Van AI-inventaris naar ISO 42001-certificering
We bouwen je managementsysteem voor AI, doen de impactbeoordelingen en zorgen dat je aantoonbaar in control bent, ingebouwd in wat je al hebt staan voor informatiebeveiliging. Je start met een AI-inventaris en een GAP-analyse voor een vaste prijs van €3.000.
- Actueel op de wetgeving van 2026
- Ingebouwd in ISO 27001 of NEN 7510
- Vrijblijvende kennismaking
100+ organisaties gingen je voor
Waarom je hier nu iets mee moet
De wet loopt al, ook al is een deel uitgesteld
Je gebruikt AI, of je organisatie doet het zonder dat het ergens is vastgelegd. ISO 42001 brengt daar structuur in, en de Europese AI-verordening maakt het een kwestie van tijd. De AI-verordening is sinds 1 augustus 2024 in werking en wordt gefaseerd van toepassing. De verboden praktijken en de eis van AI-vaardigheid bij medewerkers gelden sinds 2 februari 2025. De verplichtingen voor AI voor algemene doeleinden gelden sinds 2 augustus 2025 en de transparantieverplichtingen sinds 2 augustus 2026. Met het Digital Omnibus-pakket, dat op 27 juli 2026 in werking is getreden, zijn de zware verplichtingen voor hoogrisicosystemen opgeschoven naar 2 december 2027, en voor AI die in producten is ingebouwd naar 2 augustus 2028. Dat is lucht, maar geen vrijstelling: de eis dat je weet wat je gebruikt en dat je medewerkers ermee kunnen omgaan, geldt nu al.
Het probleem is bijna nooit techniek
In onze trajecten zit het knelpunt zelden in de modellen. Het zit in het feit dat niemand precies weet welke AI er in gebruik is. Medewerkers hebben handige hulpmiddelen gevonden, leveranciers hebben functies aangezet in software die je al had, en ergens draait een pilot die nooit formeel is afgerond. Zolang dat beeld ontbreekt, is elk beleidsstuk een aanname. Daarom begint ons traject met een inventaris en niet met een document.
Wat je uiteindelijk in handen hebt
Een AI-beleid dat aansluit op je bestaande informatiebeveiligingsbeleid, een inventaris van AI-systemen met de bijbehorende gegevensstromen en leveranciers, impactbeoordelingen per systeem, een risicoregister, heldere rollen inclusief wie mag ingrijpen, en een auditprogramma met directiebeoordeling. Dat is precies de set die een certificerende instelling wil zien. Het is ook de set waarmee je een vraag van een opdrachtgever of toezichthouder in een middag beantwoordt.
Ingebouwd, niet ernaast
Werk je al volgens ISO 27001 of NEN 7510, dan bouwen we AI in dat systeem in: dezelfde beleidsstructuur, hetzelfde risicoproces, hetzelfde auditprogramma en dezelfde directiebeoordeling, met de AI-specifieke maatregelen en de impactbeoordeling erbij. Dat is aanzienlijk minder werk dan een tweede managementsysteem, en je houdt niet twee keer hetzelfde verhaal bij in twee mappen. Wil je eerst weten wat de norm precies inhoudt? Lees dan wat is ISO 42001.
Zo ziet het traject eruit
We brengen in kaart welke AI-systemen er in gebruik zijn, welke gegevens erin gaan, wie ze gebruikt en welke leverancier erachter zit. Ook wat niet op de ICT-lijst staat: losse hulpmiddelen, functies die in bestaande software zijn aangezet en pilots. Op basis daarvan bepalen we de scope. Een te ruime scope maakt het traject onnodig zwaar, een te krappe maakt je certificaat waardeloos voor de opdrachtgever die ernaar vraagt.
We vergelijken je huidige situatie met de eisen uit de hoofdstukken 4 tot en met 10 en met de 38 beheersmaatregelen uit Annex A. Je krijgt een concreet overzicht van wat er al staat, wat ontbreekt en wat prioriteit heeft. Vaste prijs van €3.000, zodat je zonder verrassingen weet waar je begint.
Een AI-beleid dat aansluit op je informatiebeveiligingsbeleid en op de AVG, en rollen die verder gaan dan een naam in een document: wie beoordeelt een nieuw AI-systeem voordat het in gebruik gaat, wie mag een uitkomst overrulen en wie grijpt in als een systeem afwijkend gedrag vertoont. Hier vragen auditors op door.
Per AI-systeem beoordelen we de gevolgen voor individuen en groepen, niet alleen voor de organisatie. Waar persoonsgegevens in het spel zijn, sluiten we aan op de gegevensbeschermingseffectbeoordeling uit de AVG, zodat je niet twee losse beoordelingen krijgt over hetzelfde onderwerp. Binnen onze groep zitten privacyjuristen die dat deel voor hun rekening nemen.
Herkomst en kwaliteit van de data waarmee je traint, test en bedient, en wat je contractueel hebt vastgelegd met je AI-leveranciers: waar wordt verwerkt, wat gebeurt er met je gegevens, wie is aansprakelijk en kun je eruit. Dat laatste is bij AI-leveranciers vaak slechter geregeld dan bij gewone software, en precies daar vraagt een auditor naar.
