Major of minor non-conformiteit bij ISO 27001: wat is het verschil?

De auditor rondt het gesprek af met één woord dat op dat moment alles bepaalt: "major". Of — net zo belangrijk — "minor". In dat ene woord zit het antwoord op de vraag die er nu het meest toe doet: hoe ernstig is dit voor mijn certificaat, en hoeveel tijd heb ik om het recht te zetten? Dit artikel gaat specifiek over dat onderscheid: wat major en minor in de praktijk voor uw certificeringstraject betekenen, wie de hersteltermijn vaststelt, en wat er verandert wanneer de bevinding tijdens de certificatieaudit valt in plaats van tijdens een surveillance-bezoek aan een al lopend certificaat. Dit artikel bouwt voort op de volledige taxonomie van bevindingen, observaties en afwijkingen en zoomt specifiek in op het onderscheid dat voor de meeste organisaties het meest bepalend is voor wat er nu concreet moet gebeuren.

Wat maakt een afwijking 'major' in plaats van 'minor'?

Een non-conformiteit is major wanneer die aantoont dat een eis uit de norm structureel of ernstig niet wordt vervuld — bijvoorbeeld doordat een verplicht proces volledig ontbreekt, doordat een kernmaatregel uit uw eigen Statement of Applicability niet functioneert zoals beschreven, of doordat het vertrouwen in de betrouwbaarheid van het hele managementsysteem daardoor reëel wordt aangetast. Een major raakt zelden één geïsoleerd detail; hij raakt het vertrouwen dat het ISMS als geheel doet wat het beweert te doen. Het praktische gevolg is hard en eenduidig: zolang een major openstaat, kan een certificerende instelling geen positief certificeringsbesluit nemen, en bij een reeds afgegeven certificaat kan een major tijdens surveillance leiden tot schorsing.

Een minor non-conformiteit is een kleinere, doorgaans op zichzelf staande tekortkoming: een eis wordt niet volledig vervuld, maar het onderliggende systeem functioneert wél. Denk aan een risicoregister dat één cyclus niet is bijgewerkt, een bewustwordingstraining die is uitgevoerd maar onvolledig is vastgelegd, of een controle-eigenaar die niet formeel is aangewezen terwijl de onderliggende beheersmaatregel zelf inhoudelijk werkt. Een minor blokkeert certificering niet, maar is evenmin vrijblijvend: hij vraagt om een gedocumenteerd én geverifieerd corrigerend actieplan, binnen een termijn die de certificerende instelling vaststelt.

Dit onderscheid is bovendien geen momentopname. Een cluster van meerdere minors die zich concentreren rond dezelfde beheersmaatregel of hetzelfde proces, kan door een auditor gezamenlijk als bewijs van een structureel — dus major — probleem worden beoordeeld. En een minor die de hersteltermijn overschrijdt zonder aantoonbaar effectieve opvolging, kan bij het eerstvolgende bezoek alsnog als major worden geherclassificeerd. Hoe dat escalatiemechanisme precies werkt, leest u verderop bij de veelgestelde vragen.

Dit onderscheid bestaat niet om afwijkingen willekeurig zwaarder of lichter te laten klinken. Het is een risicogestuurd mechanisme uit de auditmethodiek: de ernstclassificatie bepaalt hoe zwaar de respons moet zijn, in verhouding tot het daadwerkelijke risico voor de betrouwbaarheid van uw ISMS. Een auditor die iedere afwijking als major zou behandelen, zou organisaties onnodig op kosten en stress jagen voor kleine, beheersbare tekortkomingen; een auditor die alles als minor zou behandelen, zou het certificaat zijn onderscheidend vermogen ontnemen. De classificatie is dus een proportionaliteitsinstrument, geen willekeurig etiket.

De gevolgen: wat staat er precies op het spel?

