we hebben geen ISO certificaat, hoe beantwoord ik die vraag toch goed

Geen certificaat is geen "nee", wel een andere onderbouwing

Vul bij deze vraag niet automatisch "nee" in. Een ISO 27001-certificaat is een bewijs van een auditor dat het managementsysteem voldoet aan de norm — maar de onderliggende vraag van je klant gaat meestal over de maatregelen zelf, niet over het stuk papier. Heb je beleid voor toegangsbeheer, incidentafhandeling, continuïteit en de andere onderdelen uit Annex A van ISO 27001, dan kun je dat beschrijven zonder certificaat te claimen. Beantwoord de vraag dus in twee lagen: eerst het feit ("niet gecertificeerd"), dan de toelichting ("wel beleid dat aansluit op de volgende onderdelen"). Zo blijft het antwoord waar, en geeft het de klant toch iets bruikbaars.

In de praktijk splitst de vragenlijst dit meestal zelf al: één vraag naar het ISO 27001-certificaat apart, en losse vragen naar de onderliggende maatregelen. Beantwoord die laatste dan op hun eigen merites — bijvoorbeeld de vraag over toegangsbeleid en beheer van bedrijfsmiddelen of die over risicoanalyse en beveiliging van informatiesystemen. Heb je voor een specifiek onderdeel geen document, antwoord daar dan "nee" of "deels" op — niet op de hele lijst tegelijk omdat het certificaat ontbreekt. Eén ontbrekend stuk hoeft niet elk ander antwoord te besmetten.

Annex A en artikel 21 lid 2 vragen om maatregelen, niet om een certificaat

ISO/IEC 27001 zelf bestaat uit twee delen: de eisen aan het managementsysteem, en Annex A met de beheersmaatregelen (toegang, cryptografie, leveranciers, incidenten, continuïteit, en zo verder). Een certificaat toont aan dat een auditor het systeem heeft getoetst; het is niet de enige manier om te laten zien dat de maatregelen er zijn. Ook artikel 21 lid 2 van de NIS2-richtlijn, met de tien verplichte maatregelen, vraagt naar wat een organisatie doet — niet naar welk certificaat zij heeft. Voor de meeste vragenlijsten geldt daarom: beleid en een aantoonbare praktijk beantwoorden de kern van de vraag, ook zonder ISO-certificaat.