ISO 27701 accreditatie: hoe controleer je een certificerende instelling?

Een ISO 27701-certificaat telt alleen als de instelling die het afgeeft geaccrediteerd is voor de norm. In Nederland doet de Raad voor Accreditatie (RvA) dat, of een gelijkwaardige Europese accreditatie-instantie. Accreditatie is een aparte toets op de certificeerder zelf. De RvA heeft een beoordelingsdocument voor certificatie volgens ISO/IEC 27001 en ISO/IEC 27701 (ASR230, versie van september 2024). Je controleert de accreditatie zelf in het publieke register van de RvA , en dat doe je vóórdat je een offerte tekent.

Waarom dat telt: een certificaat van een niet-geaccrediteerde partij wordt door veel klanten en aanbesteders niet als bewijs geaccepteerd. Het basisverhaal over de norm staat op wat is ISO 27701, en de kosten van het traject op kosten en tijdlijn.

Waarom de scope van de accreditatie telt

Accreditatie gebeurt per norm. Een instelling kan geaccrediteerd zijn voor ISO 27001 en niet voor ISO 27701. Dat is een veelvoorkomende verwarring. Een ISO 27001-accreditatie zegt dus niets over ISO 27701.

Let ook op de versie. De 2019-versie en de 2025-versie van de norm zijn verschillend, en certificeerders moeten hun accreditatie bijwerken naar de 2025-versie. Of dat al gebeurd is, staat in het register of volgt uit de scope van de accreditatie. Vraag de certificeerder om bewijs dat hij geaccrediteerd is voor de versie die jij laat certificeren. Lees overstappen naar de 2025-versie als je al een 2019-certificaat hebt.

Een geaccrediteerde partij beantwoordt deze vragen zonder aarzeling. Twijfel je na het antwoord nog, vraag dan een tweede partij dezelfde vragen en vergelijk.

Stap voor stap controleren

Voorbeeldvragen voor in de offerte

Deze vragen helpen je het verschil te zien tussen een serieuze partij en een verkoper die accreditatie belooft zonder bewijs.

Wie de kosten wil vergelijken, vraagt minimaal twee offertes. Voorbeelden van partijen die ISO 27701 uitvoeren, staan op kosten en tijdlijn. Het verschil tussen de offertes zit vaak in de scope die de auditor hanteert, niet in de prijs alleen.

Veelgemaakte fouten

Vertrouwen op een logo. Een logo of een bewering op de website zegt niets. Controleer het register zelf.

De ISO 27001-accreditatie verwarren met 27701. Dat is de meest voorkomende fout. Een instelling kan voor de ene norm geaccrediteerd zijn en voor de andere niet.

Alleen op de prijs letten. Een goedkoop certificaat van een niet-geaccrediteerde partij is geld weggegooid. Je moet het later opnieuw doen.

Een adviseur voor een certificeerder houden. Een adviesbureau dat je systeem opbouwt, mag meestal niet tegelijk je auditor zijn. Vraag of de partijen gescheiden zijn.

Wat gebeurt er na de keuze?

Heb je een geaccrediteerde partij gekozen, dan volgt de certificeringsaudit in twee fasen. Die staat uitgelegd op het auditproces. Het stappenplan voor de voorbereiding vind je op het stappenplan.

Wil je later van certificeerder wisselen? Dan geldt dezelfde controle. Lees daarvoor het stuk over overstappen in ISO 27701-certificaat: geldigheid.

Voorbeeld: een offerte controleren

Een bedrijf krijgt drie offertes voor de certificeringsaudit. Twee partijen noemen de accreditatie in één zin. De derde partij noemt het registratienummer en de scope.

Het bedrijf controleert alle drie in het register. De eerste partij blijkt geaccrediteerd voor ISO/IEC 27001, maar niet voor 27701. De tweede partij staat niet in het register onder die naam. De derde partij heeft een scope die ISO/IEC 27701 noemt, in de versie die het bedrijf wil certificeren.

Alleen de derde offerte is bruikbaar als basis. Dat klinkt vanzelfsprekend, maar in de praktijk is de eerste vergissing de meest voorkomende. Een offerte die er goed uitziet, is pas bruikbaar na de controle in het register.

Een tip voor het gesprek met de certificeerder: vraag welke auditoren ze inzetten en of die ervaring hebben met jouw type verwerking. Een auditor die zorg-IT kent, toetst anders dan iemand die vooral met productiebedrijven werkt.

Veelgestelde vragen over accreditatie

Is een Europese accreditatie-instantie hetzelfde als de RvA? Niet hetzelfde, maar in de Europese afspraken gelijkwaardig. Controleer ook dan het register van die instantie, en of de scope ISO/IEC 27701 noemt.

Wat als de accreditatie van mijn certificeerder tijdens mijn traject wegvalt? Vraag de certificeerder direct wat dat voor jouw certificaat betekent. Een certificaat zonder geldige accreditatie helpt je bij klanten en aanbesteders niet. Leg het bewijs van de vraag en het antwoord vast.

Mijn certificeerder staat niet in het register. Kan dat toch kloppen? Controleer eerst de naam. Zoek ook op de juridische naam van de rechtspersoon, want die kan afwijken van de handelsnaam op de website. Staat er daarna nog steeds niets, dan is de partij niet geaccrediteerd voor de norm.

Moet ik de controle bewaren? Ja. Sla de uitdraai of een schermafbeelding van het register op, met de datum van controle. Zo kun je later laten zien dat de certificeerder op dat moment geaccrediteerd was.

Bronnen

• Raad voor Accreditatie (RvA)  – het publieke accreditatieregister
• RvA: ASR230, certificatie volgens ISO/IEC 27001 en ISO/IEC 27701  – beoordelingsdocument voor certificeerders
• ISO/IEC 27701 bij ISO  – de norm