Hoe lang duurt ISO 27001-certificering?
Pisotive plant een ISO 27001-traject het liefst in 6 tot 9 maanden. Bij een grotere organisatie kan het wat langer duren. In die bandbreedte zit ruimte voor de vertragingen die bijna altijd voorkomen, zoals afgezegde afspraken of wachten op een leverancier.
Sneller kan, maar dan komt er meer druk op te liggen. Bij samen doen kost het traject je organisatie 60 tot 110 uur, bij 1 tot 25 medewerkers.
Daarom kan fase 2 soms al direct volgen.
Wat vertraagt een ISO 27001-traject?
Vaak de capaciteit en de prioriteit die de klant zelf aan het traject geeft. Wij plannen de gesprekken in, maar de klant moet dan wel beschikbaar zijn. Wordt een afspraak afgezegd, dan heb je niet zomaar in dezelfde week een nieuwe.
Daarnaast moeten de beheersmaatregelen worden ingeregeld, en daar heb je soms leveranciers voor nodig. Dan ben je afhankelijk van hun doorlooptijd, en moet je er soms achteraan. Daarom starten we daar zo vroeg mogelijk mee. De regie ligt dan wel bij de klant, die de directe lijn met de softwareleverancier heeft. En soms worden interne overleggen verschoven waar iets besloten moest worden.
Wat doet Pisotive als een ISO 27001-traject uitloopt?
We hebben een signalerende rol. Zien we te weinig voortgang, dan gaan we het gesprek aan: hoe sturen we bij, zodat we binnen de bandbreedte blijven? Soms zegt een klant dat er geen harde deadline is en dat het prima kan opschuiven. Daar bewegen we in mee. Het blijft zoeken naar de juiste prioriteiten, en uiteindelijk beslist de klant.
Kan ISO 27001-certificering sneller?
Ja. Dat betekent wel dat er meer druk op komt te liggen, en dat we dichter bij de huidige situatie blijven. We nemen dan niet meteen alle ambities mee die je op korte termijn hebt, maar vullen alleen aan wat je echt nodig hebt voor de certificering.
Je ambities leggen we dan vast in de directiebeoordeling, als zaken die je na de certificering en in de jaren daarna verder optimaliseert.
Hoeveel tijd kost ISO 27001 je zelf?
Bij samen doen, voor 1 tot 25 medewerkers, 60 tot 110 uur over het hele traject. De bandbreedte zit vooral in hoe efficiënt mensen taken oppakken, en in de diepgang.
We doen taken meestal eerst één keer samen voor, zodat je weet hoe diep een registratie moet gaan, hoe uitgebreid een controle en een controlerapport moeten zijn, en wanneer iets voldoende is ingevoerd. Daar hebben we voorbeelden voor. Sommige organisaties of mensen willen het toch uitgebreider uitwerken. Die vrijheid heb je, het moet passen bij wie je bent, maar het kost dan meer tijd. Dat geldt ook als het in je organisatie gebruikelijk is om veel te overleggen.
Hoe lang zit er tussen de fase 1- en fase 2-audit van ISO 27001?
Dat hangt af van de certificerende instelling. Meestal zit er zo'n vier weken tussen, maar het wordt ook weleens korter. De instellingen waar wij mee werken, weten dat wij betrokken zijn. Dat geeft vertrouwen dat fase 1 goed is voorbereid.
Het is voorgekomen dat we op vrijdag de fase 1-audit hadden en op maandag direct doorgingen met fase 2. Dan moet je wel razendsnel kunnen schakelen als er verbeterpunten uit fase 1 komen, om die in fase 2 te kunnen aantonen. Dat hebben we laten zien. Meestal komen er uit fase 1 maar 0, 1 of 2 aandachtspunten.
Welke stappen zet je voor ISO 27001, en wat kosten ze?
De stappen lees je bij hoe je een ISO 27001-certificaat behaalt, de eisen bij de eisen van ISO 27001, en de bedragen bij de kosten van ISO 27001.
De praktische aanpak hielp ons om snel vooruitgang te boeken zonder te verdwalen in ingewikkelde theoretische kaders.
Veelgestelde vragen
Kan ISO 27001-certificering sneller dan zes maanden?
Ja, als het moet. Er komt dan meer druk op, en we blijven dichter bij de huidige situatie. Je ambities pak je na de certificering op.
Duurt ISO 27001 langer dan ISO 9001?
De doorlooptijd die we aanraden is gelijk: 6 tot 9 maanden. Het kost je wel meer eigen tijd: 60 tot 110 uur tegenover 40 tot 80 uur bij ISO 9001.
Wat als we geen harde deadline hebben voor ISO 27001?
Dan kan het traject opschuiven, en bewegen we mee. We signaleren wel als de voortgang achterblijft, zodat je bewust kunt kiezen.
Hoeveel aandachtspunten komen er uit de fase 1-audit van ISO 27001?
Bij onze klanten meestal 0, 1 of 2.
Een korte volwassenheidsscan laat zien op welk niveau je organisatie staat en wat een logische volgende stap is.