ISO 27001-certificaat van een leverancier controleren: waarom scope telt

Kort antwoord

Een ISO 27001-certificaat van een leverancier is pas bruikbaar als je weet wie, wat en welke scope daadwerkelijk is gecertificeerd. Controleer daarom niet alleen of er een PDF of logo bestaat, maar minimaal de juridische entiteit, normversie, geldigheidsduur, certificerende instelling, relevante accreditatie en de scopeomschrijving.

De belangrijkste controlevraag is:

Valt de dienst, het proces of de organisatie waarvan wij afhankelijk zijn daadwerkelijk binnen het gecertificeerde information security management system?

Een certificaat voor één bedrijfsonderdeel of een ondersteunende IT-organisatie hoeft niet automatisch jouw afgenomen SaaS-dienst, ontwikkelproces of buitenlandse vestiging te dekken.

Laatst gecontroleerd: 4 augustus 2026. Dit artikel is praktische leveranciersduiding en geen certificeringsaudit, formele validatie of juridisch advies.

Waarom een ISO-logo te weinig zegt

In leveranciersportalen staat vaak één simpele vraag:

ISO 27001 certified? Yes / No

Dat is een nuttige eerste indicator, maar onvoldoende voor een risicogebaseerde beoordeling.

ISO/IEC 27001 is een norm voor een information security management system (ISMS). De Raad voor Accreditatie legt uit dat managementsysteemcertificering bevestigt dat het managementsysteem aan specifieke eisen voldoet. Het is geen productcertificering die automatisch verklaart dat ieder product of iedere dienst aan alle door jou gewenste security-eisen voldoet.

Daarom moet je verder kijken dan het logo.

Stap 1: controleer de juridische entiteit

Vergelijk de naam op het certificaat met:

• de organisatie op je contract;
• KvK- of handelsnaamgegevens waar relevant;
• de entiteit die daadwerkelijk de dienst levert;
• eventuele moeder-, dochter- of groepsmaatschappijen.

Voorbeeld:

Je contracteert met Software Nederland B.V., maar het certificaat staat op Global Holding Ltd.. Dat kan relevant zijn, maar je mag niet automatisch aannemen dat de Nederlandse entiteit of jouw dienst binnen scope valt.

Vraag dan om verduidelijking:

• Welke entiteit levert onze dienst?
• Valt deze entiteit expliciet onder het gecertificeerde ISMS?
• Is er een multisite- of groepsscope?

Stap 2: controleer de normversie

In 2026 hoort een actueel ISO/IEC 27001-certificaat in principe aan te sluiten op ISO/IEC 27001:2022. De overgang van de 2013-versie is volgens de Raad voor Accreditatie uiterlijk eind oktober 2025 afgerond.

Zie je in 2026 nog uitsluitend een certificaat dat verwijst naar ISO/IEC 27001:2013, dan is dat een duidelijk signaal om de leverancier om de actuele certificeringsstatus te vragen.

Let daarnaast op marketingtaal zoals:

• 'ISO 27001 aligned';
• 'ISO-ready';
• 'working towards ISO 27001';
• 'our cloud provider is ISO 27001 certified'.

Geen van deze formuleringen betekent automatisch dat de leverancier zelf een geldig certificaat heeft.

Stap 3: controleer geldigheid en certificaatnummer

Bekijk minimaal:

• uitgiftedatum;
• vervaldatum of certificatiecyclus;
• certificaatnummer;
• eventuele statusinformatie van de certificatie-instelling.

Een verlopen certificaat is geen actueel certificaat.

Ook kan een certificaat tussentijds worden geschorst of ingetrokken. Bij kritieke leveranciers is het daarom verstandig om niet alleen een oude PDF in je dossier te bewaren, maar de status periodiek opnieuw te controleren.

Stap 4: controleer de certificerende instelling

Niet iedere organisatie die een 'certificate' uitgeeft biedt dezelfde mate van vertrouwen.

ISO zelf legt uit dat certificering door een geaccrediteerde conformity assessment body extra vertrouwen kan geven, omdat een accreditatie-instantie onafhankelijk heeft vastgesteld dat de certificatie-instelling competent is voor dit werk.

In Nederland accrediteert de Raad voor Accreditatie certificatie-instellingen. De RvA biedt een openbare zoekfunctie waarmee je geaccrediteerde organisaties en hun scope kunt controleren.

Internationaal kan IAF CertSearch aanvullend helpen om managementsysteemcertificaten te verifiëren wanneer de betreffende certificatie-instelling gegevens heeft opgenomen.

Belangrijk: ook de accreditatiescope van de certificerende instelling telt. Een organisatie kan voor sommige certificatieactiviteiten geaccrediteerd zijn en voor andere niet.

Stap 5: lees de scopezin woord voor woord

Dit is meestal het belangrijkste onderdeel.

Een scope kan bijvoorbeeld luiden:

'The provision, development and support of the Acme Cloud Platform from the Amsterdam and Rotterdam offices.'

