Een ISO 27001-certificaat controleren: zo zie je of het echt is

Een leverancier stuurt een pdf met een logo en de woorden “ISO 27001”. Wat weet je dan? Nog niet veel.

ISO verleent zelf geen certificaten. In de woorden van ISO: “ISO itself does not perform certifications or accredit certification bodies” (ISO). Een certificaat komt van een certificatie-instelling. Wat het waard is, hangt af van drie dingen:

• is die instelling zelf gecontroleerd?
• bestaat het certificaat echt?
• dekt het wat jij afneemt?

Valse certificaten bestaan. Volgens Grant Ramaley, in IAF Outlook van 31 mei 2024, ontdekt het team achter IAF CertSearch, de internationale database van geaccrediteerde certificaten, “an estimated 20,000 fake certificates per year” (IAF Outlook). Het is een schatting zonder gepubliceerde methode.

Onder de Cyberbeveiligingswet telt dit extra. De toelichting bij artikel 10 van het Cyberbeveiligingsbesluit noemt “certificering van de toeleveranciers” als manier om leveranciers te toetsen (Stb. 2026, 189). Dan moet je wel weten of het certificaat klopt.

Dit is de controle in vier stappen.

Wat er op het certificaat hoort te staan

Leg het certificaat naast deze lijst:

• de naam en het adres van de certificaathouder;
• de scope: welke diensten, processen en locaties onder het certificaat vallen;
• de norm en de versie, bijvoorbeeld ISO/IEC 27001:2022;
• het certificaatnummer;
• de datum van afgifte en de datum tot wanneer het geldig is;
• de naam van de certificatie-instelling;
• als de instelling geaccrediteerd is: het accreditatiemerk en het registratienummer van de accreditatie-instelling.

Sommige certificaten noemen ook de versie van de Verklaring van Toepasselijkheid (Statement of Applicability). Staat die er niet op, vraag er dan naar: je hebt hem nodig bij stap 3.

Ontbreekt de naam van de instelling, of de scope? Dan kun je de rest niet controleren. Vraag om een volledig certificaat.

Stap 1. Is de certificatie-instelling geaccrediteerd voor ISO 27001?

In Nederland is dat de Raad voor Accreditatie (RvA).

• De overheid heeft de RvA aangewezen als nationale accreditatie-instantie, op grond van Europese verordening 765/2008 (RvA).
• De RvA beschrijft accreditatie als “a check of the check”. Het controleert of de instellingen die certificaten afgeven, deskundig en onafhankelijk zijn.

Zo controleer je het:

1. Open op de RvA-site de lijst Alle geaccrediteerden.
2. Zoek de instelling en filter op managementsysteemcertificatie-instellingen.
3. Open de scope (pdf). De scope van accreditatie is de verklaring van de RvA voor welke activiteiten en werkterreinen de accreditatie geldt (RvA, BR003).
4. Kijk of ISO/IEC 27001 erin staat.

Komt de instelling uit het buitenland? Dan controleer je haar accreditatie bij de accreditatie-instantie van dat land. Internationaal werkten die samen in het IAF. Sinds 1 januari 2026 is dat werk, samen met dat van ILAC, ondergebracht in één nieuwe organisatie: Global Accreditation Cooperation Incorporated. Volgens de aankondiging blijven accreditaties onder de IAF-afspraken erkend terwijl die overgaan naar de nieuwe afspraak van die organisatie (aankondiging, 1 januari 2026).

Accreditatie is niet verplicht. ISO schrijft: “Accreditation is not compulsory. While non-accreditation does not necessarily mean an organization is not reputable, being accredited does provide independent confirmation of its competence” (ISO/TC 176/SC 2). Een certificaat van een niet-geaccrediteerde instelling is dus niet automatisch vals. Maar niemand heeft dan gecontroleerd hoe die instelling werkt. Gaat het om een leverancier die ertoe doet, behandel zo'n certificaat dan als een verklaring van de leverancier, niet als onafhankelijk bewijs.

Stap 2. Zoek het certificaat op bij de bron

Begin bij de instelling die het certificaat afgaf. De meeste grote instellingen hebben een openbare zoekfunctie. Je zoekt op naam, op certificaatnummer of op beide. Voorbeelden:

• BSI: certificaten valideren;
• DNV: Certificate Checker;
• TÜV Rheinland: Certipedia;
• TÜV NORD: certificaatdatabase;
• Kiwa: Certificate Finder;
• Bureau Veritas: e-certificates, op certificaatnummer.

Kijk daarna in IAF CertSearch (iafcertsearch.org).

• Zoeken is gratis.
• Volgens ISO bevat de database “only accredited certificates” (ISO).
• Geaccrediteerde instellingen onder de IAF-afspraken moeten hun certificaatgegevens er sinds 26 oktober 2024 in zetten (IAF MD 28).

Niet gevonden betekent niet automatisch vals.

• Een bedrijf kan zijn naam vertrouwelijk laten houden. Je krijgt dan “No results” (CertSearch).
• Instellingen met een uitzondering voor privacy of regelgeving leveren alleen totalen aan (CertSearch).
• Certificaten van niet-geaccrediteerde instellingen staan er nooit in.
• Vind je niets? Vraag het dan rechtstreeks na bij de certificatie-instelling. Dat is ook wat ISO aanraadt.

