Wie een certificaat beoordeelt, moet verder kijken dan het logo. Controleer de scope, vestigingen, normversie, geldigheidsdatum en de certificatie-instelling. Zo voorkomt u dat een beperkt certificaat breder wordt uitgelegd dan terecht is.
Wat is een ISO 27001-certificaat?
Het certificaat is de uitkomst van een externe certificatie-audit. De auditor beoordeelt of het ISMS aan de normeisen voldoet en in de praktijk werkt. Kynexis begeleidt organisaties en voert interne audits uit, maar geeft zelf geen ISO 27001-certificaten af.
Wat staat er op een ISO 27001-certificaat?
- naam en adres van de gecertificeerde organisatie
- de scope: activiteiten, diensten en locaties waarop het certificaat ziet
- de toegepaste normversie
- certificaatnummer en datum van afgifte
- geldigheidsduur of vervaldatum
- naam en kenmerken van de certificatie-instelling
Lees ook de scopeverklaring en eventuele bijlagen. Een leverancier kan gecertificeerd zijn voor één dienst of vestiging terwijl uw afgenomen dienst buiten de scope valt.
Wie mag een ISO 27001-certificaat afgeven?
Een certificatie-instelling voert de externe audit uit en geeft het certificaat af. Accreditatie geeft extra vertrouwen dat de instelling deskundig en onafhankelijk is beoordeeld. In Nederland publiceert de Raad voor Accreditatie een register van geaccrediteerde instellingen.
Hoe krijgt u een ISO 27001-certificaat?
- Bepaal de scope en context van het ISMS.
- Voer een risicoanalyse uit en behandel risico’s.
- Richt beleid, processen, rollen en bewijs in.
- Laat het ISMS voldoende lang werken.
- Voer interne audit en directiebeoordeling uit.
- Los relevante afwijkingen op.
- Selecteer een passende certificatie-instelling.
- Doorloop fase 1 en fase 2 van de certificatie-audit.
Hoe lang is een ISO 27001-certificaat geldig?
Certificering werkt doorgaans in een cyclus van drie jaar. Tussentijds voert de certificatie-instelling surveillance-audits uit. Aan het einde volgt hercertificering. Ernstige of niet tijdig opgeloste afwijkingen kunnen de status beïnvloeden.
Wat gebeurt er na certificering?
Het ISMS blijft actief. Risico’s veranderen, medewerkers wisselen, leveranciers en systemen worden aangepast. De organisatie blijft interne audits, directiebeoordeling, risico-evaluatie en verbeteracties uitvoeren.
Hoe controleert u een ISO 27001-certificaat?
- controleer de organisatiegegevens en vestigingen
- lees de scope letterlijk
- controleer normversie en geldigheidsdatum
- verifieer certificaatnummer bij de certificatie-instelling
- controleer, indien relevant, de accreditatiestatus
- vraag naar uitzonderingen of schorsingen wanneer daar aanleiding voor is
Wat zegt een ISO 27001-certificaat wel en niet?
Het certificaat geeft vertrouwen in het managementsysteem binnen de scope. Het is geen garantie dat nooit een incident ontstaat, dat ieder product veilig is of dat alle wettelijke verplichtingen automatisch zijn ingevuld. Gebruik het als één onderdeel van uw leveranciers- of klantbeoordeling.
Veelgestelde vragen
Veelgestelde vragen
Wat is een ISO 27001-certificaat?
Een ISO 27001-certificaat is een verklaring van een onafhankelijke certificatie-instelling dat het ISMS binnen de vermelde scope aan ISO/IEC 27001 voldoet.
Wie mag een ISO 27001-certificaat afgeven?
Certificatie-instellingen geven certificaten af. Voor extra zekerheid kunt u controleren of de instelling voor deze activiteit is geaccrediteerd.
Hoe lang is een ISO 27001-certificaat geldig?
Een certificaat maakt doorgaans deel uit van een driejarige certificatiecyclus met periodieke surveillance-audits. Geldigheid blijft afhankelijk van de voorwaarden en succesvolle audits.
Zegt een certificaat dat een organisatie nooit een incident krijgt?
Nee. Het certificaat zegt iets over het managementsysteem binnen de scope en op het moment van toetsing, niet dat ieder beveiligingsrisico is verdwenen.
Bronnen