Dat is wezenlijk anders dan:

'Corporate IT and information security management for Acme Group headquarters.'

Beide organisaties kunnen een geldig ISO/IEC 27001-certificaat hebben. Toch zegt het tweede voorbeeld mogelijk weinig over de specifieke SaaS-dienst die jij afneemt.

Controleer bij de scope:

• product- of dienstnamen;
• development, hosting, support en operations;
• locaties;
• organisatieonderdelen;
• gedeelde diensten;
• eventuele uitsluitingen of begrenzingen;
• relatie tot de daadwerkelijke klantdienst.

Scope is iets anders dan 'alles binnen het bedrijf'

Een organisatie bepaalt de grenzen en toepasselijkheid van haar ISMS. Dat moet volgens de norm zorgvuldig gebeuren, maar een gecertificeerd ISMS hoeft niet noodzakelijk iedere denkbare activiteit van een concern te omvatten.

Voor leveranciersbeoordeling betekent dit:

certificaat aanwezig is één datapunt;

certificaat relevant voor onze dienst is de echte vraag.

Stap 6: controleer of de dienst binnen scope valt

Gebruik een eenvoudige mapping:

Gebruik 'waarschijnlijk' en 'mogelijk' bewust. De uiteindelijke interpretatie hangt af van het certificaat en de onderliggende organisatie-inrichting.

Stap 7: vraag waar nodig naar de Statement of Applicability

De Statement of Applicability (SoA) is een belangrijk ISMS-document waarin de organisatie vastlegt welke controls relevant zijn, of ze zijn geïmplementeerd en waarom bepaalde controls wel of niet van toepassing zijn.

Maar vraag niet automatisch een volledige SoA van iedere leverancier.

De SoA kan gevoelige interne informatie bevatten. Bepaal eerst of je hem nodig hebt voor het concrete risico.

Bij een kritieke leverancier kun je bijvoorbeeld vragen om:

• een geredigeerde SoA;
• relevante controlreferenties;
• een klantgerichte samenvatting;
• toelichting op specifieke controls die voor jouw risico belangrijk zijn.

Het doel is niet 'meer documenten verzamelen'. Het doel is begrijpen of de certificering jouw risico daadwerkelijk helpt onderbouwen.

Stap 8: kijk naar de relatie met subleveranciers en cloud

Veel leveranciers draaien volledig op AWS, Azure, Google Cloud of gespecialiseerde subverwerkers.

Een veelgemaakte fout is:

'AWS is ISO 27001-gecertificeerd, dus onze leverancier is dat ook.'

Dat klopt niet automatisch.

Een certificering van een cloudprovider kan relevant bewijs zijn voor de onderliggende infrastructuur. De leverancier blijft echter verantwoordelijk voor zijn eigen inrichting, configuratie, toegang, processen en contractuele verplichtingen.

Vraag daarom:

• welke delen van de dienst door subleveranciers worden uitgevoerd;
• of deze afhankelijkheden binnen het ISMS worden beheerst;
• welke verantwoordelijkheid bij de leverancier zelf blijft;
• welke relevante certificaten of assurance-rapporten van subleveranciers beschikbaar zijn.

Stap 9: bepaal of het certificaat voldoende is voor jouw risico

Een geldig, geaccrediteerd ISO 27001-certificaat binnen passende scope is waardevol bewijs. Maar het is niet automatisch het eindpunt van iedere leveranciersbeoordeling.

Voor een laag of middel risico kan het certificaat veel aanvullende vragen overbodig maken.

Voor een zeer kritisch risico kun je aanvullende informatie nodig hebben over bijvoorbeeld:

• hersteltests;
• privileged access;
• incidentmelding;
• secure development;
• recente technische testing;
• beschikbaarheid en uitwijk;
• exit en dataverwijdering.

Stel aanvullende vragen alleen als ze voortkomen uit een specifiek risico.

Lees ook: welk bewijsniveau bij het leveranciersrisico past.

ISO 27001-certificaat versus productveiligheid

Dit onderscheid verdient extra aandacht.

De RvA zegt expliciet dat bij managementsysteemcertificering het managementsysteem van de organisatie wordt beoordeeld. Bij productcertificering wordt juist een product, dienst of proces tegen specifieke producteisen beoordeeld.

ISO/IEC 27001 is dus geen algemene veiligheidsstempel op ieder softwareproduct van een organisatie.

Voorbeeld:

Een softwarebedrijf kan een gecertificeerd ISMS hebben, terwijl jij nog steeds voor jouw specifieke integratie wilt weten:

• of SSO/MFA beschikbaar is;
• hoe tenantisolatie werkt;
• hoe kwetsbaarheden worden behandeld;
• hoe back-ups worden getest;
• hoe jouw data wordt verwijderd bij contracteinde.

Die vragen kunnen volledig legitiem zijn, zolang ze passen bij jouw risico en niet al voldoende worden afgedekt door bestaand bewijs.

Wat betekent dit onder de Cyberbeveiligingswet?

