Begrippen bij certificering

Accreditatie is de erkenning dat een certificeerder deskundig, onpartijdig en onafhankelijk werkt. In Nederland geeft de nationale accreditatie-instantie die erkenning. De erkenning geldt steeds voor een afgebakend werkgebied. Dat zijn de normen en sectoren in de scope van de accreditatie. Jij krijgt dus een certificaat. Je certificeerder heeft een accreditatie.

Hoe de keten van de nationale accreditatie-instantie tot certificaat werkt, staat bij accreditatie van certificeerders.

Een certificerende instelling (CI), kortweg certificeerder, is het bedrijf dat jouw managementsysteem auditeert en het certificaat afgeeft, zoals DNV, Kiwa of BSI. Een geaccrediteerd certificaat mag hij alleen afgeven voor de normen en sectoren in zijn accreditatie. Hij mag geen advies geven over het systeem dat hij certificeert. ISO/IEC 17021-1 verbiedt dat.

Wie welke norm voor jouw sector mag doen, zie je bij certificeerders, en hoe je kiest bij certificeerder kiezen.

Certificering is de beoordeling waarin een certificeerder vaststelt of je bedrijf aan een norm voldoet. Is dat zo, dan geeft hij een certificaat af. Een certificaat voor een managementsysteem, zoals ISO 9001, geldt drie jaar. In de tussenliggende jaren volgt een controle-audit. In het derde jaar volgt een hercertificering.

Het traject van besluit tot certificaat staat bij voor het eerst certificeren.

Een controle-audit is de audit op locatie die de certificeerder doet in de jaren tussen je certificering en je hercertificering, minstens één keer per kalenderjaar. De eerste valt uiterlijk 12 maanden na het besluit over je certificaat. De auditor bekijkt dan een deel van je systeem. In elk geval bekijkt hij je interne audits, je directiebeoordeling, je klachten en wat je met eerdere afwijkingen hebt gedaan.

Hoe de audits in je drie jaar lopen, staat bij de audit.

De directiebeoordeling is het vaste overleg waarin de directie het kwaliteitssysteem doorneemt aan de hand van de onderwerpen die de norm noemt, bij ISO 9001 in paragraaf 9.3. Je legt de uitkomst vast. De auditor kijkt ernaar in fase 1 en fase 2 en bij elke controle-audit. In ISO 9001:2026 moeten alle onderwerpen uit de lijst erin. Er kwam ook één onderwerp bij: veranderingen in wat belanghebbenden van je verwachten.

Wat er in de nieuwe versie verandert, staat bij de overgang naar ISO 9001:2026.

De eerste certificeringsaudit bestaat uit twee delen. In fase 1 kijkt de auditor of je klaar bent voor de audit. Hij kijkt naar je documenten, je scope en je locaties. Ook kijkt hij of interne audits en directiebeoordeling gepland zijn en worden gedaan. In fase 2 komt hij op locatie. Daar toetst hij of je systeem in de praktijk werkt. De tijd ertussen is er om knelpunten uit fase 1 op te lossen.

Wat de auditor in elke fase doet en wat een afwijking dan betekent, staat bij de audit.

Global Accreditation Cooperation (Global ACI) is sinds 1 januari 2026 de wereldwijde samenwerking van accreditatie-instanties. Global ACI nam de taken over van het IAF (International Accreditation Forum) en ILAC. Onder die samenwerking erkennen de leden elkaars accreditaties. Daardoor wordt een geaccrediteerd certificaat in vrijwel elk land geaccepteerd. De regeldocumenten van het IAF zijn op 10 juli 2026 opnieuw uitgegeven als Global ACI-documenten. De inhoud is niet veranderd.

Wie wie toetst in die keten, staat bij accreditatie van certificeerders.

Global ACI-TECH-3-002 is het regeldocument voor overstappen naar een andere certificeerder. Elke geaccrediteerde certificeerder moet het volgen. Het geldt sinds 28 augustus 2026. De tekst is dezelfde als die van IAF MD 2:2023. Het regelt onder meer de pre-transfer review. Ook regelt het dat je periode van drie jaar doorloopt. En dat je oude certificeerder je certificaat niet mag schorsen of intrekken omdat je overstapt.

Hoe een overstap stap voor stap gaat, staat bij overstappen naar een andere certificeerder.

Een afwijking is een eis waaraan je niet voldoet. Een grote afwijking (major) tast het vermogen van je systeem aan om te bereiken wat het moet bereiken. Bijvoorbeeld als er serieuze twijfel is of een proces beheerst wordt. Ook een reeks kleine afwijkingen op hetzelfde punt kan samen een major zijn. Een major moet opgelost zijn voordat je het certificaat krijgt. Bij een kleine afwijking (minor) is een plan dat de certificeerder accepteert genoeg.

Welke termijnen gelden en wat een open major kost, staat bij de audit.

