ISO 27001-certificaat halen: stappen en doorlooptijd

Geen regel legt vast hoe lang een ISO 27001-traject duurt. De tijd zit vooral in het invoeren van maatregelen. Ook zit de tijd in het laten draaien van je ISMS, tot er genoeg bewijs is voor fase 2. Hoe lang dat bij jou duurt, hangt af van drie dingen:

Begin je vanaf nul, dan reken je op hooguit ongeveer acht maanden tot je ISO 27001-certificaat. Dat telt inclusief drie tot vier maanden wachttijd bij de certificeerder. Hoe een eerste certificering is opgebouwd, van opbouw tot besluit, staat bij voor het eerst certificeren. Die uitleg geldt voor elke norm. Die pagina laat ook zien hoe je de wachttijd laat meelopen met je eigen werk.

De stappen van norm kiezen tot het besluit van de certificeerder zijn bij elke norm gelijk. Bij ISO 27001 zijn vier stappen anders:

Je legt vast welke informatie, processen, systemen en locaties onder je ISMS vallen. Leg ook vast welke diensten je van buiten inkoopt. Daarmee ligt vast hoeveel auditdagen je betaalt. Het ligt ook vast welke leveranciers de auditor in beeld wil hebben. Een kleiner toepassingsgebied is sneller klaar. Maar een klant kijkt wel of de dienst die hij afneemt erin valt.

ISO 27001 laat je eerst bepalen welke risico's je informatie loopt. Daarna bepaal je welke maatregelen daartegen nodig zijn. Die maatregelen vergelijk je met de 93 maatregelen in bijlage A van de norm. Zo mis je er geen. Dat staat in clausule 6.1.3 c. Het resultaat leg je vast in een verklaring van toepasselijkheid (Statement of Applicability, clausule 6.1.3 d). Daarin staat welke maatregelen je neemt. Ook staat erin waarom je andere niet neemt. Wat je nog moet doen, zet je in je risicobehandelplan.

Werk dat een leverancier voor je doet, blijft onder je ISMS vallen. Denk aan hosting, een cloudpakket of het beheer van je werkplekken. ISO 27001 eist in clausule 8.1 dat je processen, producten en diensten van buiten beheerst. Je laat dus zien welke afspraken je met die leverancier hebt. Je laat ook zien hoe je controleert dat hij ze nakomt. Vraag je leveranciers vroeg om hun eigen ISO 27001-certificaat of een assurancerapport. Dan heb je dat bewijs klaar als de auditor ernaar vraagt.

Bij ISO 27001 rekent de certificeerder de auditdagen uit met bijlage C van ISO/IEC 27006-1:2024. Dat is een eigen rekenregel, naast die van ISO 9001. Naast het aantal mensen telt daarin mee hoe complex je bedrijf en je IT zijn. Ook telt mee hoeveel je uitbesteedt. Hoe je die dagen naast elkaar legt, staat bij de kosten van ISO 27001.

Fase 1 en fase 2 volgen bij elke norm de regels van ISO/IEC 17021-1. Afwijkingen, het besluit en je rechten staan bij de certificeringsaudit. Bij ISO 27001 kijkt de auditor in elke fase vooral naar het volgende:

ISO/IEC 27006-1:2024 houdt rekening met audits op afstand. Het houdt ook rekening met bedrijven die weinig of geen eigen locaties hebben. Een softwarebedrijf dat alles in de cloud draait, is zo'n bedrijf. Vraag de certificeerder welk deel van de audit hij op afstand doet.

Hoe lang je op een eerste datum wacht, verschilt per certificeerder. Bij ISO 27001 kun je uit veel partijen kiezen. CertificeerWijzer telde op 24 september 2026 in het de nationale accreditatie-instantie-register en de UKAS-schedules 23 certificeerders in Nederland met ISO 27001 in hun accreditatie. Daarvan zijn er 19 geaccrediteerd via de nationale accreditatie-instantie. De overige 4 zijn alleen geaccrediteerd via de Britse UKAS. Anders dan bij ISO 9001 loopt die accreditatie niet per sector. Elk van hen mag dus jouw bedrijf certificeren. Vraag in elke offerte naar de eerste datum voor fase 1. Vraag ook naar het aantal dagen. En vraag of de auditor ervaring heeft met jouw soort IT. Past je certificeerder later niet meer? Dan kun je overstappen zonder opnieuw te beginnen.

Werk je in de zorg? Kijk dan ook naar NEN 7510. Dat is de Nederlandse norm voor informatiebeveiliging in de zorg. Hij bouwt voort op ISO 27001.

Met één aanvraag bij CertificeerWijzer vraag je offertes op bij meerdere certificeerders voor ISO 27001. Doe dat op de dag dat je begint. Dan ken je hun eerste datum en hun dagen al terwijl je je risicoanalyse maakt.