De Cyberbeveiligingswet treedt 15 augustus 2026 in werking. Voor in-scope organisaties is ketenbeveiliging onderdeel van de zorgplicht.

NCSC en RDI leggen daarbij nadruk op risicoanalyse, afhankelijkheden, kwetsbaarheden van leveranciers, beveiligingspraktijken en passende maatregelen.

Een ISO 27001-certificaat kan dus nuttig bewijs zijn in leveranciersmanagement, maar het ontslaat een Cbw-organisatie niet van de vraag of dat bewijs relevant is voor het concrete leveranciersrisico.

Een certificaat dat jouw dienst niet dekt, lost het risico niet op.

Praktijkvoorbeeld: certificaat lijkt goed, scope is te smal

Een zorgorganisatie gebruikt een SaaS-platform voor afspraken en patiëntcommunicatie.

De leverancier uploadt een ISO 27001-certificaat.

De scope blijkt echter alleen te vermelden:

'Internal IT services and corporate support functions.'

De applicatieontwikkeling, productiehosting en supportorganisatie worden niet genoemd.

Dat betekent niet automatisch dat de leverancier onveilig of niet-conform is. Het betekent wél dat het certificaat onvoldoende basis biedt om zonder nadere uitleg te concluderen dat de geleverde SaaS-dienst binnen het gecertificeerde ISMS valt.

De juiste vervolgvraag is dan:

Kunt u bevestigen hoe de ontwikkeling, hosting en ondersteuning van onze SaaS-dienst binnen de ISMS-scope vallen en dit met het actuele certificaat of aanvullende documentatie onderbouwen?

Praktijkvoorbeeld: scope past juist goed

Een MSP levert remote beheer, Microsoft 365-beheer en securitymonitoring.

De certificaatscope noemt expliciet:

• managed IT services;
• cloud administration;
• security operations;
• de vestiging van waaruit de dienstverlening plaatsvindt.

Dat is een veel sterkere match.

Je kunt nog steeds specifieke vragen stellen over hoog-risico-onderwerpen, maar de scope ondersteunt de relevantie van het certificaat duidelijk beter.

Checklist ISO 27001-certificaat leverancier

Gebruik deze checklist bij leveranciersbeoordeling:

• Staat de juiste juridische entiteit op het certificaat?
• Is ISO/IEC 27001:2022 genoemd?
• Is het certificaat nog geldig?
• Is een certificaatnummer beschikbaar?
• Wie is de certificerende instelling?
• Is de certificatie-instelling relevant geaccrediteerd?
• Wat staat letterlijk in de scope?
• Valt onze afgenomen dienst binnen die scope?
• Zijn development, hosting, support of beheer relevant en gedekt?
• Zijn belangrijke locaties of groepsmaatschappijen duidelijk?
• Zijn subleveranciers en gedeelde diensten logisch verwerkt?
• Zijn er specifieke risico's waarvoor aanvullend bewijs nodig blijft?
• Is een periodieke hercontrole van de certificaatstatus vastgelegd?

Als je zelf leverancier bent

Krijgt jouw bedrijf van een klant de vraag om een ISO 27001-certificaat, maar heb je dat niet? Doe dan niet alsof een verzameling screenshots hetzelfde is als certificering.

Controleer eerst of de klant:

• een geldig certificaat als harde eis stelt;
• ISO noemt als voorbeeld;
• 'ISO 27001 or equivalent' schrijft;
• of vooral concrete maatregelen en bewijs wil zien.

Lees dan: Klant vraagt ISO 27001, maar je hebt geen certificaat: wat nu?.

Bronnen en actuele informatie

• ISO — ISO/IEC 27001:2022: https://www.iso.org/standard/27001
• Raad voor Accreditatie — Managementsysteemcertificatie-instellingen: https://www.rva.nl/managementsysteemcertificatie-instellingen/
• Raad voor Accreditatie — Veelgestelde vragen over accreditatie: https://www.rva.nl/veelgestelde-vragen-over-accreditatie/
• Raad voor Accreditatie — Transitie ISO/IEC 27001:2022: https://www.rva.nl/nieuws/transitie-informatiebeveiligingsmanagementsystemen-iso-iec-270012022/
• Raad voor Accreditatie — IAF CertSearch: https://www.rva.nl/nieuws/iaf-certsearch/
• NCSC — Toeleveranciers van Cbw-organisaties: https://www.ncsc.nl/cyberbeveiligingswet-nis2/toeleveranciers-van-cbw-organisaties
• RDI — Toeleveringsketen en cyberbeveiliging: https://www.rdi.nl/onderwerpen/digitale-weerbaarheid/cyberbeveiligingswet/toeleveringsketen

Certificaat ontvangen maar scope onduidelijk?

Beoordeel het certificaat niet alleen als administratief vinkje. Leg de afgenomen dienst naast de scope en bepaal welke resterende vragen uit het echte risico volgen. Voor een breder overzicht van certificering en assurance: ISO 27001, SOC 2, ISAE 3402 of CYRA: wat bewijst het?.