Het onderscheid tussen major en minor is geen bureaucratisch label — het bepaalt wat er de komende weken daadwerkelijk met uw certificeringstraject gebeurt. Verkeerd reageren kost in beide richtingen tijd en geld: een minor behandelen met de urgentie en het budget van een crisis, terwijl het team eigenlijk gewoon volgens planning door kan, is net zo kostbaar als een major onderschatten en daardoor het certificeringsvenster mislopen. Precies weten wat er op het spel staat, is dus de eerste stap naar een proportionele reactie — niet paniekerig, maar ook niet laks.

Bij een major tijdens een initiële certificatieaudit wordt het certificaat niet uitgereikt totdat u aantoonbaar heeft gecorrigeerd — meestal via gedocumenteerd bewijs en soms via een aanvullend bezoek van de auditor. Uw geplande certificeringsdatum verschuift dan feitelijk mee met uw hersteltijd. Bij een major tijdens een surveillance- of hercertificeringsaudit van een reeds afgegeven certificaat is de inzet directer: de certificerende instelling kan het certificaat schorsen totdat de afwijking is opgelost, met reële gevolgen voor lopende contracten en aanbestedingen waarin dat certificaat een harde eis is.

Bij een minor is de directe dreiging kleiner — het certificaat wordt niet aangehouden of geschorst — maar de verplichting is niet vrijblijvend. U moet binnen de gestelde termijn een corrigerend actieplan indienen én de effectiviteit ervan aantonen; die opvolging wordt bij het eerstvolgende auditmoment expliciet gecontroleerd. Wat in beide gevallen op het spel staat, reikt bovendien verder dan het certificaat als document: het ISMS is de basis waarmee u aantoont dat informatiebeveiliging structureel geborgd is, niet incidenteel. Een niet-tijdig opgeloste afwijking — major of minor — ondermijnt precies dat aantoonbaarheidsprincipe waar de hele norm om draait.

De hersteltermijn: wie bepaalt deze, en hoeveel tijd krijgt u?

Dit is de vraag waar de meeste onzekerheid zit, en de eerlijkste beantwoording begint met wat de norm zelf wél en niet regelt. ISO/IEC 27001 verplicht dat non-conformiteiten worden gecorrigeerd en dat de effectiviteit van die correctie wordt aangetoond (clausule 10.2), maar de norm zelf schrijft geen universeel aantal dagen voor. De exacte hersteltermijn wordt vastgesteld door de certificerende instelling (CI), op basis van haar eigen schemaregels binnen het accreditatiekader van ISO/IEC 17021-1 — de norm die regelt hoe certificerende instellingen zelf mogen en moeten functioneren.

In de praktijk hanteren certificerende instellingen voor majors doorgaans een aanzienlijk kortere en strakkere termijn dan voor minors, vaak met een verplicht bewijstraject vóórdat alsnog een certificeringsbesluit kan worden genomen. Voor minors is een langere termijn gebruikelijk, soms doorlopend tot het eerstvolgende geplande auditmoment. Maar — en dit is de kern van deze paragraaf — deze patronen verschillen per certificerende instelling en per situatie. Neem geen enkele termijn als vaststaand gegeven zonder die zelf te hebben geverifieerd; een specifiek aantal dagen dat u ergens tegenkomt, is hooguit een indicatie van wat gangbaar is, nooit een garantie voor wat uw eigen CI in uw specifieke geval hanteert.

Vraag daarom, zodra u een bevinding ontvangt, de exacte deadline én de vereiste bewijsvorm altijd schriftelijk op bij uw eigen certificerende instelling. Laat dit niet mondeling of impliciet blijven. Die ene e-mail voorkomt het meest voorkomende en meest vermijdbare risico in dit hele proces: een termijn die informeel wordt aangenomen — op basis van wat u ergens heeft gelezen, of wat bij een andere CI gebruikelijk was — en die achteraf blijkt af te wijken van wat uw eigen CI daadwerkelijk hanteert.

