ISAE 3402 of ISO 27001?
ISAE 3402 en ISO 27001 beantwoorden een andere vraag. ISAE 3402 is een assurance-rapport waarin een accountant of IT-auditor beoordeelt of jouw processen de jaarrekening van je klanten niet in gevaar brengen. ISO 27001 is een certificaat dat laat zien dat je informatiebeveiliging als managementsysteem op orde hebt. Raakt je dienst de cijfers van klanten, dan vraagt hun accountant om ISAE 3402. Gaat het om de veiligheid van hun gegevens, dan vraagt hun inkoop of IT-afdeling meestal om ISO 27001.
ISO 27001 is een norm van ISO , ISAE 3402 een standaard van de IAASB . Ze sluiten elkaar niet uit. Veel salarisverwerkers en IT-dienstverleners hebben ze allebei.
Kort antwoord: de accountant van je klant kan niets met een ISO 27001-certificaat voor zijn jaarrekeningcontrole. En een inkoper die ISO 27001 eist, accepteert meestal geen ISAE 3402-rapport. Vraag dus eerst wie het bewijs gaat lezen.
ISAE 3402 en ISO 27001 naast elkaar
| ISAE 3402 | ISO 27001 | |
|---|---|---|
| Wat krijg je? | Assurance-rapport met een oordeel | Certificaat |
| Onderwerp | Processen die de financiële verslaggeving van klanten raken | Informatiebeveiliging: vertrouwelijkheid, integriteit en beschikbaarheid |
| Normenkader | Je eigen beheersingsdoelstellingen | Vaste eisen in hoofdstuk 4 tot en met 10, plus Annex A |
| Wie toetst? | Accountant (NBA) of register-IT-auditor (NOREA) | Certificerende instelling, geaccrediteerd door de RvA |
| Geldigheid | Rapport over één datum of één periode, elk jaar opnieuw | Certificaat drie jaar geldig, met jaarlijkse controle-audits |
| Detail voor de lezer | Hoog: per maatregel staat wat getest is en wat de uitkomst was | Laag: het certificaat vermeldt scope en norm |
| Openbaar? | Nee, alleen voor klanten en hun accountants | Ja, je mag het certificaat publiceren |
| Wie vraagt erom? | Accountants van klanten, pensioenfondsen, financiële instellingen | Inkoop, IT-afdelingen, overheid, aanbestedingen |
Wanneer kies je ISAE 3402?
Kies ISAE 3402 als jouw werk direct in de boekhouding van je klant terechtkomt. Denk aan verloning, facturatie, beleggingsadministratie, pensioenadministratie of het verwerken van betalingen.
Een voorbeeld: een administratiekantoor boekt de facturen en betalingen van 60 klanten. De accountants van die klanten moeten kunnen steunen op het werk van het kantoor. Een ISO 27001-certificaat zegt hen niets over de juistheid van de boekingen. Een ISAE 3402 type 2-rapport wel. Welke dienstverleners vaak in deze situatie zitten, lees je op voor wie is ISAE 3402.
Wanneer kies je ISO 27001?
Kies ISO 27001 als je klanten vooral willen weten of hun gegevens veilig zijn. Dat geldt voor softwarebedrijven, hostingpartijen, managed service providers en veel zakelijke dienstverleners.
Een voorbeeld: een softwarebedrijf levert een planningstool aan zorginstellingen. De tool raakt de jaarrekening van die instellingen niet. Hun inkopers en hun functionaris gegevensbescherming willen wel weten of de beveiliging deugt. Dat beantwoord je met ISO 27001. Zie ook ISO 27001 voor SaaS-bedrijven.
Wanneer heb je ISAE 3402 en ISO 27001 allebei nodig?