Hercertificering is de audit in het derde jaar. Die verlengt je certificaat voor een nieuwe periode van drie jaar. Een grote afwijking moet vóór de vervaldatum opgelost zijn. Als alles op tijd rond is, loopt de nieuwe periode door vanaf de oude vervaldatum. Is je certificaat toch verlopen, dan kan de certificeerder het binnen 6 maanden herstellen. Dat kan als de hercertificering alsnog wordt afgerond. Daarna is minstens een nieuwe fase 2 nodig.

Wanneer je hem plant, en waarom het een logisch moment is om certificeerders te vergelijken, staat bij hercertificering.

Een ISMS is het managementsysteem waarmee je de vertrouwelijkheid, integriteit en beschikbaarheid van je informatie bewaakt. Dat doe je door je risico's vast te stellen en te behandelen. ISO 27001 stelt de eisen aan een ISMS. NEN 7510-1 neemt die eisen over voor de zorg.

Wat een ISMS vraagt, staat bij ISO 27001.

ISO/IEC 27002 is de norm die per beveiligingsmaatregel uitlegt hoe je hem kunt invullen. Bijlage A van ISO 27001 neemt de 93 maatregelen van ISO/IEC 27002:2022 over. Dat zijn er vier thema's. Het certificaat gaat over ISO 27001. ISO 27002 is de toelichting erbij.

Hoe je de maatregelen kiest, staat bij de eisen van ISO 27001.

ISO/IEC 27701 is de norm voor een managementsysteem voor privacy (Privacy Information Management System, PIMS). Sinds de versie van 2025 is het een zelfstandige norm. Hij hangt niet meer af van ISO 27001 of ISO 27002. Dus je kunt hem los halen of samen met ISO 27001.

Hoeveel certificeerders beide normen doen, staat bij ISO 27001 overstappen.

ISO/IEC 17021-1:2015 is de norm met de eisen voor certificeerders van managementsystemen, zoals ISO 9001 en ISO 14001. De nationale accreditatie-instantie accrediteert certificeerders op deze norm. De norm regelt hoe de aanvraag, de audits, het besluit, afwijkingen, bezwaar en onpartijdigheid werken. De eisen aan je eigen bedrijf staan in de norm waarop je je laat certificeren.

Wat deze regels voor jou als klant betekenen, staat bij de audit.

ISO/IEC 27006-1:2024 is de norm met extra eisen voor certificeerders die een ISMS volgens ISO 27001 auditen en certificeren, bovenop ISO/IEC 17021-1. Bijlage C geeft de rekenregel voor de audittijd. Ook regelt de versie van 2024 audits op afstand. Ook regelt ze bedrijven met weinig of geen eigen locaties. Het schema NCS 7510 voor NEN 7510 bouwt erop voort.

Hoe die rekenregel je prijs bepaalt, staat bij de kosten van ISO 27001.

ISO/IEC 27706:2025 is de norm met extra eisen voor certificeerders die ISO 27701 auditen en certificeren, bovenop ISO/IEC 17021-1. Hij vervangt ISO/IEC TS 27006-2:2021. Bijlage A regelt hoeveel audittijd een certificeerder rekent.

Wat dat voor je prijs betekent, staat bij de kosten van ISO 27701.

ISO/IEC 42006:2025 is de norm met extra eisen voor certificeerders die ISO 42001 auditen en certificeren, bovenop ISO/IEC 17021-1. Bijlage A regelt hoeveel audittijd een certificeerder rekent. De norm is niet vrij te lezen.

Wat dat voor je prijs betekent, staat bij de kosten van ISO 42001.

Een kwaliteitshandboek is een document dat beschrijft hoe je kwaliteitssysteem in elkaar zit. ISO 9001 eist er geen. ISO/TC 176 is de commissie die de norm schrijft. Bij de versie van 2015 noemde die commissie het alleen als voorbeeld. Het is een stuk dat waarde kan toevoegen, net als procedures en werkinstructies.

Welke stukken wel verplicht zijn, staat bij de documenten voor ISO 9001.

Een managementsysteem is het geheel van beleid, doelen, processen en vastgelegde afspraken waarmee je bedrijf één onderwerp regelt, zoals kwaliteit bij ISO 9001, milieu bij ISO 14001 of informatiebeveiliging bij ISO 27001. Bij een certificeringsaudit toetst de certificeerder dat systeem tegen de norm. Het certificaat zegt dat het systeem eraan voldoet.

Welke norm bij welk onderwerp hoort, zie je bij de normen.

Een niet-geaccrediteerd certificaat komt van een certificeerder zonder accreditatie voor die norm, of het valt buiten zijn accreditatie. Het valt daarmee buiten de wereldwijde erkenning van Global ACI. Overzetten naar een geaccrediteerde certificeerder kan niet. Die behandelt je als nieuwe klant. Hij begint met een eerste audit.

Wat dat voor je betekent, staat bij niet-geaccrediteerde certificaten.

