Wat houdt accreditatie in en waarom is het belangrijk?
Niet alle certificeringsinstanties zijn gelijk. Het cruciale onderscheid is accreditatie — of de instantie onafhankelijk is geverifieerd om ISO 27701-audits uit te voeren volgens een internationaal erkende norm.
In het Verenigd Koninkrijk, UKAS De United Kingdom Accreditation Service (UKAS) is de nationale accreditatie-instantie. Een door UKAS geaccrediteerde certificeringsinstantie is beoordeeld aan de hand van ISO/IEC 17021 (eisen voor audit- en certificeringsinstanties) en heeft specifiek competentie aangetoond in ISO 27701.
Waarom dit belangrijk is:
- Certificaat geloofwaardigheid — Een geaccrediteerd certificaat geniet internationale erkenning dankzij wederzijdse erkenningsovereenkomsten tussen accreditatie-instanties wereldwijd. Een niet-geaccrediteerd certificaat wordt mogelijk niet geaccepteerd door klanten, toezichthouders of inkoopteams.
- Auditkwaliteit — Geaccrediteerde instanties staan onder voortdurend toezicht. Hun auditors moeten voldoen aan competentie-eisen en gestandaardiseerde auditmethoden volgen.
- Beroepsprocedure — Als u het niet eens bent met een auditbevinding, beschikken geaccrediteerde instanties over formele klachten- en beroepsprocedures die onder hun accreditatie vallen.
Controleer de accreditatie altijd rechtstreeks. Zoek in het Verenigd Koninkrijk naar de UKAS-registerInternationaal kunt u contact opnemen met de relevante nationale accreditatie-instantie of het IAF (International Accreditation Forum).
Wat zijn de belangrijkste selectiecriteria?
| Criterium | Wat te controleren | Waarom dit zo belangrijk is |
|---|---|---|
| Accreditatiebereik | Controleer of de instantie specifiek geaccrediteerd is voor ISO/IEC 27701, en niet alleen voor ISO 27001. | Een ISO 27001-accreditatie geeft de instantie op zich geen bevoegdheid om te certificeren volgens ISO 27701. |
| gereedheid voor de editie van 2025 | Vraag of ze momenteel certificaten uitgeven voor de editie van 2025. | Sommige instanties zijn mogelijk nog bezig met het actualiseren van hun auditprocedures voor de zelfstandige structuur voor 2025 |
| Expertise op het gebied van privacyauditors | Vraag naar de kwalificaties van de hoofdauditor: ISO 27701-hoofdauditor, kennis van de AVG, IAPP-certificeringen. | Een auditor die verstand heeft van privacyregelgeving (en niet alleen van beheersystemen) zal uw PIMS effectiever beoordelen. |
| Sectorervaring | Vraag naar voorbeelden van klanten in uw branche. | Een auditor die bekend is met de context van gegevensverwerking in uw sector, zal uw controles en risicobeslissingen sneller begrijpen. |
| Geografische dekking | Bevestig dat ze alle locaties binnen uw certificeringsgebied kunnen controleren. | Organisaties met meerdere vestigingen of internationale organisaties hebben een instantie nodig die efficiënt audits in verschillende rechtsgebieden kan uitvoeren. |
| Geïntegreerde auditfunctionaliteit | Als u ook ISO 27001-gecertificeerd bent, vraag dan of zij gecombineerde audits kunnen uitvoeren. | Een gecombineerde audit vermindert het totale aantal auditdagen, reiskosten en de verstoring van uw team. |
| Prijstransparantie | Vraag een gedetailleerde offerte aan voor Fase 1, Fase 2, toezicht en hercertificering. | Sommige instanties bieden lagere startprijzen, maar hogere kosten voor controle of hercertificering. Onze Kostenoverzicht certificering Inclusief typische tariefranges per organisatiegrootte. |
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Hoe werkt het ISO 27701:2025-auditproces?
Begrip het auditproces Helpt je effectief voor te bereiden en verwachtingen te scheppen bij je team:
Audit fase 1 (documentenbeoordeling)
De auditor beoordeelt uw PIMS-documentatie om vast te stellen of uw managementsysteem is ontworpen om aan de eisen te voldoen. ISO 27701:2025-vereisten. Belangrijke documenten zijn onder meer:
- Documentatie over de reikwijdte en context van PIMS (clausules 4.1–4.4)
- Privacybeleid (Artikel 5.2)
- Beoordeling van privacyrisico's en behandelplan (clausules 6.1.2–6.1.3)
- Verklaring van toepasbaarheid referencing Bijlage A-controles
- Intern auditprogramma en resultaten (clausule 9.2)
- Beoordelingsdocumenten door het management (clausule 9.3)
Fase 1 duurt doorgaans 1-2 dagen. De auditor zal eventuele aandachtspunten aankaarten die vóór fase 2 moeten worden aangepakt.
