ISO 27001 audit: zo verloopt de externe audit en zo kies je een certificerende instelling

Een ISO 27001 audit door een certificerende instelling verloopt in twee fasen: fase 1 toetst de documentatie en de scope, fase 2 toetst enkele weken later op locatie of het systeem werkt, met interviews en steekproeven. Daarvoor is een interne audit verplicht. Het certificaat geldt drie jaar, met jaarlijkse controle-audits.

In het kort

• Twee fasen: eerst documentatie en scope, dan werking op locatie.
• De auditor kijkt naar opzet, bestaan en werking: beleid, bewijs dat het is ingevoerd, en bewijs dat het wordt uitgevoerd.
• Eerst een onafhankelijke interne audit en een directiebeoordeling; zonder die twee begint de externe audit niet.
• Kies de instelling op accreditatie, sectorervaring, beschikbaarheid en het aantal auditdagen voor jouw scope.
• Het certificaat geldt drie jaar, met een controle-audit in jaar twee en drie.

Wie voert de ISO 27001 audit uit?

Een certificerende instelling die door de Raad voor Accreditatie is geaccrediteerd voor ISO 27001. De partij die je bij de implementatie heeft begeleid, mag dat nooit zelf doen; die scheiding is een accreditatie-eis en precies de reden dat een certificaat iets waard is. Wij begeleiden trajecten en voeren de interne audit uit, maar certificeren niet.

In de praktijk vragen organisaties bij drie of vier instellingen een offerte aan. In een recent traject bij een softwareontwikkelaar lagen de prijzen van vier instellingen dicht bij elkaar; de verschillen zaten in de doorlooptijd tot de eerste auditdag en in het aantal auditdagen dat de instelling voor de scope rekende. Dat aantal volgt uit het aantal medewerkers en locaties, niet uit de omzet.

Hoe verloopt de ISO 27001 audit in twee fasen?

Fase 1: documentatie en scope. De auditor beoordeelt of het managementsysteem compleet is: de scope, het informatiebeveiligingsbeleid, de risicobeoordeling, de Verklaring van Toepasselijkheid, de interne audit en de directiebeoordeling. Hij toetst of de afbakening houdbaar is en of de documenten bij elkaar passen. De uitkomst is een lijst met punten die voor fase 2 moeten zijn opgelost.

Fase 2: werking. Enkele weken later komt de auditor op locatie en spreekt hij mensen uit verschillende afdelingen. Hij vraagt om bewijs dat maatregelen worden uitgevoerd: een toegangsreview met datum, een hersteltest van de back-up, een trainingsregister, een incidentregister met opvolging, leveranciersbeoordelingen. Dit is het deel waar organisaties die alleen documenten hebben geschreven, door de mand vallen.

Daarna volgt het rapport, met eventuele afwijkingen en de termijn om ze op te lossen, en bij een positief resultaat het certificaat.

Welk bewijs vraagt de auditor?

De vragen zijn concreet en gaan over de werking. Een greep uit wat wij in audits van de afgelopen maanden zagen:

• Een leverancierscertificaat dat verlopen was. Het SOC 2-rapport van een datacenter in het leveranciersdossier was over datum. De oplossing was niet een nieuw certificaat afwachten, maar de contractuele afspraken (raamovereenkomst en dienstniveauovereenkomst) als bewijs aanleveren.
• Een serviceaccount met brede rechten. De auditor wil weten waarom een koppelaccount inkoop, verkoop en betaling mag. Het antwoord is een vastgelegde onderbouwing: het is een systeemkoppeling voor het goedkeuren van facturen, geen gebruikersaccount, en het wordt gemonitord.
• Bewijs voor schijfversleuteling. Een screenshot van het beleid alleen volstond niet; de auditor vroeg om bewijs dat het op alle machines is toegepast.
• De inventaris van bedrijfsmiddelen. Laptops uit het beheersysteem, netwerkapparatuur uit een aparte lijst: de auditor wil per categorie weten wat de bron is en hoe actueel die is.
• De periodieke beoordeling van toegangsrechten. Niet of je een procedure hebt, maar wanneer de laatste beoordeling was en wie hem heeft uitgevoerd.

Het patroon: elke maatregel in de Verklaring van Toepasselijkheid moet naar een document én naar bewijs van uitvoering wijzen.

Welke afwijkingen zien we het vaakst?

