Is de onderneming ISO 27001-gecertificeerd?

Certificering of alleen de norm toegepast

Deze vraag vraagt naar een certificaat, niet naar een intentie. "ISO 27001-gecertificeerd" betekent dat een onafhankelijke certificerende instelling de onderneming heeft getoetst en een certificaat heeft afgegeven, met een geldigheidsdatum en een scope-omschrijving. Werkt de onderneming wel volgens de norm, maar is er nooit een auditor langs geweest, dan is het antwoord op deze specifieke vraag nee — ook al is de inhoudelijke praktijk misschien vergelijkbaar. Die nuance is precies waar dit soort vragenlijsten om vraagt: niet "doen we aan informatiebeveiliging" maar "is dat extern getoetst en bevestigd".

Is er geen certificaat, dan is het gebruikelijk om dat gewoon zo te melden, eventueel met een korte toelichting op wat er wél is: een informatiebeveiligingsbeleid, een risicoanalyse, of maatregelen die inhoudelijk aansluiten bij de norm zonder de formele toetsing. Veel afnemers accepteren dat als tussenantwoord, zeker wanneer de onderliggende maatregelen — zoals het beleid voor risicoanalyse en de beveiliging van informatiesystemen of de afspraken over toegangsbeheer en bedrijfsmiddelen — wel op orde zijn. Een certificaat is dan het bewijsstuk dat ontbreekt, niet de praktijk erachter.

Annex A als praktische toets

De onderbouwing voor wat een auditor toetst, staat in Annex A van ISO/IEC 27001: de lijst met beheersmaatregelen die de norm voorschrijft, van toegangsbeheer tot leveranciersrelaties tot incidentbeheer. Die lijst is bruikbaar als checklist, ook zonder certificaat: wie kan aantonen dat de meeste Annex A-maatregelen zijn ingevoerd, kan dat als toelichting meegeven bij een "nee" op de certificeringsvraag. Het certificaat zelf, met scope en geldigheidsdatum, blijft het enige bewijs dat de vraag letterlijk beantwoordt met "ja".