Fase 2-audit (implementatieaudit)
Dit is de belangrijkste audit. De auditor controleert of uw PIMS is geïmplementeerd en effectief functioneert – en niet alleen gedocumenteerd is. De auditor zal het volgende doen:
- Interview medewerkers om te bevestigen dat ze op de hoogte zijn van en inzicht hebben in hun verantwoordelijkheden op het gebied van privacy.
- Sample bewijs voor geïmplementeerde controles (beleid erkend, risico's beoordeeld, incidenten afgehandeld)
- Controleer of uw toepassingsverklaring uw implementatie van de beheersmaatregelen nauwkeurig weergeeft.
- Evalueer de effectiviteit van uw managementevaluatie- en continue verbeteringsprocessen.
Fase 2 duurt doorgaans 2 tot 8 dagen, afhankelijk van de grootte en de reikwijdte van uw organisatie.
Auditresultaten
| Type zoeken | Wat het betekent | Impact op certificering |
|---|---|---|
| Grote non-conformiteit | Er wordt niet aan een vereiste voldaan, of een controle ontbreekt of is fundamenteel ineffectief. | Dit moet worden opgelost voordat de certificering wordt verleend. Een vervolgcontrole kan nodig zijn. |
| Kleine non-conformiteit | Een vereiste wordt gedeeltelijk vervuld, of de implementatie is inconsistent. | Moet binnen een afgesproken termijn (doorgaans 90 dagen) worden opgelost. De certificering kan vervolgens doorgaan. |
| Mogelijkheid voor verbetering | Een suggestie om uw PIMS te verbeteren, geen tekortkoming in de vereisten. | Geen invloed op de certificering. Adres naar eigen inzicht. |
Toezicht en hercertificering
Na de initiële certificering volgen jaarlijkse surveillance-audits (kortere, gerichte beoordelingen) en een volledige hercertificeringsaudit om de drie jaar. Uw certificeringsinstantie dient u vooraf een duidelijk schema hiervoor te verstrekken.
Welke vragen moet je stellen voordat je een beslissing neemt?
Gebruik deze vragen bij het evalueren van certificeringsinstanties:
- Bent u UKAS-geaccrediteerd voor ISO/IEC 27701? — Controleer de specifieke norm, niet alleen ISO 27001.
- Geeft u certificaten uit op basis van de editie van 2025? Sommige instanties zijn mogelijk nog bezig met de overgang naar een nieuwe auditprocedure.
- Wie wordt mijn hoofdauditor en wat is hun achtergrond op het gebied van privacy? — De competentie van de auditor heeft direct invloed op de kwaliteit van uw auditervaring.
- Kunt u een gespecificeerde offerte opstellen voor de volledige cyclus van drie jaar? — Vergelijk de totale kosten (Fase 1 + Fase 2 + 2 controles + hercertificering), niet alleen de kosten voor de initiële audit.
- Kunt u een gecombineerde ISO 27001/27701-audit uitvoeren? — Indien van toepassing, bespaart dit tijd en geld.
- Wat is uw beleid met betrekking tot de rotatie van auditors? Sommige organisaties geven de voorkeur aan consistentie; andere waarderen nieuwe perspectieven. Zorg dat u weet of u gedurende de hele cyclus dezelfde auditor zult hebben.
- Hoe ga je om met grote afwijkingen? — Zorg dat u de tijdlijn voor de oplossing begrijpt en of een vervolgbezoek extra kosten met zich meebrengt.
- Wat is jouw beschikbaarheid? — Bij populaire certificeringsinstanties kunnen de doorlooptijden 2-3 maanden bedragen. Houd hier rekening mee in uw planning voor de certificering.
Ga eenvoudig aan de slag met een persoonlijke productdemo
Een van onze onboarding-specialisten legt u graag uit hoe ons platform werkt, zodat u vol vertrouwen aan de slag kunt.
Hoe kun je offertes op een eerlijke manier vergelijken?
Vraag offertes aan bij ten minste drie geaccrediteerde instanties en vergelijk deze op basis van gelijke voorwaarden:
| Regelitem | Lichaam A | Lichaam B | Lichaam C |
|---|---|---|---|
| Fase 1-audit (dagen / kosten) | - | - | - |
| Fase 2-audit (dagen / kosten) | - | - | - |
| Toezichtjaar 1 (dagen / kosten) | - | - | - |
| Toezichtjaar 2 (dagen / kosten) | - | - | - |
| Hercertificering Jaar 3 (dagen / kosten) | - | - | - |
| Certificaatuitgifte / UKAS-kosten | - | - | - |
| Reis-/onkosten | - | - | - |
| Totale kosten over 3 jaar | - | - | - |
De laagste prijs is niet altijd de beste. Houd rekening met de expertise van de auditor, de reputatie van de organisatie en of er gecombineerde audits worden aangeboden (indien van toepassing). Een meer ervaren auditor kan daadwerkelijke verbeteringen signaleren in plaats van alleen maar lijstjes af te vinken. Als u ook een auditor inschakelt die gespecialiseerd is in audits, is het belangrijk om hier rekening mee te houden. consultantZorg ervoor dat zij en de certificeringsinstantie volledig gescheiden zijn.
