De certificeringsberekening
ISO 27001 verandert de getallen bij elke grote deal. Dit is hoe die getallen eruitzien.
Zonder de standaard — per deal:
- Aangepaste vragenlijst: 40–80 uur van uw teamtijd
- Koperbeoordeling: 4–12 weken
- Risico op afwijzing na volledige inspanning
- Vervolgbewijsrondes
- Totale tijd: 60–120 uur
- Slagingspercentage in strikte sectoren: ongeveer 30–40%
Met ISO 27001 — per deal:
- Certificaat en controlekoppeling: 2–4 uur van uw teamtijd
- Koperbeoordeling van certificaat: 1–3 weken
- Bewijsverzoeken betreffen alleen lacunes buiten de scope
- Totale tijd: 10–20 uur
- Slagingspercentage in dezelfde sectoren: 65–80%
Het delta: 50–100 uur bespaard per deal. In sectoren met hoge dealwaarden — financiële diensten, gezondheidszorg, overheid — maakt dit de certificeringsinvestering in de meeste gevallen in één deal terug.
Hoe het beoordelingsproces werkt
Bij het ontvangen van een enterprise beveiligingsvragenlijst met ISO 27001:
Stap 1: Stuur het certificaat
Stuur het actuele ISO 27001-certificaat. Voeg de certificeringsscope toe. De scope definieert welke systemen en diensten zijn geauditeerd.
Stap 2: Koppel aan de vragenlijst
Bij vragen over beveiligingscontroles, koppel aan de relevante ISO-clausule. "Hoe beheert u toegangscontrole?" → "ISO 27001, Bijlage A, Controle 9." De auditor heeft die controles geverifieerd.
Stap 3: Handel lacunes af
Sommige vragenlijsten vragen naar specifieke controles die buiten de ISO-scope vallen. Die moeten afzonderlijk worden beantwoord. De omvang is echter aanzienlijk kleiner dan een volledig handmatig antwoord.
Stap 4: Vraag om certificaat-erkenningstijd
Veel inkoopteams kunnen een snel bevestigingsproces bieden voor gecertificeerde leveranciers. Vraag proactief of de koper een versneld pad heeft.
Veelgestelde inkoopvragen en antwoorden
"Wanneer is uw certificaat voor het laatst vernieuwd?" → ISO 27001-certificaten zijn 3 jaar geldig met jaarlijkse bewakingsaudits. Lever het meest recente bewakingsrapport.
"Welke systemen zijn in scope?" → De certificeringsscope documenteert dit precies. Controleer dat de systemen die u verkoopt, zijn opgenomen.
"Hoe handelt u beveiligingsincidenten af?" → Verwijzen naar het incidentbeheerproces van het ISMS, ISO A.16. Lever indien nodig een samenvatting van het beleid.
anonym.legal's ISO 27001-documentatie is beschikbaar voor inkoopteams als onderdeel van de leveranciersbeoordeling.