Certificering

Certificering in cybersecurity is het formele proces waarbij een onafhankelijke instantie bevestigt dat een organisatie, product of persoon voldoet aan vastgestelde beveiligingsnormen. Een certificering toont aan dat je informatiebeveiliging aantoonbaar op orde is volgens een erkend framework. Voor Nederlandse organisaties zijn certificeringen als ISO 27001, NEN 7510 en SOC 2 de meest gangbare. Ze bieden klanten, partners en toezichthouders een objectief bewijs dat je serieus omgaat met cybersecurity en dat je processen structureel zijn ingericht om risico's te beheersen.

Certificering is meer dan een stempel op papier. Het traject zelf dwingt organisaties om hun beveiligingsprocessen te formaliseren, documenteren en continu te verbeteren. De discipline die een certificeringstraject vereist, leidt vaak tot structurele verbeteringen in de organisatie die verder reiken dan de scope van de certificering zelf. Het maakt cybersecurity van een ad-hoc activiteit tot een gemanaged proces.

Voor wie geldt certificering?

Certificering is in principe vrijwillig, maar in de praktijk steeds vaker een voorwaarde om zaken te kunnen doen. Opdrachtgevers in sectoren als financiele dienstverlening, overheid en zorg eisen geregeld een ISO 27001-certificering van hun leveranciers. Bij aanbestedingen is het een knock-out criterium: zonder certificering word je niet eens uitgenodigd om een offerte in te dienen.

Onder de NIS2-richtlijn moeten organisaties in essentieel en belangrijke sectoren passende beveiligingsmaatregelen treffen en dat aantoonbaar maken. Hoewel NIS2 zelf geen specifieke certificering voorschrijft, erkent de richtlijn certificeringen als middel om compliance aan te tonen. Volgens TUV NORD helpt een ISO 27001-certificering om aan de NIS2-vereisten te voldoen. Het biedt een gestructureerd raamwerk dat veel NIS2-eisen afdekt.

Sectorspecifieke normen als NEN 7510 voor de zorg en BIO (Baseline Informatiebeveiliging Overheid) voor de overheid zijn in die sectoren de facto verplicht. Internationale normen als SOC 2 en PCI DSS zijn relevant voor organisaties die SaaS-diensten leveren aan Amerikaanse klanten respectievelijk creditcarddata verwerken.

Voor individuele professionals bestaan certificeringen als CISSP, CISM, CEH en CompTIA Security+. Deze valideren kennis en vaardigheden en zijn vaak een functie-eis voor security-rollen. Het aantal cybersecurity-vacatures dat een certificering vereist groeit jaarlijks, en gecertificeerde professionals verdienen gemiddeld 15 tot 25 procent meer dan hun niet-gecertificeerde collega's.

Wat zijn de vereisten van certificering?

De vereisten verschillen per norm, maar volgen een vergelijkbaar patroon. Bij ISO 27001 implementeer je een Information Security Management System (ISMS): een systematische aanpak voor het beheren van gevoelige informatie. Dat omvat risicoanalyse, beveiligingsbeleid, toegangscontrole, incidentmanagement, leveranciersbeheer en continue verbetering volgens de Plan-Do-Check-Act cyclus.

Het certificeringstraject bestaat uit een gap-analyse (waar sta je nu ten opzichte van de norm), implementatie van ontbrekende maatregelen, een interne audit om de effectiviteit te toetsen en vervolgens een externe audit door een geaccrediteerde certificeringsinstantie. Die externe audit gebeurt in twee fasen: een documentatiereview (stage 1) en een praktijkbeoordeling ter plaatse (stage 2). De auditor beoordeelt niet alleen of beleid bestaat, maar ook of het daadwerkelijk wordt nageleefd.

Na certificering volgen jaarlijkse surveillance-audits en om de drie jaar een hercertificering. De doorlooptijd voor een ISO 27001-certificering ligt gemiddeld tussen vier en negen maanden, afhankelijk van organisatiegrootte en volwassenheidsniveau. Kosten variaren van 7.500 tot 15.000 euro voor kleinere organisaties tot meer dan 50.000 euro voor enterprise-omgevingen, inclusief auditkosten en eventueel externe consultancy voor de implementatie van ontbrekende maatregelen en de begeleiding van het hele traject.