1. Bewijs dat niet is vastgelegd. De controle is gedaan, maar nergens staat wanneer en door wie.
2. Een interne audit die niet onafhankelijk is. Uitgevoerd door degene die het systeem heeft gebouwd, of helemaal niet. Hoe het hoort staat in interne audit ISO 27001.
3. Een Verklaring van Toepasselijkheid die niet bij de risicoanalyse past. Maatregelen uitgesloten zonder onderbouwing, of alles van toepassing verklaard zonder bewijs.
4. Periodieke controles die maanden zijn overgeslagen. Een kwartaalreview die drie keer niet is gedaan, kun je twee weken voor de audit niet inhalen.
5. Administratieve slordigheid in het rapport. In een recent geslaagde audit was de enige bevinding een administratieve fout; dat is wat overblijft als het systeem werkt.

Hoe kies je een certificerende instelling?

• Accreditatie. Controleer de instelling in het register van de Raad voor Accreditatie voor ISO 27001. Zonder accreditatie is het certificaat voor klanten en aanbestedingen waardeloos.
• Sectorervaring. Een auditor die je sector kent, stelt betere vragen en accepteert sneller een passende onderbouwing.
• Auditdagen voor jouw scope. Vraag hoeveel dagen de instelling rekent voor fase 1, fase 2 en de controle-audits, en waarop dat is gebaseerd. Een bredere scope betekent meer dagen.
• Beschikbaarheid. Moet het certificaat voor een aanbesteding binnen zijn, dan is de wachttijd tot fase 1 belangrijker dan de prijs.
• De driejaarscyclus. Vergelijk de prijs over drie jaar, inclusief de controle-audits, niet alleen de eerste audit.
• Taal en werkwijze. Interviews in het Nederlands, op locatie of online, en hoe de instelling omgaat met bevindingen tussen fase 1 en 2.

Wat kost de externe audit?

De instelling rekent per auditdag en het aantal dagen volgt uit medewerkers en locaties. Die kosten komen bovenop de begeleiding en je eigen uren; de opbouw van het geheel staat op onze pagina over ISO 27001 kosten. Vraag altijd een offerte voor de volledige cyclus van drie jaar.

Na het certificaat

Het certificaat is het begin van een routine: elk jaar een interne audit, een directiebeoordeling, een bijgewerkte risicobeoordeling en de controle-audit van de instelling. Na drie jaar volgt hercertificering. Organisaties die dat ritme niet op een kalender zetten, zien de afwijkingen in jaar twee terugkomen. Hoe wij een traject tot en met de audit begeleiden, staat bij ISO 27001-implementatie; wat je voor de audit klaar moet hebben, in de checklist voor de auditvoorbereiding.

Veelgestelde vragen

Wie mag een ISO 27001 audit uitvoeren?

Alleen een certificerende instelling die daarvoor is geaccrediteerd, in Nederland door de Raad voor Accreditatie. De partij die je heeft begeleid bij de implementatie mag nooit zelf certificeren; dat is een accreditatie-eis. De verplichte interne audit vooraf mag wel door een adviesbureau worden gedaan, maar niet door de consultant die het systeem heeft helpen bouwen.

Hoe lang duurt een ISO 27001 audit?

Fase 1 duurt meestal een dag, fase 2 enkele weken later een tot meerdere dagen, afhankelijk van het aantal medewerkers en locaties in de scope. Bij drie locaties wordt fase 2 meerdaags. Reken van aanvraag tot certificaat op twee tot drie maanden, vooral door de wachttijd bij de instelling.

Wat gebeurt er als de auditor een afwijking vindt?

Een kleine afwijking los je op met een corrigerende maatregel in het verbeterregister, meestal binnen een afgesproken termijn, en het certificaat wordt daarna verleend. Een grote afwijking, bijvoorbeeld een ontbrekende interne audit of een risicoanalyse die niet bij de maatregelen past, moet eerst zijn opgelost voordat de instelling certificeert.

Hoe lang is het certificaat geldig?

Drie jaar. In het tweede en derde jaar komt de instelling voor een controle-audit van kortere duur; na drie jaar volgt een hercertificering met een volledige audit. Het managementsysteem moet dus elk jaar aantoonbaar blijven draaien, met een interne audit, een directiebeoordeling en een bijgewerkte risicobeoordeling.