Gratis controle
ISO-certificaat controleren
about.biz zoekt het certificaat niet voor je op en geeft er geen oordeel over. De voorwaarden van IAF CertSearch en van verschillende certificatie-instellingen staan geautomatiseerd opzoeken niet toe. Wat je hier invult, blijft in je browser.
Wat opvalt
Op basis van wat je invulde valt niets op. Loop de stappen hieronder na.
De controle in vier stappen
01
Is de instelling geaccrediteerd?
In Nederland accrediteert de Raad voor Accreditatie (RvA). Zoek de instelling op, open de scope van haar accreditatie en kijk of de norm erin staat. Een buitenlandse instelling controleer je bij de accreditatie-instantie van dat land.
02
Zoek het certificaat op bij de bron
Begin bij het register van de instelling die het afgaf. Kijk daarna in IAF CertSearch, de internationale database van geaccrediteerde certificaten. Niet gevonden betekent niet automatisch vals: vraag het dan na bij de instelling.
03
Past het bij wat je afneemt?
Een echt certificaat kan over iets anders gaan dan jouw dienst. Vergelijk de naam, de scope en de locaties met je contract.
04
Is het nog geldig?
Kijk naar de status in het register, niet alleen naar de datum op papier: een geschorst of ingetrokken certificaat kan op papier nog geldig lijken.
Checklist
Vink af wat je hebt gecontroleerd. Het komt in je verslag.
Controleverslag
Je eigen vastlegging van deze controle, voor je dossier.
- Datum van de controle
- niet ingevuld
- Norm en versie
- ISO/IEC 27001
- Certificatie-instelling
- niet ingevuld
- Certificaatnummer
- niet ingevuld
- Certificaathouder
- niet ingevuld
- Geldig tot
- niet ingevuld
- Wat opviel
- Niets, op basis van de ingevulde gegevens.
- Geraadpleegde bronnen
- RvA: alle geaccrediteerden · IAF CertSearch
- Niet afgevinktDe instelling is geaccrediteerd voor deze norm (scope van de accreditatie).
- Niet afgevinktHet certificaat staat als geldig in het register van de instelling, of de instelling heeft het bevestigd.
- Niet afgevinktDe naam op het certificaat is precies de rechtspersoon waarmee je het contract sluit.
- Niet afgevinktDe scope dekt de dienst die je afneemt, en de locaties waar die wordt geleverd.
- Niet afgevinktDe versie van de norm is actueel.
- Niet afgevinktJe weet welke maatregelen de leverancier in de Verklaring van Toepasselijkheid heeft uitgesloten, en waarom.
- Niet afgevinktOp het certificaat staat geen ISO-logo. ISO zegt dat organisaties het ISO-logo niet gebruiken om hun certificering te tonen.
Dit verslag is je eigen vastlegging. about.biz heeft dit certificaat niet gecontroleerd en geeft er geen oordeel over.
Volgende controle: uiterlijk op de vervaldatum.
Waarom je een certificaat zelf controleert
ISO geeft zelf geen certificaten af. Een certificaat komt van een certificatie-instelling, en wat het waard is, hangt af van drie dingen: is die instelling zelf gecontroleerd, bestaat het certificaat echt, en dekt het wat jij afneemt?
Accreditatie is niet verplicht. Een certificaat van een niet-geaccrediteerde instelling is dus niet automatisch vals, maar niemand heeft dan gecontroleerd hoe die instelling werkt. Behandel zo'n certificaat bij een leverancier die ertoe doet als een verklaring van de leverancier, niet als onafhankelijk bewijs.
Onder de Cyberbeveiligingswet telt dit extra. De toelichting bij artikel 10 van het Cyberbeveiligingsbesluit noemt certificering van leveranciers als manier om ze te toetsen. Dan moet je wel weten of het certificaat klopt, en kunnen laten zien dat je het controleerde.
Een certificaat zegt ook niet alles. Het laat zien dat er binnen de scope een beoordeeld managementsysteem voor informatiebeveiliging werkt. Voor een kritieke leverancier vraag je daarnaast naar concrete zaken, zoals de laatste pentest en de incidentprocedure.
Veelgestelde vragen
- Hoe lang is een ISO 27001-certificaat geldig?
- Een certificatiecyclus duurt doorgaans drie jaar, met tussentijdse controle-audits. De vervaldatum staat op het certificaat; kijk daarnaast naar de status in het register.
- Waarom zoekt about.biz het certificaat niet automatisch op?
- Omdat dat niet mag. IAF CertSearch en verschillende certificatie-instellingen sluiten geautomatiseerd opzoeken en hergebruik in hun voorwaarden uit. Daarom geeft deze pagina je de juiste plek om het zelf te doen.
- Ik vind het certificaat niet in IAF CertSearch. Is het vals?
- Niet per se. Een bedrijf kan zijn naam vertrouwelijk laten houden, sommige instellingen leveren alleen totalen aan, en certificaten van niet-geaccrediteerde instellingen staan er nooit in. Vraag het rechtstreeks na bij de instelling.
- Wat doet about.biz met een certificaat in een paspoort?
- Onze medewerkers controleren het in het register van de certificatie-instelling en leggen vast waar en wanneer. Verloopt het, dan verandert het label vanzelf in “verlopen”. We tonen een certificaat als tekst, nooit als logo.