Waarom kiezen voor ISMS.online voor ISO 27701:2025?
- Auditklaar vanaf dag één. — Voorgebouwd framework met alles ISO 27701:2025-vereisten en de controles van Bijlage A in kaart gebracht en traceerbaar
- Een spoor van onopgelost bewijsmateriaal — De koppeling van risico's, beheersmaatregelen, beleidsmaatregelen en bewijsmateriaal biedt auditors een duidelijk stappenplan, waardoor de auditduur en het aantal bevindingen worden verminderd.
- Geautomatiseerde SoA — Genereer uw toepassingsverklaring op basis van uw controleselecties, inclusief onderbouwingen en links naar bewijsmateriaal, klaar voor beoordeling door de auditor.
- Interne auditinstrumenten — Plan en voer interne audits uit voorafgaand aan de certificering, inclusief het beheer van bevindingen en het bijhouden van corrigerende maatregelen.
- Managementbeoordelingsondersteuning Dashboards bieden de informatie die auditors verwachten terug te zien in uw managementrapportages.
- Multikader voor gecombineerde audits — Als uw certificeringsinstantie een gecombineerde ISO 27001/27701-audit uitvoert, toont het platform beide raamwerken op één plek.
- Continue paraatheid — Blijf tussen de controlebezoeken door klaar voor audits met taakbeheer, beoordelingscycli en compliance-dashboards.
Bent u klaar om u voor te bereiden op uw certificeringsaudit? Demo boeken en zie hoe ISMS.online ondersteunt je ISO 27701: 2025 certificering .
Veelgestelde Vragen / FAQ
Kan ik halverwege de certificeringscyclus van instantie wisselen?
Ja, via een proces dat overdracht van certificering heet. De nieuwe certificeringsinstantie beoordeelt uw bestaande certificaat, auditgeschiedenis en eventuele openstaande non-conformiteiten voordat de overdracht wordt geaccepteerd. Dit is doorgaans een eenvoudig proces, maar er kunnen extra kosten aan verbonden zijn. Plan een eventuele overdracht zo dat deze samenvalt met een surveillance- of hercertificeringsaudit om de verstoring tot een minimum te beperken.
Wat is het verschil tussen UKAS-certificering en niet-UKAS-certificering?
UKAS-accreditatie betekent dat de certificeringsinstantie onafhankelijk is beoordeeld aan de hand van internationale normen voor auditbekwaamheid. Certificaten die niet door UKAS zijn geaccrediteerd, worden mogelijk niet erkend door inkoopteams, toezichthouders of internationale partners. Voor de meeste commerciële doeleinden is een door UKAS geaccrediteerd certificaat (of een certificaat van een gelijkwaardige nationale instantie) essentieel.
Hoe lang van tevoren moet ik mijn audit boeken?
De meeste certificeringsinstanties hanteren een doorlooptijd van 6 tot 12 weken voor het inplannen van een audit. Populaire instanties of specifieke verzoeken van auditors kunnen een langere doorlooptijd vereisen. Neem vroegtijdig contact op met de instantie van uw voorkeur om een voorlopige auditdatum af te spreken en bevestig deze wanneer u zeker weet dat u er klaar voor bent.
Kan ik een audit op afstand laten uitvoeren?
Ja, audits op afstand worden nu algemeen geaccepteerd, met name na de praktijken die tussen 2020 en 2022 zijn ingevoerd. De meeste certificeringsinstanties bieden volledig audits op afstand of hybride audits aan. Audits op afstand kunnen reiskosten en de complexiteit van de planning verminderen. De certificeringsinstantie zal echter bepalen of een audit op afstand geschikt is, op basis van de omvang en complexiteit van uw organisatie en de reikwijdte van de audit.
Wat als ik de audit van fase 2 niet haal?
Als er ernstige afwijkingen worden geconstateerd, wordt de certificering opgeschort totdat deze zijn verholpen. U heeft doorgaans 90 dagen de tijd om corrigerende maatregelen te implementeren. Afhankelijk van de aard van de bevindingen kan de certificeringsinstantie een vervolgbezoek eisen (waaraan extra kosten verbonden zijn) of bewijs van de oplossing op afstand accepteren. Kleine afwijkingen vormen geen belemmering voor de certificering, maar moeten wel binnen de afgesproken termijn worden verholpen.