Onafhankelijk uitgevoerde interne audits en een directiebeoordeling met verslaglegging. Zonder deze twee kom je niet door een certificeringsaudit, hoe goed je beleid ook is. Wij voeren de eerste interne audit uit en leiden je mensen op om die daarna zelf te doen.
We bereiden je dossier voor, doen een proefaudit en zijn aanwezig bij de audit van de certificerende instelling. Let op de doorlooptijd: het aanbod aan geaccrediteerde instellingen voor ISO 42001 is nog kleiner dan bij ISO 27001, dus plan je audit ruim vooruit.
Je AI-landschap verandert sneller dan je beleid: nieuwe hulpmiddelen, nieuwe functies bij bestaande leveranciers, gewijzigde modellen. Impactbeoordelingen moet je dan herzien. Met een Security Partner-abonnement houden we dat structureel bij, samen met je risicoregister, audits en rapportages.
Waarom kiezen voor BOEM?
- We beginnen bij de inventaris: eerst vaststellen welke AI er echt in gebruik is, want dat is vrijwel altijd meer dan de directie denkt
- Eén managementsysteem, niet twee: werk je al volgens ISO 27001 of NEN 7510, dan bouwen we AI erin en gebruiken we je bestaande cyclus
- AI en privacy in één hand: de impactbeoordeling raakt de AVG, en binnen onze groep zitten privacyjuristen die dat deel doen
- Actueel op de wetgeving van juli 2026: we werken met de gewijzigde termijnen uit het Digital Omnibus-pakket, niet met verouderde data
- Vaste startprijs: een GAP-analyse voor €3.000 en een eerste gesprek zonder kosten, dus je investeert pas fors als het plan staat
Wat kost een ISO 42001-implementatie?
Een GAP-analyse tegen ISO 42001, met de AI-inventaris als eerste stap, kost €3.000. De invoering rekenen we af tegen een vast maandtarief, zodat je vooraf weet waar je aan toe bent en zelf bepaalt wat je intern oppakt. Hoeveel werk het is, hangt vooral af van hoeveel AI-systemen binnen de scope vallen en of je al een werkend managementsysteem hebt. Heb je ISO 27001 al staan, dan is het traject aanzienlijk lichter. De prijs voor de invoering maken we op maat na een korte kennismaking. De audit van de certificerende instelling koop je zelf in bij een geaccrediteerde partij.
Eerst bepalen of je de norm nodig hebt
Niet elke organisatie heeft ISO 42001 nodig. Gebruik je alleen standaard AI-functies in software die je toch al afneemt, dan kom je met beleid, afspraken en bewustwording een heel eind, en dat zeggen we ook gewoon. Ontwikkel je zelf, neem je met AI besluiten die mensen raken, of vragen opdrachtgevers ernaar, dan is de norm het passende kader. Dat onderscheid maken we in een vrijblijvend gesprek, en dat kost niets.
Of binnen het Security Partner-model
De implementatie hoeft geen los project te zijn. Het valt ook binnen ons Security Partner-model van €1.500 per maand. Dan bouwen we het managementsysteem op als onderdeel van het abonnement en houden we het daarna bij, inclusief de impactbeoordelingen die je moet herzien als er iets verandert. Voor organisaties zonder eigen securityteam is dat vaak de rustigere route: een vast bedrag per maand in plaats van een projectbegroting vooraf.
Meer weten over de GAP-analyse?
Lees wat je krijgt bij de GAP-analyse.
Eerst zelf zien waar je staat?
Doe de gratis AI-check: tien vragen over je AI-inventaris, je rol onder de AI-verordening en AI-geletterdheid, met direct een score.
Prijsindicatie
Ontvang een prijsindicatie op maat
In een vrijblijvend gesprek bepalen we welke AI je in huis hebt, wat de AI-verordening in jouw situatie van je vraagt en of ISO 42001 het passende kader is. Wil je verder, dan start je met een GAP-analyse voor €3.000.
Plan een gratis kennismakingLiever direct iemand spreken? Plan een gratis gesprek of bel (+31) 8 521 29 248.
- 1Kort gesprekEen half uur, vrijblijvend en online
- 2Inventaris en GAP-analyseWelke AI je gebruikt en wat er ontbreekt, voor €3.000
- 3Voorstel op maatVast maandtarief of binnen Security Partner
In het kort
Kort samengevat
De belangrijkste feiten over een ISO 42001-implementatie op een rij.
- Wat is het?
- De norm voor een managementsysteem voor AI, met eisen in de hoofdstukken 4 tot en met 10 en 38 beheersmaatregelen in Annex A.
- Voor wie?
- Voor organisaties die zelf AI ontwikkelen, met AI besluiten nemen die mensen raken, of van wie opdrachtgevers het vragen. Gebruik je alleen standaard AI-functies, dan zijn beleid en afspraken vaak genoeg.
