ISO 27701-certificaat: hoe lang is het geldig?
Een ISO 27701-certificaat is in de regel drie jaar geldig. In jaar één en twee volgt een jaarlijkse controle-audit. In jaar drie komt een volledige hercertificering. Blijft je systeem op orde, dan loopt het certificaat door. Gaat er iets mis, dan kan de certificeerder het opschorten of intrekken. De geldigheid hangt dus niet alleen aan de datum, maar aan wat je in de tussentijd doet.
Controleer altijd de voorwaarden van je eigen certificeerder, want die kunnen details anders regelen. Dat is de gangbare cyclus voor managementsysteemcertificaten onder ISO/IEC 17021-1, de norm voor certificerende instellingen. Het auditproces zelf staat op het auditproces bij ISO 27701. Of een certificeerder geldig is, controleer je in het RvA-register , zie accreditatie van certificeerders.
De cyclus in één overzicht
| Jaar | Wat gebeurt er | Wat je moet laten zien |
|---|---|---|
| 0 | Certificeringsaudit, in twee fasen | Volledig PIMS, werkend in de praktijk |
| 1 | Jaarlijkse controle-audit | Systeem werkt nog, afwijkingen opgelost, verwerkingsregister actueel |
| 2 | Jaarlijkse controle-audit | Hetzelfde, plus eventuele wijzigingen in scope of processen |
| 3 | Hercertificering | Een volledige nieuwe audit, vergelijkbaar met de eerste |
Het certificaat hangt aan een scope: welke organisatie, welke diensten, welke locaties. Een controle-audit is kleiner dan de eerste audit, maar niet vrijblijvend. De auditor kijkt of het systeem nog functioneert en of de klachten en incidenten zijn afgehandeld.
Plan de hercertificering al in het tweede jaar. Dan heb je tijd om de tekortkomingen uit de controle-audits op te lossen. Wie pas in jaar drie begint, loopt een groot risico op een negatieve uitkomst.
Wat gebeurt er bij een afwijking?
Een auditor kan afwijkingen constateren. Die komen in twee soorten. Een kleine afwijking (vaak “minor” genoemd) moet je oplossen, maar die bedreigt het certificaat niet direct. Een grote afwijking (vaak “major”) is ernstiger: bijvoorbeeld een structureel ontbrekend onderdeel, of een verwerking zonder grondslag die je niet hebt opgepakt.
Bij een grote afwijking krijg je een termijn om het op te lossen. Lukt dat niet, dan volgt in de regel opschorting of intrekking (de exacte termijnen staan in de voorwaarden van je certificeerder). Opgeschorte certificaten mag je niet als geldig gebruiken. Dat is een reden om klanten direct te informeren als er iets speelt.
Hoe je afwijkingen behandelt, lees je op het auditproces, in het stuk over soorten bevindingen.
Wat als je scope verandert?
Veranderen je diensten of locaties, dan moet je dat aan de certificeerder melden. Denk aan een nieuwe productlijn met andere persoonsgegevens, of een verhuizing van een afdeling naar een ander land. Dat kan een tussentijdse audit uitlokken, afhankelijk van de omvang van de wijziging.
Voorbeeld: een SaaS-bedrijf dat een HR-module toevoegt aan de scope. Die module verwerkt salarisgegevens. Dat is een wezenlijke wijziging, en je certificeerder wil die beoordelen voordat het in de scope staat. Een kleine tekstwijziging in een privacyverklaring is dat meestal niet.
Overstappen naar een andere certificeerder
Je mag van certificeerder wisselen, bijvoorbeeld omdat een andere partij beter past bij je sector of prijs. Dat heet een overdracht van het certificaat. De nieuwe certificeerder moet:
- de geldigheid van het lopende certificaat controleren
- het laatste auditrapport inzien
- beoordelen of de scope en de accreditatie passen
Let op de accreditatie. Een certificaat telt alleen als de nieuwe instelling geaccrediteerd is voor ISO/IEC 27701. Hoe je dat controleert, lees je op accreditatie van certificerende instellingen.
