit, die grotendeels op locatie plaatsvindt. Daar toetst de auditor of het systeem werkt: hij spreekt medewerkers, vraagt bewijs op, trekt steekproeven en vergelijkt de praktijk met wat er is opgeschreven.

Bevindingen worden ingedeeld in majors en minors. Een major is een eis die structureel niet wordt ingevuld; die moet zijn opgelost en geverifieerd voordat het certificaat wordt afgegeven. Bij een minor volstaat meestal een geaccepteerd plan van aanpak, dat bij de eerstvolgende audit wordt gecontroleerd. Observaties zijn geen afwijkingen, maar ze wijzen wel de plek aan waar volgend jaar een minor kan ontstaan.

Wil je vooraf weten hoe je hierin zou staan, dan is een audit readiness assessment de generale repetitie.

Wat er na het certificaat gebeurt

Het certificaat is drie jaar geldig. In die drie jaar komt de instelling elk jaar terug voor een surveillance-audit, waarvan de eerste binnen twaalf maanden na het certificatiebesluit moet plaatsvinden. Die audits zijn korter en beperken zich tot een deel van het systeem, aangevuld met vaste onderwerpen als klachten, wijzigingen, interne audit en directiebeoordeling. In het derde jaar volgt een hercertificeringsaudit, die het hele systeem opnieuw beoordeelt.

De cyclus is daarmee doorlopend, en dat is de bedoeling van de norm. Wie het ISMS na de certificering laat liggen en drie weken voor de surveillance-audit weer opstart, betaalt daar de tweede keer meer voor dan de eerste.

Vier patronen waarop trajecten vastlopen

De scope volgt de ambitie in plaats van de werkelijkheid. Een organisatie certificeert het hele bedrijf omdat dat beter staat, en ontdekt bij stage 2 dat er voor drie afdelingen geen enkel bewijs is.

Het bewijs is jonger dan de audit. Maatregelen zijn vlak voor stage 2 ingericht, dus er valt geen steekproef over te trekken. De auditor kan dan vaststellen dat de maatregel bestaat, niet dat hij werkt.

De interne audit is uitgevoerd door degene die het systeem heeft gebouwd. Dat is niet objectief in de zin van clausule 9.2, en het levert bovendien geen bevindingen op waar je iets aan hebt.

Na de certificering is niemand eigenaar. Het ISMS was een project met een einddatum in plaats van een proces, en dat komt bij de eerste surveillance-audit boven water.

Achter alle vier zit hetzelfde misverstand: certificering wordt behandeld als een eindpunt, terwijl de norm een systeem beschrijft dat blijft draaien. Wie de scope eerlijk kiest, op tijd begint met het opbouwen van bewijs en de interne audit serieus neemt, houdt aan stage 2 weinig verrassingen over.