ISO 27001-certificaat overzetten naar een andere certificeerder

Een ISO 27001-overstap volgt dezelfde regels als elke andere overstap. Die regels staan in Global ACI-TECH-3-002 (IAF MD 2). Volgens die regels controleert de nieuwe certificeerder eerst je stukken. Hij beslist vóór je volgende audit. En hij houdt je vervaldatum aan. De stappen staan bij overstappen naar een andere certificeerder. Daar staan ook de gevallen waarin je toch opnieuw begint.

Een "transfer-audit" hoort niet bij die regels. De controle vooraf (pre-transfer review) is een controle van papieren. Volgens TECH-3-002 is ook een bezoek vooraf geen audit. ISO/IEC 27006-1:2024 is het regeldocument voor certificeerders van ISO 27001. Die norm heeft geen eigen hoofdstuk over overstappen. Daarom geldt TECH-3-002 hier zonder aanvulling. Je eerste audit bij de nieuwe certificeerder is de controle-audit of hercertificering. Die stond toch al gepland.

Bij ISO 27001 is elke certificeerder met ISO 27001 in zijn accreditatie een kandidaat. De accreditatie loopt hier niet per sector, zoals bij ISO 9001. TECH-3-002 eist alleen dit. Je certificaat moet binnen de accreditatie van je oude en je nieuwe certificeerder vallen. Verder staan bij ISO 27001 geen sectorcodes (IAF-codes) in de scopes van de nationale accreditatie-instantie.

CertificeerWijzer telde op 24 september 2026 23 certificeerders. Die hebben een vestiging in Nederland en een accreditatie voor ISO 27001. Het de nationale accreditatie-instantie-register en de UKAS-schedules gaven die telling. Daarvan hebben 19 een accreditatie via de nationale accreditatie-instantie. De overige 4 hebben die alleen via de Britse UKAS. Bij de overstap controleert de nieuwe certificeerder ook of de accreditatie van je oude certificeerder binnen de internationale afspraken valt. Die afspraken gelden voor de accreditatie-instantie van je oude certificeerder.

Bij een ISO 27001-overstap wil de nieuwe certificeerder je certificaat en je auditrapporten zien. Vooral wil hij weten wat je ISMS precies omvat. Leg daarom twee stukken klaar die bij deze norm horen.

De nieuwe certificeerder bouwt het auditprogramma op die stukken. Het programma geldt voor de jaren die nog komen. Als je bij de overstap je scope groter wilt maken, bijvoorbeeld met een nieuwe vestiging of dienst, meld je dat in je aanvraag. Dat verandert namelijk de audittijd. Welke documenten een ISMS verder vraagt, staat bij de documenten voor ISO 27001.

Bij een ISO 27001-overstap betaal je vooral de audits die al gepland stonden. De nieuwe certificeerder rekent die zelf uit met bijlage C van ISO/IEC 27006-1:2024. Die methode verschilt van de tabel van Global ACI-TECH-3-004 (IAF MD 5), die ISO 9001 gebruikt. De basis is het aantal mensen dat binnen je scope werkt. Daarna past de certificeerder dat aan met de factoren die de norm daarvoor vastlegt.

Die factoren laten ruimte. Daardoor kan het aantal auditdagen per offerte verschillen. Vraag daarom welke uitgangspunten een certificeerder gebruikt. Reken met een dagtarief van €1.000 tot €1.800 exclusief btw per auditdag. Hoe de audittijd voor ISO 27001 ontstaat, staat bij de kosten van ISO 27001. Wat de controle vooraf kost, staat bij overstappen.

Als je bij een overstap ook andere certificaten naar dezelfde certificeerder wilt brengen, kies je uit minder partijen. Niet elke certificeerder met ISO 27001 heeft die andere norm namelijk ook in zijn accreditatie. CertificeerWijzer telde op 24 september 2026 zoveel certificeerders met ISO 27001 en:

Elke certificeerder met NEN 7510 of ISO 27701 heeft ook ISO 27001. Andersom heeft minder dan de helft van de certificeerders met ISO 27001 ook NEN 7510. Bij ISO 9001 telt daarnaast je sectorcode, want die norm wordt per sector geaccrediteerd. Kijk dus of de certificeerder ISO 9001 voor jouw sector mag doen. Wat het verschil is tussen ISO 27001 en NEN 7510, staat bij wat NEN 7510 is. Of één certificeerder voor alles beter past dan twee, staat bij combinatie van normen. Die pagina zegt ook wat een gecombineerde audit scheelt.

Bij de hercertificering begin je aan een nieuwe periode van drie jaar, met een nieuwe offerte. Dat is dus een logisch moment om ISO 27001-offertes te vergelijken. Vraag ze op zodra je controle-audit in jaar 2 achter de rug is. De nieuwe certificeerder moet namelijk over je certificaat beslissen voordat hij de hercertificering begint.

Vergelijk certificeerders die ISO 27001 en je andere normen in hun accreditatie hebben. Vergelijk ze op het aantal auditdagen en de uitgangspunten daarvoor. Vergelijk ze ook op het dagtarief, de losse posten en het totaal tot en met je volgende hercertificering. Bij CertificeerWijzer gaat één overstapaanvraag naar certificeerders die jouw normen mogen certificeren. Zo leg je hun offertes voor de rest van je periode naast elkaar.