Major tijdens de certificatieaudit versus major tijdens surveillance

Een major weegt procedureel niet overal hetzelfde, en het moment waarop de bevinding valt maakt een reëel verschil voor wat er op het spel staat.

Tijdens een initiële certificatieaudit (doorgaans in twee fasen, stage 1 en stage 2) blokkeert een major simpelweg de uitgifte van het certificaat: er is nog niets om te verliezen, maar ook nog niets om op te vertrouwen totdat de afwijking is opgelost en de certificerende instelling dat heeft geverifieerd. Vervelend, maar in zekere zin het meest overzichtelijke scenario van de twee — eerst oplossen, dan pas certificeren.

Tijdens een surveillance-audit van een al lopend certificaat is de dynamiek zwaarder: hier staat een bestaand, actief certificaat op het spel. Een major kan dan leiden tot schorsing van het certificaat totdat de afwijking is gecorrigeerd, met directe gevolgen voor lopende contracten, aanbestedingen en klantrelaties die op dat certificaat vertrouwen. Waar een major bij een initiële audit betekent "nog niet certificeren", kan een major bij surveillance in de praktijk aanvoelen als "het certificaat tijdelijk weer kwijt". Diezelfde logica geldt, in verzwaarde vorm, bij een hercertificeringsaudit aan het einde van de certificeringscyclus: die bepaalt of het certificaat wordt verlengd, en een onopgeloste major raakt daar niet alleen de voortzetting, maar ook de continuïteit van uw certificeringsgeschiedenis.

Dit onderscheid is precies waarom een onafhankelijke pre-audit vóór het echte CI-bezoek in beide scenario's waarde heeft. De pre-audit van Secrotec onderscheidt expliciet majeure afwijkingen die uw certificaat in gevaar brengen van mineure afwijkingen en observaties, zodat u vóór de certificatieaudit al weet waar major-risico zit. Bij een eerste certificering voorkomt dat uitstel; bij surveillance voorkomt het een schorsing van een certificaat dat u al heeft.

Hoe reageert u binnen de gestelde termijn?

Zodra u een major of minor ontvangt, telt de klok — en de volgorde waarin u handelt, bepaalt grotendeels of u de termijn haalt.

1. Vraag de deadline schriftelijk op. Vraag onmiddellijk, per e-mail, de exacte hersteltermijn en de vereiste bewijsvorm op bij uw certificerende instelling. Schat niets in op basis van wat elders gebruikelijk is.
2. Zet de deadline als harde zakelijke afspraak in de agenda. Niet als taak onderaan een actielijst, maar met dezelfde status als een contractdeadline — met een eigenaar en een tussentijdse voortgangscheck.
3. Bouw de corrigerende maatregel op, met bewijs vanaf dag één. Root cause-analyse, de maatregel zelf vastleggen, en vooral het aantonen van effectiviteit — niet alleen het afvinken van een actie. Het volledige proces, inclusief hoe u binnen de termijn een corrigerende maatregel opstelt, staat uitgewerkt in het vervolgartikel.

Een veelgemaakte fout is het verwarren van "actie uitgevoerd" met "probleem opgelost": een auditor toetst bij de volgende gelegenheid niet of u iets heeft gedaan, maar of het onderliggende probleem daadwerkelijk is verdwenen. Een tweede veelgemaakte fout is "minor" interpreteren als "kan wachten" — het is een verplichting met een langere klok, geen vrijblijvend advies. En een derde is een major tijdens een certificatieaudit door elkaar halen met een major tijdens surveillance: de eerste houdt uitgifte tegen, de tweede kan een bestaand certificaat schorsen — het onderscheid bepaalt hoe urgent en hoe zichtbaar, richting klanten en opdrachtgevers, uw reactie moet zijn.

ISO/IEC 27001 — officiële normpagina (officiële bron) en ISO/IEC 17021-1:2015 — eisen voor certificerende instellingen (officiële bron).