De hercertificering van ISO 27001 vindt na drie jaar plaats en is een volledige herziening van het informatiebeveiligingsmanagementsysteem. Dit proces controleert of organisaties hun beveiligingsnormen nog steeds naleven en continu verbeteren. De hercertificering duurt ongeveer zes tot acht weken en omvat een documentatiereview, on-site audits en een beoordeling van alle beveiligingsmaatregelen.
Wat houdt hercertificering na drie jaar precies in?
Hercertificering is een volledige hernieuwing van het ISO 27001-certificaat na drie jaar. Dit proces controleert of organisaties hun informatiebeveiligingsmanagementsysteem nog steeds effectief onderhouden en continu verbeteren volgens de norm.
De driejaarstermijn bestaat omdat informatiebeveiliging een dynamisch vakgebied is. Bedreigingen veranderen voortdurend, technologieën ontwikkelen zich snel en organisaties groeien. Na drie jaar wil de certificeringsinstelling daarom opnieuw beoordelen of het beveiligingssysteem nog adequaat functioneert.
Het verschil met de initiële certificering zit in de diepgang. Bij hercertificering kijkt de auditor naar de ontwikkeling van het systeem over drie jaar. Zijn verbeteringen doorgevoerd? Worden interne audits uitgevoerd? Functioneert de cyclus van plannen, uitvoeren, controleren en verbeteren?
De hercertificeringsaudit bestaat uit twee fasen. Fase één controleert de documentatie en de voorbereiding. Fase twee beoordeelt de praktische implementatie en de effectiviteit van alle beveiligingsmaatregelen binnen de organisatie.
Hoe bereid je je voor op de hercertificeringsaudit?
Een goede voorbereiding begint zes maanden voor de hercertificering met een grondige evaluatie van het huidige informatiebeveiligingsmanagementsysteem. Controleer of alle processen nog actueel zijn en of de documentatie up-to-date is.
Belangrijke voorbereidingsstappen zijn:
- Het uitvoeren van een interne audit om zwakke punten te identificeren
- Het updaten van al het beveiligingsbeleid en alle procedures
- Controleren of risicoanalyses nog actueel zijn
- Het organiseren van een managementreview om het systeem te evalueren
- Het verzamelen van bewijs voor continue verbetering
De ISO 27001-begeleiding helpt organisaties systematisch door deze voorbereidingsfase. Let vooral op het documenteren van verbeteringen die de afgelopen drie jaar zijn doorgevoerd.
Train medewerkers opnieuw in beveiligingsprocedures. De auditor zal willekeurig personeel ondervragen over hun kennis van beveiligingsmaatregelen. Zorg dat iedereen weet wat er van hen wordt verwacht en hoe ze moeten reageren op beveiligingsincidenten.
Wat gebeurt er als je hercertificering niet slaagt?
Bij een niet-succesvolle hercertificering vervalt het ISO 27001-certificaat en verliest de organisatie officieel haar gecertificeerde status. Dit kan ernstige gevolgen hebben voor zakelijke relaties, vooral met klanten die certificering verplicht stellen.
De certificeringsinstelling geeft meestal een overgangstermijn van zes maanden. In deze periode behoudt de organisatie een tijdelijke status, maar mag zij zich niet langer officieel ISO 27001-gecertificeerd noemen.
Mogelijke vervolgstappen na een mislukte hercertificering:
- Het onmiddellijk aanpakken van alle geïdentificeerde non-conformiteiten
- Het uitvoeren van corrigerende maatregelen met een tijdlijn
- Het plannen van een vervolgaudit binnen de overgangstermijn
- Het overwegen van externe ondersteuning voor snelle verbetering
Organisaties kunnen meestal binnen drie tot zes maanden een nieuwe hercertificeringsaudit aanvragen. De kosten hiervoor zijn vergelijkbaar met die van de oorspronkelijke audit, omdat het proces volledig opnieuw doorlopen moet worden.
Preventie is echter beter dan herstel. Regelmatige interne audits en continue monitoring van het beveiligingssysteem voorkomen onaangename verrassingen tijdens de hercertificering.
Hoeveel tijd en kosten zijn gemoeid met hercertificering?
Het hercertificeringsproces duurt zes tot acht weken vanaf de aanvraag tot het ontvangen van het nieuwe certificaat. De voorbereiding vraagt ongeveer twee tot vier uur per week gedurende enkele maanden voorafgaand aan de audit.
De doorlooptijd hangt af van verschillende factoren:
- De grootte en complexiteit van de organisatie
- De kwaliteit van de voorbereiding en documentatie
- Het aantal locaties dat geauditeerd moet worden
- De beschikbaarheid van de certificeringsinstelling
Kostenmatig ligt hercertificering vaak 10-20% lager dan de initiële certificering. De auditor kent de organisatie al en hoeft minder tijd te besteden aan het begrijpen van de bedrijfsvoering. Wel moet het volledige systeem opnieuw beoordeeld worden.
Organisaties die hun beveiligingssysteem goed onderhouden, kunnen rekenen op een soepeler verloop. Bedrijven die drie jaar weinig aandacht aan hun ISO 27001-systeem hebben besteed, moeten meer tijd en geld investeren in herstelwerkzaamheden.
De investering in hercertificering loont zich door het behoud van klantvertrouwen, compliance met regelgeving zoals NIS2 en het aantonen van professioneel informatiebeveiligingsbeheer aan alle stakeholders.
Hoe IT Aanspreekpunt helpt met hercertificering
Wij begeleiden organisaties volledig door het hercertificeringsproces en zorgen dat je ISO 27001-certificaat zonder problemen wordt verlengd. Onze aanpak omvat:
- Grondige voorbereiding met een gap-analyse en documentatie-update
- Het uitvoeren van interne audits om zwakke punten vroegtijdig te identificeren
- Begeleiding tijdens de externe audit, van voorbereiding tot certificaat
- Continue ondersteuning bij het onderhouden van je beveiligingssysteem
Als Microsoft 365-specialist integreren we informatiebeveiliging naadloos met je bestaande IT-infrastructuur. Hierdoor blijft je organisatie niet alleen compliant, maar wordt zij ook operationeel sterker.
Wil je zorgeloos door je hercertificering? Neem contact met ons op voor een vrijblijvend gesprek over je situatie.
Gerelateerde artikelen