Gaat het om NEN 7510? Gecertificeerde organisaties worden opgenomen in het NEN 7510-register van NEN (NEN). NEN meldt daarbij dat de vermelding afhangt van wat certificatie-instellingen doorgeven.

Vertrouw niet op een afbeelding van een certificaat op een website of een trust-pagina. Die zegt alleen dat iemand een afbeelding heeft geplaatst.

Stap 3. Past het certificaat bij wat jij afneemt?

Een echt certificaat kan nog steeds over iets anders gaan dan jouw dienst. Controleer drie dingen.

• De naam. Staat op het certificaat precies de rechtspersoon waarmee jij het contract sluit? Of een moeder- of zustermaatschappij?
• De scope. Een certificaat voor “hosting in datacenter X” zegt niets over het team dat jouw software ontwikkelt. Staan de dienst die je afneemt en de locaties waar die wordt geleverd erin?
• De Verklaring van Toepasselijkheid. Vraag welke maatregelen de leverancier van toepassing heeft verklaard, en welke niet. Vraag waarom.

Weet ook wat een certificaat niet zegt. Het NCSC: “Een ISO 27001-certificering bevat geen evaluatie van de weerbaarheid an sich” (NCSC). Het laat zien dat er binnen de scope een managementsysteem voor informatiebeveiliging werkt dat is beoordeeld. Voor een kritieke leverancier vraag je daarnaast naar concrete zaken: de laatste pentest, de incidentprocedure, waar je data staat.

Stap 4. Is het nog geldig?

Kijk naar de data en naar de status in het register. Het register van de instelling of CertSearch laat zien of een certificaat actief is. Een certificaat dat geschorst of ingetrokken is, kan op papier nog geldig lijken.

Een certificatiecyclus duurt doorgaans drie jaar, met tussentijdse controle-audits. De norm voor certificatie-instellingen, ISO/IEC 17021-1, gaat uit van een cyclus van drie jaar, tenzij een schema iets anders voorschrijft (European co-operation for Accreditation, FAQ 51.7). DNV schrijft bijvoorbeeld over zijn eigen certificaten dat elk certificaat drie jaar geldt, met ten minste één periodieke audit per jaar (DNV).

Let op de versie van de norm. Alle geaccrediteerde certificaten op basis van ISO/IEC 27001:2013 zijn verlopen of ingetrokken.

• De overgangsregel van het IAF, die geldt voor geaccrediteerde certificatie-instellingen, zegt: “All certifications based on ISO/IEC 27001:2013 shall expire or be withdrawn at the end of the transition period”.
• Die periode eindigde op 31 oktober 2025 (IAF MD 26:2023).
• Noemt een certificaat in 2026 nog de versie uit 2013? Dan is het niet meer geldig als geaccrediteerd certificaat. Komt het van een instelling die zich niet aan die regel hoeft te houden, dan is dat op zich al een rode vlag.
• Op Nederlandse certificaten kun je ook NEN-EN-ISO/IEC 27001:2023 tegenkomen. Dat is de Europese versie van ISO/IEC 27001:2022. Volgens NEN is die “gelijk aan de mondiale versie, met toevoeging van een Europees voorwoord” (NEN).

Voor NEN 7510 loopt een eigen overgang. Certificaathouders “moeten vóór 20 februari 2027 gecertificeerd zijn tegen de nieuwe norm” (NEN).

Rode vlaggen

• De instelling: er staat geen certificatie-instelling op, of je vindt de instelling niet terug bij de RvA of een andere accreditatie-instantie.
• De naam: de naam op het certificaat wijkt af van de partij waarmee je contracteert.
• De scope: die is vaag (“alle activiteiten”) of ontbreekt.
• De versie: de norm is ISO/IEC 27001:2013.
• Het ISO-logo: het certificaat draagt het logo van ISO. Volgens ISO gebruiken organisaties het ISO-logo niet om hun certificering te tonen; gecertificeerde bedrijven gebruiken het logo van de certificatie-instelling (ISO).
• Niets terug te vinden: het certificaat staat nergens, en de instelling bevestigt het niet als je het navraagt.

Eén rode vlag betekent niet altijd fraude. Het betekent wel: niet accepteren voordat het is opgehelderd.

Leg vast wat je hebt gecontroleerd

Onder de Cyberbeveiligingswet moet je je beleid voor de toeleveringsketen “aantoonbaar” toepassen (Cbb, artikel 10). Noteer per certificaat:

• de datum van je controle;
• welk register je raadpleegde;
• de uitkomst per stap;
• of de scope past;
• de datum waarop het certificaat verloopt. Dat is meteen het moment voor de volgende controle.

Meer over het hele proces lees je in hoe je je leveranciers toetst onder artikel 10.

Waar about.biz past

Zelf controleren: met de gratis ISO-certificaatcheck loop je deze vier stappen door. Je krijgt de juiste registers en een controleverslag voor je eigen dossier. Die controle doe je zelf; about.biz geeft er geen oordeel over.

Via een paspoort: zet een leverancier zijn certificaat in zijn about.biz-paspoort, dan controleert about.biz het bij de certificatie-instelling.

• Erbij komt te staan waar en wanneer, bijvoorbeeld “Gecontroleerd bij het register van de certificatie-instelling op 12 oktober 2026”.
• Verloopt het certificaat, dan verandert het label vanzelf in “verlopen”.
• Wat niet bij een bron te controleren is, zoals een SOC 2-rapport, staat er als “opgegeven”.