wij zijn niet ISO 27001 gecertificeerd, wat schrijf ik dan in de vragenlijst

Zonder certificaat toch inhoudelijk antwoorden

Zonder ISO 27001 vul je niet "nee" in en laat je het daar niet bij — je beantwoordt de onderliggende vraag inhoudelijk, per maatregel. Een vragenlijst die naar het certificaat vraagt, wil eigenlijk weten of de tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn (risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenveiligheid, kwetsbaarhedenbeheer, cryptografiebeleid, toegangsbeheer, MFA, en de rest) op orde zijn. Het certificaat is één manier om dat aan te tonen, niet de enige. Zonder certificaat beantwoord je dus per maatregel wat je wél hebt: een beleidsdocument, een procedure, een tool, een contractuele afspraak met een leverancier.

In de praktijk betekent dit dat je de vraag over het certificaat zelf kort en feitelijk beantwoordt — is de onderneming ISO 27001-gecertificeerd? beschrijft hoe je die specifieke vraag zonder certificaat toch onderbouwt — en dat je vervolgens de vervolgvragen niet overslaat. Veel portalen splitsen het certificaat en de onderliggende maatregelen in aparte vragen; als je alleen "nee" invult bij het certificaat en de rest leeg laat, mist de afnemer precies de informatie waarmee hij zijn eigen risico-inschatting maakt. Vul liever elk onderdeel in met wat feitelijk aanwezig is, ook als dat geen extern getoetst geheel is.

Waar dat verband uit volgt: Annex A en artikel 21 lid 2

ISO/IEC 27001 Annex A beschrijft de beheersmaatregelen die een managementsysteem moet afdekken, en die maatregelen overlappen grotendeels met de tien categorieën uit artikel 21 lid 2 van de NIS2-richtlijn. Een afnemer die naar het certificaat vraagt, toetst in feite of die onderliggende maatregelen bestaan; het certificaat is de bevestiging door een externe partij, maar de vragenlijst zelf vraagt vaak ook los naar onderdelen zoals het toegangsbeleid en het beheer van bedrijfsmiddelen of de procedure voor beveiligingsincidenten. Zonder certificaat blijft die onderliggende vraag bestaan, en blijft die het antwoord waard.