ISO 27701-certificaat halen: stappen en doorlooptijd

Vanaf nul ben je ongeveer acht maanden bezig met een ISO 27701-certificaat. Daarin zit drie tot vier maanden wachten tot een certificeerder tijd heeft. Hoe lang jouw traject duurt, hangt af van wat er al ligt. Heb je al een ISMS voor ISO 27001, het managementsysteem voor informatiebeveiliging, dan heb je de vaste onderdelen van een managementsysteem al. Denk aan de interne audit en de directiebeoordeling. Heb je je AVG-stukken op orde, dan heb je ook een deel van de maatregelen al. Hoeveel uur per week het jou zelf kost, hebben we niet als vast getal. Weet je vroeg welke certificeerder wanneer tijd heeft, dan loopt de wachttijd terwijl jij bouwt. Het traject dat voor elke norm geldt, staat bij voor het eerst certificeren.

De stappen hieronder spelen alleen bij ISO 27701. Ze komen bovenop het vaste werk van elk managementsysteem.

Je begint met een lijst van je verwerkingen. Bij elke verwerking heb je een rol. Die rol volgt uit één vraag: bepaal je zelf waarom je de gegevens gebruikt, of doe je het in opdracht van een klant? Ben je verwerkingsverantwoordelijke, dan bepaal je zelf het doel. Ben je verwerker, dan werk je in opdracht van een klant. Die rol bepaalt welke tabel met maatregelen uit bijlage A voor jou geldt. Er is een tabel voor verwerkingsverantwoordelijken, een tabel voor verwerkers en een tabel voor beide. Een salarisbureau heeft vaak beide rollen. Het is verwerkingsverantwoordelijke voor zijn eigen personeel en verwerker voor de werknemers van zijn klanten.

Sinds de versie van 2025 kun je ISO 27701 los halen. De norm is er ook op gemaakt dat je hem in een bestaand ISO 27001-systeem kunt onderbrengen. Heb je ISO 27001 al, dan breid je dat systeem meestal uit met privacy. Dat scheelt dubbel werk en vaak ook audittijd. Heb je geen ISO 27001, dan bouw je een eigen systeem voor privacy. De beveiligingsmaatregelen die voor persoonsgegevens nodig zijn, staan dan in de tabel voor beide rollen. Die tabel neem je dus altijd mee.

Je legt vast welke verwerkingen, systemen en locaties onder je systeem vallen. Dat is je toepassingsgebied (scope). De directie stelt daarna een privacybeleid vast en verdeelt de rollen. Houd het toepassingsgebied gelijk aan wat je klant wil zien. Een softwarebedrijf dat klantgegevens in de cloud verwerkt, neemt die dienst op. Anders zegt het certificaat zijn klanten weinig.

ISO 27701 vraagt een eigen beoordeling van privacyrisico's. Het gaat dan om de risico's voor de mensen van wie je gegevens hebt, zoals een datalek of gegevens die je langer bewaart dan nodig. Per risico kies je een behandeling. Daarna voer je de maatregelen in. Bij ISO 27001 gaat de risicoanalyse over de beveiliging van je informatie. Bij ISO 27701 kijk je ook naar de gevolgen voor de mensen achter de gegevens.

Je verwerkingsregister, je DPIA's en je verwerkersovereenkomsten kun je hergebruiken voor ISO 27701. De AVG vraagt ze al, en ze staan ook als maatregel in bijlage A:

Nieuw is het bewijs dat je ze bijhoudt. De auditor wil zien dat deze stukken actueel zijn en dat iemand er eigenaar van is.

Vóór fase 1 plan je een interne audit en een directiebeoordeling. Vóór fase 2 rond je ze af. Dat geldt voor elk managementsysteem. Bij ISO 27701 kijkt de interne audit ook naar de maatregelen per rol.

De certificeringsaudit gaat in twee delen. Die regels staan in ISO/IEC 17021-1. In fase 1 kijkt de auditor of je klaar bent voor de echte audit. Hij leest je toepassingsgebied, je rollen, je privacyrisicoanalyse en de maatregelen die je hebt gekozen. Hij kijkt ook of je interne audit en directiebeoordeling gepland zijn.

In fase 2 toetst hij of het systeem in de praktijk werkt. Hij vraagt dan bijvoorbeeld hoe je een verzoek van iemand die zijn gegevens wil inzien, hebt afgehandeld. Of hij kijkt hoe je een nieuwe subverwerker hebt gekozen.

Na een positief besluit krijg je je certificaat voor drie jaar. In jaar 1 en 2 volgt een controle-audit. Vóór het certificaat verloopt, volgt in jaar 3 de hercertificering.

Bij ISO 27701 is de keuze aan certificeerders klein. Dat maakt de wachttijd belangrijker dan bij ISO 27001. Op 24 september 2026 hadden 8 certificeerders in Nederland ISO 27701 in hun accreditatie. Daarvan mochten er 2 de versie van 2025 doen. De andere 6 mochten alleen de versie van 2019 doen, en alleen samen met ISO 27001.

Begin je nu, bouw je systeem dan op de versie van 2025. Een certificaat op de versie van 2019 moet je vóór oktober 2028 alweer laten omzetten. Dat staat bij de overgang naar ISO 27701:2025. Vraag in elke offerte op welke versie de certificeerder je certificeert. Mag hij de versie van 2025 nog niet doen, vraag dan wanneer dat wel zo is. Vraag ook naar de eerste datum voor fase 1 en naar het aantal dagen. Past je certificeerder later niet meer? Dan kun je overstappen zonder opnieuw te beginnen.

Bij CertificeerWijzer vraag je met één aanvraag offertes op bij certificeerders die ISO 27701 geaccrediteerd mogen doen. Dan zie je wie de versie van 2025 doet en wanneer hij tijd heeft.