ISO 42001-certificaat halen: stappen en doorlooptijd

Vanaf nul duurt een ISO 42001-traject ongeveer acht maanden. Daarvan is drie tot vier maanden wachttijd bij de certificeerder. Die wachttijd loopt terwijl jij je systeem opbouwt, als je vroeg offertes opvraagt. Werk je al met een managementsysteem, zoals ISO 27001 of ISO 9001? Dan ben je in vier tot vijf maanden klaar. Die normen hebben dezelfde hoofdstukken, dus je beleid, interne audit en directiebeoordeling kun je uitbreiden. Dat schema is wel krap. In fase 1 kijkt de auditor of je interne audit en directiebeoordeling gepland zijn en al lopen. Moet het certificaat er op een vaste datum zijn, bijvoorbeeld omdat een klant erom vraagt? Begin dan tien maanden van tevoren. Hoe die maanden zijn opgebouwd en hoe lang je systeem moet draaien voor de audit, geldt voor elke norm. Dat staat bij voor het eerst certificeren.

De stappen zelf, van norm kiezen tot het besluit van de certificeerder, zijn bij elke norm gelijk. Bij ISO 42001 zijn vier stappen anders.

Je legt vast welke AI-systemen onder je systeem vallen. Je legt ook vast welke rol je bij elk systeem hebt. Bouw je de AI zelf, bied je hem aan klanten aan, of gebruik je een AI-tool van een leverancier? Begin met een lijst van alle AI die je bedrijf gebruikt. Daar horen ook de AI-functies in software die je al hebt bij. Zonder die lijst kan de certificeerder je toepassingsgebied (scope) en je aantal auditdagen niet bepalen. Heb je ISO 27001? Kies dan een scope die op die van je informatiebeveiliging aansluit. Dan kunnen de audits samen.

Bij ISO 42001 beoordeel je twee dingen. Eerst de risico's van je AI: wat kan er misgaan, en wat zijn de gevolgen (paragraaf 6.1.2 en 8.2 van de norm). Daarna de gevolgen van je AI-systemen voor mensen en groepen (de impactbeoordeling, paragraaf 6.1.4 en 8.4). Op basis daarvan kies je maatregelen uit bijlage A van de norm. Reken op de meeste tijd voor deze stap. De auditor wil in fase 2 zien dat je de beoordelingen echt hebt uitgevoerd. Een methode op papier is niet genoeg. Wat elke beoordeling vraagt, staat bij de eisen van ISO 42001.

Gebruik je AI van een leverancier, dan valt het beheer van die leverancier onder je systeem. De inleiding van de norm noemt het beheer van leveranciers en partners die AI voor je leveren of ontwikkelen. Vraag je leverancier dus vroeg om informatie over zijn model, zijn data en zijn eigen certificaten. Dat scheelt je werk in de risicobeoordeling.

Elke certificeerder legt vast hoeveel auditdagen hij rekent en waarom. Dat eist ISO/IEC 17021-1. Bij ISO 42001 rekent hij met bijlage A van ISO/IEC 42006:2025. Die bijlage is alleen betaald in te zien. Vergelijk daarom het aantal dagen per offerte, naast het dagtarief van meestal €1.000 tot €1.800 exclusief btw. Welke stukken je moet hebben, staat bij de documenten voor ISO 42001.

Fase 1 en fase 2 volgen bij elke norm dezelfde regels uit ISO/IEC 17021-1. Afwijkingen, het besluit en je rechten staan bij de certificeringsaudit. Bij ISO 42001 kijkt de auditor in elke fase naar het volgende:

De eerste controle-audit volgt binnen 12 maanden na het besluit over je certificaat. Dat staat in ISO/IEC 17021-1. De tweede controle-audit volgt in jaar 2 en in jaar 3 de hercertificering. Wat de dagen kosten, staat bij de kosten van ISO 42001.

Een certificeerder plant je eerste audit meestal drie tot vier maanden na je opdracht. Bij ISO 42001 heb je weinig keus. CertificeerWijzer telde op 24 september 2026 in het de nationale accreditatie-instantie-register en de UKAS-schedules 4 certificeerders in Nederland met ISO 42001 in hun accreditatie. Ter vergelijking: voor ISO 27001 waren dat er 23. Met minder keus heb je minder ruimte in data en prijs. Maak daarom eerst je lijst van AI-systemen en je rol, want zonder die lijst klopt het aantal dagen in de offerte niet. Vraag daarna meteen offertes op, en vraag in elke offerte naar de eerste datum voor fase 1. Vraag ook of de auditor ervaring heeft met jouw soort AI. Past je certificeerder later niet meer, dan kun je overstappen zonder opnieuw te beginnen.

Bij CertificeerWijzer gaat je lijst van AI-systemen in één aanvraag naar certificeerders met ISO 42001 in hun accreditatie. Hun wachttijd loopt dan terwijl jij je risico- en impactbeoordeling maakt.