Als je dienst zowel de cijfers als gevoelige gegevens raakt. Een salarisverwerker is het schoolvoorbeeld. De accountant van de klant wil zekerheid over de loonkosten. De HR-afdeling en de privacy-officer willen weten of de persoonsgegevens van alle medewerkers goed beveiligd zijn.
| Dienstverlener | ISAE 3402 | ISO 27001 |
|---|---|---|
| Salarisverwerker | Ja, voor de loonkosten | Vaak, voor persoonsgegevens |
| Administratiekantoor | Ja, als klanten een accountantscontrole hebben | Soms, op verzoek van klanten |
| Pensioenuitvoerder | Ja, pensioenfondsen vragen erom | Vaak, voor deelnemergegevens |
| SaaS zonder financiële functie | Nee | Ja |
| Hostingpartij voor financiële systemen | Soms, als onderdeel van de keten | Ja |
Kun je ISO 27001 hergebruiken voor ISAE 3402?
Gedeeltelijk. Elk ISAE 3402-rapport bevat algemene IT-beheersmaatregelen: toegangsbeheer, wijzigingsbeheer, back-ups en beheer van de IT-omgeving. Die heb je met een werkend ISO 27001-ISMS meestal al ingericht en vastgelegd.
Wat je niet kunt hergebruiken, zijn de procesmaatregelen. Een tweede controle op salarismutaties of een aansluiting tussen opdrachten en verloning staat nergens in ISO 27001. Die bouw je apart op, zoals beschreven in het ISAE 3402 stappenplan.
Een ISO 27001-certificaat test geen werking per maatregel zoals een type 2-rapport dat doet. De certificerende instelling toetst het managementsysteem met steekproeven. Een accountant van je klant kan daarom niet op dezelfde manier op het certificaat steunen.
Wat de auditor wil zien bij ISAE 3402 en ISO 27001
De twee auditoren kijken anders naar hetzelfde bewijs.
- ISO 27001-auditor: werkt je ISMS? Heb je een risicoanalyse, een verklaring van toepasselijkheid, interne audits en een directiebeoordeling?
- ISAE 3402-auditor: klopt je systeembeschrijving en werkte elke beheersmaatregel in de periode? Hij wil populaties en steekproeven per maatregel.
Veelgemaakte fouten bij de keuze tussen ISAE 3402 en ISO 27001
- Het een als vervanging van het ander aanbieden. Vraag de klant wie het bewijs leest en waarvoor.
- ISAE 3402 een certificaat noemen. NOREA waarschuwt daar uitdrukkelijk voor.
- ISO 27001 alleen voor de IT-afdeling inrichten. Bij een salarisverwerker horen ook de verwerkingsprocessen bij de scope van je beveiliging.
Veelgestelde vragen over ISAE 3402 en ISO 27001
Wat moet ik eerst doen, ISAE 3402 of ISO 27001?
Begin met wat je klanten het vaakst vragen. Komt de vraag van accountants van klanten, dan begin je met ISAE 3402. Komt hij van inkoop of aanbestedingen, dan met ISO 27001. Heb je beide nodig, dan helpt een ISMS als fundament: je algemene IT-beheersing staat dan al als je aan ISAE 3402 begint.
Kan dezelfde partij ISAE 3402 en ISO 27001 doen?
Niet altijd. Een ISO 27001-certificaat komt van een certificerende instelling. Een ISAE 3402-rapport komt van een accountant of register-IT-auditor. Sommige organisaties hebben beide in huis, maar het blijven twee aparte opdrachten met eigen regels.
Telt ISAE 3402 mee voor NIS2?
Niet automatisch. De Cyberbeveiligingswet vraagt om passende beveiligingsmaatregelen en een zorgplicht voor de keten. Een ISAE 3402-rapport gaat over financiële processen en dekt dat maar deels. Een ISMS volgens ISO 27001 sluit beter aan, zie NIS2 en ISO 27001.
Accepteren Amerikaanse klanten ISAE 3402?
Vaak wel, omdat ISAE 3402 en SOC 1 inhoudelijk dezelfde vraag beantwoorden. Sommige klanten vragen specifiek om een SOC 1. Veel auditkantoren kunnen één rapport maken dat aan beide standaarden voldoet.
Meer informatie
- Wat is ISAE 3402?: de basis
- Wat is ISO 27001?: de norm voor informatiebeveiliging
- ISAE 3402 vs SOC 2: de financiële variant naast het beveiligingsrapport
- ISO 27001 vs SOC 2: certificaat naast rapport
- ISO 27001 kosten en tijdlijn: wat een certificaat kost