De pre-transfer review is de controle vooraf die een nieuwe certificeerder doet als je naar hem overstapt. Hij bekijkt onder meer of je certificaat geldig is. Hij kijkt ook of het binnen de accreditatie van beide certificeerders valt. Verder kijkt hij naar je laatste auditrapporten, je openstaande afwijkingen, je klachten en waarom je overstapt. Dat gebeurt met je stukken. Hij komt alleen langs als die stukken daar reden voor geven, zoals een openstaande major. Ook dat bezoek is geen audit.

Wat er na de review gebeurt, staat bij overstappen naar een andere certificeerder.

De risico-inventarisatie en -evaluatie (RI&E) is de lijst van de gevaren in je werk en wat je eraan doet. Elke werkgever in Nederland moet er een hebben. Dat staat in artikel 5 van de Arbowet. ISO 45001 vervangt de RI&E niet. Je gebruikt hem wel als basis voor je systeem.

Hoe de RI&E en ISO 45001 op elkaar aansluiten, staat bij de eisen van ISO 45001.

De risicoklasse bepaalt bij ISO 9001 mee hoeveel auditdagen je krijgt. Ze hangt af van wat er gebeurt als je product of dienst faalt. Global ACI-TECH-3-004 (IAF MD 5) kent drie klassen. De eerste is hoog, zoals voeding, farmacie en complexe bouw. De tweede is gemiddeld, zoals eenvoudige bouw en metaalproducten. De derde is laag, zoals kantoordiensten, onderwijs en detailhandel. Bij hoog risico komen er dagen bij. Bij laag risico kunnen er af. Bij ISO 14001 en ISO 45001 heet dit de complexiteitscategorie. Die hangt daar af van je milieuaspecten of je arborisico's.

Hoe de dagen en het bedrag oplopen, staat bij de kosten van ISO 9001.

Een sectorcode (IAF-code) is een van de 39 nummers waarin Global ACI-TECH-3-021 (IAF ID 1) bedrijfsactiviteiten indeelt: bouw is code 28, IT code 33 en zorg code 38. Bij normen als ISO 9001 en ISO 14001 legt de nationale accreditatie-instantie de accreditatie van een certificeerder per sectorcode vast. Een certificeerder zonder jouw code kan je dus geen geaccrediteerd certificaat geven.

Hoe sectorcodes je keuze bepalen, staat bij accreditatie van certificeerders, en wat dat bij ISO 9001 betekent bij ISO 9001 overstappen.

Een technisch cluster is een groep sectorcodes die technisch op elkaar lijken, zoals het cluster Bouw met code 28 (bouw) en code 34 (ingenieursdiensten). Accreditatie-instanties gebruiken die clusters uit Global ACI-TECH-3-014 (IAF MD 17). Daarmee kiezen ze bij welke audits van een certificeerder ze meekijken. De accreditatie zelf staat per sectorcode. Een cluster zegt dus niet welke sectoren een certificeerder mag doen.

Hoe de nationale accreditatie-instantie certificeerders toetst, staat bij accreditatie van certificeerders.

Het toepassingsgebied (scope) zegt welke activiteiten, producten en diensten op welke locaties onder je certificaat vallen. Het staat op het certificaat zelf. Je geeft de gewenste scope op bij je aanvraag. De certificeerder gebruikt hem onder meer om de audittijd te bepalen. Ook een accreditatie heeft een scope. Dat zijn de normen en sectoren waarvoor de certificeerder erkend is.

Hoe je de scope kiest in je eerste traject, staat bij voor het eerst certificeren.

De verklaring van toepasselijkheid (VvT, Statement of Applicability of SoA) is het stuk dat ISO 27001 in clausule 6.1.3 d eist. Per maatregel uit bijlage A staat erin of je hem nodig hebt, en of je hem hebt ingevoerd. Als je hem uitsluit, staat erin waarom. Je stelt hem op na je risicoanalyse. De auditor gebruikt hem om te kiezen welke maatregelen hij toetst. Bij NEN 7510 staan er ook de zorgmaatregelen in.

Wat er verder in hoort, staat bij de documenten voor ISO 27001.

Een verwerker verwerkt persoonsgegevens namens een ander, de verwerkingsverantwoordelijke. Denk aan een IT-bedrijf dat de klantgegevens van een zorginstelling host. De AVG legt dat begrip vast in artikel 4. Een verwerker heeft een verwerkersovereenkomst met de verwerkingsverantwoordelijke.

Wat ISO 27701 van een verwerker vraagt, staat bij de eisen van ISO 27701.

De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. Meestal is dat de organisatie zelf, zoals een werkgever met de gegevens van zijn personeel. De AVG legt dat begrip vast in artikel 4.

Wat ISO 27701 van een verwerkingsverantwoordelijke vraagt, staat bij de eisen van ISO 27701.

Bij CertificeerWijzer vraag je met één aanvraag offertes op. Die vraag gaat naar certificeerders die jouw norm in hun accreditatie hebben. Bij normen als ISO 9001 moeten ze ook jouw sectorcode hebben.