Overstappen midden in een cyclus is niet hetzelfde als een nieuw traject starten. De nieuwe certificeerder bepaalt zelf of hij een volledige audit wil, of genoegen neemt met een beperkte beoordeling. Vraag dat vooraf schriftelijk.
Wat als het certificaat verloopt?
Verloopt het certificaat omdat je niet bent hercertificeerd, dan begin je opnieuw. Dan doe je de certificeringsaudit opnieuw, met alle fases. Dat is duurder dan het onderhouden van het systeem, dus plan de hercertificering op tijd in. Kosten van een nieuw traject lees je op kosten en tijdlijn.
Hoe toon je een certificaat correct?
Een certificaat is een bewijs van een scope op een moment. Vermeld dat ook zo. Gebruik de volgende formulering:
- “ISO/IEC 27701-gecertificeerd voor [scope], geldig tot [datum].”
En niet:
- “AVG-gecertificeerd.” Dat is onjuist, zie AVG en ISO 27701.
- “ISO 27701-gecertificeerd” zonder scope. Een klant weet dan niet wat er precies is gecertificeerd.
Heb je een certificaat op de 2019-norm? Dat blijft geldig tot de overgangsdeadline in oktober 2028, mits je aan de eisen blijft voldoen. Lees overstappen naar de 2025-versie.
Veelgemaakte fouten
Het certificaat als eindpunt zien. Een certificaat is het begin van een cyclus van onderhoud. Wie na de eerste audit stopt met het systeem, heeft bij de controle-audit een probleem.
De datum verkeerd lezen. De geldigheid staat op het certificaat, maar de controle-audits bepalen of het blijft gelden. Zet de data van de audits in je agenda.
Een scopewijziging vergeten te melden. Dat kan leiden tot een certificaat dat niet meer dekt wat je doet. Dat is een risico voor klanten en voor jou.
Voorbeeld: een scopewijziging halverwege de cyclus
Een bedrijf is in jaar twee van de cyclus. Het certificaat dekt de klantenadministratie. Het bedrijf neemt een tweede product in gebruik, een marketingtool die e-mailadressen van klanten van klanten verwerkt. Dat valt buiten de huidige scope.
Het bedrijf doet vier dingen. Het meldt de wijziging schriftelijk aan de certificeerder. Het voert een privacy-risicoanalyse uit voor de nieuwe tool en legt die vast in het verwerkingsregister. Het sluit een verwerkersovereenkomst met de leverancier van de tool. Het vraagt de certificeerder welke beoordeling bij deze wijziging hoort.
De certificeerder kan de scope uitbreiden na een beperkte beoordeling, of de wijziging meenemen in de volgende controle-audit. Welke route geldt, bepaalt de certificeerder. Vraag het op voordat je de nieuwe tool live zet.
Het voorbeeld laat zien waarom de melding ertoe doet. Een tool die buiten de scope valt en toch persoonsgegevens verwerkt, is een fout in het systeem, ook als het certificaat geldig blijft.
Veelgestelde vragen over geldigheid
Mag ik mijn certificaat op de website tonen? Ja, met de scope en de geldigheidsdatum erbij. Let op de gebruiksregels van je certificeerder. Die geven vaak aan hoe je het logo en de tekst mag gebruiken.
Kan een klant mijn certificaat zelf controleren? Vaak wel. Vraag je certificeerder naar een verificatiemogelijkheid of een publieke lijst. Een klant die het certificaat wil controleren, zal die informatie meestal snel krijgen.
Wat als mijn certificaat per ongeluk verloopt? Neem dan direct contact op met je certificeerder. Of en hoe je het certificaat kunt herstellen, hangt af van de situatie en de voorwaarden. Reken er in ieder geval op dat je mogelijk opnieuw moet beginnen.
Volgende stappen
Plan je eerste certificering met het stappenplan. Lees de kosten en tijdlijn voor de doorlopende kosten na certificering. En zoek je een geldige certificeerder? Kijk dan naar accreditatie van certificerende instellingen.
Bronnen
- ISO/IEC 27701 bij ISO – de norm
- Raad voor Accreditatie (RvA) – het register van geaccrediteerde instellingen
- Autoriteit Persoonsgegevens – de AVG in het kort