Een veelgemaakte fout is certificering als eenmalig project benaderen. De norm vereist continue verbetering. Organisaties die na certificering achterover leunen, lopen het risico hun certificaat te verliezen bij de surveillance-audit. Integreer het ISMS in je dagelijkse bedrijfsvoering in plaats van het als apart project te behandelen.

Wat gebeurt er bij niet-naleving?

Het niet hebben van een certificering is op zichzelf niet strafbaar, maar de consequenties zijn reeel. Je verliest opdrachten aan gecertificeerde concurrenten, met name bij aanbestedingen en tenders. Onder NIS2 riskeer je bij onvoldoende beveiligingsmaatregelen boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

Bij een datalek of beveiligingsincident wordt het ontbreken van certificering als verzwarende omstandigheid gezien. Toezichthouders zoals de Autoriteit Persoonsgegevens beoordelen of je passende technische en organisatorische maatregelen hebt getroffen. Een erkende certificering toont aan dat je dat systematisch hebt gedaan. Zonder certificering draag je de bewijslast zelf, wat aanzienlijk lastiger is.

Daarnaast eisen cyberverzekeraars steeds vaker aantoonbare compliance. Een certificering kan resulteren in lagere premies en betere dekkingsvoorwaarden. Bij afwezigheid van certificering kan de verzekeraar claimen dat je onvoldoende maatregelen hebt getroffen en de uitkering weigeren of beperken. In de supply chain werkt certificering als een kwaliteitskeurmerk: het geeft je opdrachtgevers zekerheid over jouw beveiligingsniveau en vermindert hun eigen ketenaansprakelijkheid.

Reputatieschade is een andere consequentie van het ontbreken van certificering. Bij een beveiligingsincident communiceert een gecertificeerde organisatie vanuit een sterkere positie: je kunt aantonen dat je structureel aan beveiliging werkt. Zonder certificering kan de publieke perceptie zijn dat je beveiliging niet serieus nam. Het certificeringslandschap evolueert continu met het European Cybersecurity Certification Framework onder de EU Cybersecurity Act. De Common Criteria (ISO 15408) biedt productcertificering, het C5-attest van het BSI en de ISAE 3402-verklaring bieden aanvullende zekerheid. Organisaties doen er goed aan het certificeringslandschap te volgen en hun strategie af te stemmen op markteisen en toezichthouders. De trend richting supply chain security maakt certificering ook voor kleinere leveranciers steeds relevanter, omdat grote opdrachtgevers hun hele keten willen afdekken.

Veelgestelde vragen over certificering

Welke cybersecurity-certificering past bij mijn organisatie?

Dat hangt af van je sector en klantenkring. ISO 27001 is de meest universele keuze. Werk je in de zorg, dan is NEN 7510 essentieel. Voor overheidsleveranciers geldt BIO. SOC 2 is relevant als je SaaS-diensten levert aan internationale klanten. PCI DSS geldt bij creditcardverwerking. Overweeg ook branchespecifieke certificeringen die je concurrentiepositie in een specifieke sector versterken.

Hoe lang duurt een certificeringstraject?

Gemiddeld vier tot negen maanden voor ISO 27001, afhankelijk van je startpositie. Organisaties met een bestaand beveiligingsbeleid zijn sneller klaar. De externe audit zelf duurt twee tot vijf dagen, afhankelijk van de scope.

Wat kost een ISO 27001-certificering?

Voor MKB-bedrijven liggen de totale kosten tussen 7.500 en 15.000 euro, inclusief externe audit. Grotere organisaties betalen meer vanwege de omvang van de scope. Reken op jaarlijkse surveillance-auditkosten van 3.000 tot 8.000 euro en eventueel consultancy.

Is certificering verplicht onder NIS2?

NIS2 schrijft geen specifieke certificering voor, maar vereist wel aantoonbare beveiligingsmaatregelen. Een erkende certificering als ISO 27001 helpt om die aantoonbaarheid te leveren en vereenvoudigt het compliance-proces aanzienlijk.

Wat is het verschil tussen certificering en compliance?

Compliance betekent dat je voldoet aan wet- en regelgeving. Certificering is een formele bevestiging door een onafhankelijke partij dat je aan een specifieke norm voldoet. Je kunt compliant zijn zonder certificering, maar certificering maakt compliance aantoonbaar en objectief verifieerbaar.

Start je certificeringstraject met de juiste specialist. Vergelijk Governance Risk Compliance aanbieders op IBgidsNL.