Veel ondernemers krijgen deze vraag pas op tafel doordat een afnemer in een vragenlijst vraagt naar een ISO 27001-certificaat, of naar gelijkwaardig bewijs dat informatiebeveiliging op orde is. Dan volgt al snel de vraag: wat gaat dit kosten? Er is geen vast bedrag te noemen, want de kosten bestaan uit meerdere onderdelen die per bedrijf verschillen.
De drie onderdelen zijn doorgaans: de interne tijd om beleid, procedures en registraties op te stellen en bij te houden, eventuele begeleiding door een externe adviseur, en de audit zelf, uitgevoerd door een certificerende instelling die toetst of het informatiebeveiligingssysteem aan de norm voldoet. Elk onderdeel wordt beïnvloed door de omvang van het bedrijf, het aantal locaties, en hoeveel er al op orde is voordat het traject begint.
Wat een certificerende instelling doet
Een certificerende instelling is een onafhankelijke organisatie die controleert of een bedrijf het informatiebeveiligingssysteem heeft ingericht zoals de ISO 27001-norm voorschrijft, en die daarna het certificaat afgeeft. Deze instelling brengt tijd in rekening voor de audit, meestal verdeeld over een eerste toetsing en een jaarlijkse controle om het certificaat geldig te houden. De rekening van de certificerende instelling is meestal het meest zichtbare deel van de kosten, maar niet het enige deel.
Wat de hoogte van het bedrag bepaalt
Het aantal medewerkers en locaties dat binnen de scope van het certificaat valt, telt mee: hoe meer processen en systemen onderzocht moeten worden, hoe meer tijd de audit kost. Ook telt mee hoeveel er al op orde is. Een bedrijf dat al een informatiebeveiligingsbeleid, een risicoanalyse en vastgelegde procedures heeft, is doorgaans sneller klaar voor de audit dan een bedrijf dat nog moet beginnen. Verder speelt mee of er externe begeleiding wordt ingehuurd voor het voortraject, en hoeveel interne tijd daarvoor beschikbaar is zonder dat het reguliere werk stil komt te liggen.
Certificering is niet de enige weg
Niet elke afnemer vraagt letterlijk om een volledig ISO 27001-certificaat. In veel vragenlijsten wordt gevraagd of bepaalde maatregelen zijn ingevoerd, zonder dat een certificaat wordt geëist. Dat verschil is belangrijk: het laten zien van genomen maatregelen, zoals toegangsbeheer, back-ups en een incidentprocedure, kost minder dan een volledig certificeringstraject en kan voor veel afnemers voldoende zijn. Welke vorm van bewijs een afnemer precies vraagt, staat meestal in de vragenlijst zelf of in de toelichting daarbij.
Voor bedrijven die willen zien welke vragen in hun sector vaak terugkomen en wat daarachter zit, is er de kennisbank waarin onderwerpen per situatie zijn uitgezocht. Daar staat ook toegelicht hoe zo'n vraag zich verhoudt tot andere onderwerpen uit een vragenlijst.
Wat supplia.eu wel en niet doet in dit traject
Supplia.eu certificeert niets en beoordeelt niet of een bedrijf aan de ISO-norm voldoet; dat blijft het werk van de certificerende instelling. Wat supplia.eu wel doet, is het bijhouden van de antwoorden die al eerder zijn gegeven op vragen over informatiebeveiliging, zodat die niet telkens opnieuw hoeven te worden uitgezocht wanneer een volgende afnemer een vergelijkbare vragenlijst stuurt. Dat abonnement staat los van de kosten van een certificeringstraject; de tarieven staan op de pagina met de tarieven van een abonnement.
Eerste stap: zien wat er precies wordt gevraagd
Voordat een bedrijf een traject start, is het verstandig om eerst helder te krijgen wat de afnemer precies vraagt en waarom. Soms blijkt dat een certificaat gewenst is maar niet verplicht, en dat een andere vorm van bewijs ook wordt geaccepteerd. Met een paar vragen die laten zien waar u nu staat wordt in enkele minuten duidelijk om welk type vraag het waarschijnlijk gaat en welke richting daarbij past.
Wilt u weten hoe informatiebeveiliging en de bijbehorende vragenlijsten zich verhouden tot andere onderwerpen zoals NIS2 of KYB? Op de pagina met veelgestelde vragen van andere ondernemers staat een overzicht van vragen die vaak terugkomen, en de gratis quick-scan laat in een paar minuten zien op welke onderwerpen uw bedrijf waarschijnlijk wordt bevraagd.