- Hoe lang duurt het?
- Vanaf nul zes tot twaalf maanden tot je auditklaar bent. Met een werkend ISO 27001-managementsysteem drie tot zes maanden, plus de wachttijd voor een auditslot.
- Wat kost het?
- De GAP-analyse met AI-inventaris kost €3.000. De invoering gaat tegen een vast maandtarief op maat, of binnen Security Partner voor €1.500 per maand.
- Wat zegt de wet?
- De AI-verordening geldt gefaseerd. AI-vaardigheid en de verboden praktijken gelden sinds 2 februari 2025; de hoogrisicoverplichtingen zijn uitgesteld naar 2 december 2027 en 2 augustus 2028.
- Wie certificeert?
- Een geaccrediteerde certificerende instelling, niet BOEM. Wij begeleiden je naar de audit, doen een proefaudit en zijn erbij.
Wat het kost lees je bij de kosten. Meer over de norm en de wet lees je bij wat is ISO 42001 en de AI-verordening, of combineer het met ISO 27001.
Voor een organisatie die bij nul begint is zes tot twaalf maanden realistisch tot je auditklaar bent. Heb je al een werkend managementsysteem volgens ISO 27001, dan kan het in drie tot zes maanden. De doorlooptijd wordt zelden bepaald door de hoeveelheid werk, maar door de cyclus zelf: je hebt een interne audit en een directiebeoordeling nodig, en die organiseer je niet overtuigend in een week. Reken daarbovenop de wachttijd voor een auditslot, want het aanbod aan geaccrediteerde instellingen is nog beperkt.
Dat hangt af van waarom je het doet. Wil je een externe partij overtuigen, bijvoorbeeld in een aanbesteding of bij een klant die er expliciet om vraagt, dan is een certificaat van een geaccrediteerde instelling het enige dat het echt bewijst. Wil je vooral je risico’s beheersen en je voorbereiden op de AI-verordening, dan is aantoonbaar werken volgens de norm meestal genoeg en bespaar je de kosten van audits. We bespreken dat vooraf, want een certificaat dat niemand van je vraagt is een dure gewoonte.
Ja, maar lichter. Ook als gebruiker moet je weten welke systemen je inzet, welke gegevens erin gaan en wat je met je leverancier hebt afgesproken. De eis van AI-vaardigheid uit de AI-verordening geldt sinds februari 2025 voor iedereen die AI inzet, ook als je zelf niet ontwikkelt. Voor veel gebruikersorganisaties zijn beleid, een inventaris, leveranciersafspraken en bewustwording genoeg, en hoef je niet het hele normtraject in.
Ja, en dat is vrijwel altijd de slimme route. Beide normen delen dezelfde geharmoniseerde structuur. Met één beleidsstructuur, één risicoproces, één auditprogramma en één directiebeoordeling dek je beide kaders. Je bouwt dan een gecombineerd managementsysteem en niet twee losse. Certificeren kan alsnog per norm.
Met het Digital Omnibus-pakket, Verordening (EU) 2026/1744, dat sinds 27 juli 2026 in werking is, gaan zelfstandige hoogrisicosystemen naar 2 december 2027 en hoogrisico-AI in producten naar 2 augustus 2028. Wat nu al geldt, blijft gelden: de verboden praktijken en AI-vaardigheid sinds februari 2025, de regels voor AI voor algemene doeleinden sinds augustus 2025 en de transparantieverplichtingen sinds 2 augustus 2026. Het uitstel geeft je ruimte om het goed te doen, niet om het over te slaan.
Zodra je persoonsgegevens gebruikt om te trainen, te testen of te bedienen, geldt de AVG onverkort: je hebt een grondslag nodig, je moet transparant zijn en bij hoog risico is een gegevensbeschermingseffectbeoordeling verplicht. De AI-impactbeoordeling uit ISO 42001 overlapt daarmee, maar is breder. Wij zorgen dat die twee op elkaar aansluiten, zodat je geen twee losse documenten krijgt.
Een certificerende instelling die daarvoor geaccrediteerd is, en dat is een andere partij dan wij. We begeleiden je naar de audit, doen een proefaudit en zitten erbij, maar we kunnen niet zelf certificeren. Dat is ook de bedoeling: een partij die tegelijk implementeert en certificeert, is niet onafhankelijk.
Met een inventaris van de AI die je in gebruik hebt, inclusief wat niet op de ICT-lijst staat. Daarna bepalen we samen of ISO 42001 het passende kader is, of dat je met beleid en afspraken al ver genoeg komt. Plan daarvoor een vrijblijvend gesprek in, dan weet je binnen een uur waar je staat.
Plan vandaag nog een vrijblijvende telefonische intake
In een vrijblijvend gesprek bepalen we welke AI je in huis hebt, wat de AI-verordening in jouw situatie van je vraagt en of ISO 42001 het passende kader is.
BOEM Cybersecurity als partner, verhalen uit de praktijk
Wij zijn trots op onze klanten. Lees hier meer over deze klanten en hun succesverhalen.