Veelgestelde vragen over ISO-audits

Een ISO-audit is een systematische, bewijsgerichte beoordeling waarbij een auditor toetst of uw managementsysteem voldoet aan een ISO-norm (zoals ISO 27001 of ISO 9001) én of het in de praktijk werkt. De auditor verzamelt bewijs via documenten, interviews en steekproeven, vergelijkt dit met de eisen van de norm en rapporteert bevindingen. Audits worden uitgevoerd volgens de richtlijnen van ISO 19011.

Grofweg zijn er drie soorten. Een first-party audit is een interne audit die u zelf (of via een ingehuurde auditor) uitvoert. Een second-party audit voert u uit bij een leverancier of partner. Een third-party audit wordt uitgevoerd door een onafhankelijke certificerende instelling en leidt tot een certificaat. Daarnaast bestaan voorbereidende vormen zoals de gap-analyse en de pre-audit.

Een interne audit voert u zelf of via een ingehuurde auditor uit als verplicht onderdeel van uw managementsysteem (ISO 27001 clausule 9.2). Een certificatieaudit wordt uitgevoerd door een geaccrediteerde certificerende instelling en leidt tot het officiële certificaat. Een goede interne audit en pre-audit maken de certificatieaudit aanzienlijk soepeler, omdat u afwijkingen vooraf herstelt.

Een gap-analyse is een nulmeting aan het begin van uw traject: de auditor brengt in kaart waar u nu staat ten opzichte van de norm, welke maatregelen en documenten ontbreken en wat realistisch nodig is richting certificering. Het resultaat is een concrete prioriteitenlijst, zodat u gericht en zonder verspilling aan de slag kunt.

Een pre-audit is een generale repetitie vlak vóór de certificatieaudit. We auditen zoals de certificerende instelling dat doet en signaleren afwijkingen die u nog op tijd kunt herstellen. Zo gaat u met vertrouwen en zonder verrassingen de echte audit in. Een pre-audit is vooral waardevol bij een eerste certificering of na grote veranderingen.

Een Lead Auditor leidt het volledige audittraject volgens ISO 19011: hij bepaalt samen met u de scope, stelt het auditplan op, voert interviews en steekproeven uit, weegt bevindingen objectief en rapporteert helder. Een goede Lead Auditor combineert normkennis met praktijkervaring en spreekt zowel de taal van de techniek als die van de directie.

Een externe Lead Auditor brengt onafhankelijkheid, normkennis en een frisse blik die intern vaak ontbreekt. Hij kan uw verplichte interne audit objectief uitvoeren, met een pre-audit verrassingen wegnemen vóór de certificatieaudit, en via een gap-analyse uw startpositie bepalen. Bovendien neemt hij vergelijkingsmateriaal mee uit andere organisaties en sectoren. Lees meer over inhuren.

Ja. Secrotec audit voor buitenlandse bedrijven met een vestiging, klanten of leveranciers in Nederland, en voor internationale organisaties die ISO 27001, NEN 7510 of ISO 9001 in de Nederlandse context willen toetsen. We werken op locatie of remote en rapporteren in het Nederlands, Engels, Duits of Frans. Neem contact op om uw situatie te bespreken.

Beide. Veel auditactiviteiten — documentbeoordeling, interviews en steekproeven — kunnen prima remote via videogesprekken en veilige documentdeling. Voor bepaalde onderdelen, zoals fysieke beveiliging of een rondgang op locatie, is een bezoek waardevol. We stemmen de mix vooraf met u af, passend bij uw scope, locaties en planning.

Een assuranceverklaring is een onafhankelijk oordeel van een accountant of auditor over de vraag of een specifiek onderwerp — bijvoorbeeld de beheersmaatregelen bij een dienstverlener — voldoet aan vooraf vastgestelde criteria. De verklaring benoemt een mate van zekerheid, uiteenlopend van een beperkte tot een redelijke mate van zekerheid, en wordt afgegeven volgens de internationale standaarden van de IAASB, zoals de ISAE-reeks. Anders dan een certificaat is een assuranceverklaring gebonden aan een specifieke periode of peildatum en een vooraf afgebakende scope.

Een assuranceverklaring mag alleen worden afgegeven door een registeraccountant (RA) die werkzaam is binnen een NBA-geregistreerde accountantsorganisatie. Voor IT-gerichte ISAE-opdrachten kan dit ook een IT-auditor zijn die als RE staat geregistreerd bij NOREA, doorgaans in samenwerking met een accountantsorganisatie. Een adviesbureau of consultancy — ook Secrotec niet — mag deze verklaring niet afgeven.

ISAE 3402 is de internationale assurance-standaard van de IAASB voor het rapporteren over de beheersmaatregelen bij een serviceorganisatie, bijvoorbeeld een IT- of administratiedienstverlener die processen voor klanten uitvoert. Het rapport laat klanten en hun accountants zien dat de interne beheersing rond uitbestede processen op orde is. Er zijn twee typen rapporten: Type I en Type II. Bekijk hoe wij voorbereiding op ISAE 3402 vormgeven.

Een Type I-rapport beoordeelt alleen de opzet van de beheersmaatregelen op één peildatum: zijn de maatregelen zo ontworpen dat ze het risico afdekken? Een Type II-rapport gaat een stap verder en toetst ook de werking van die maatregelen over een langere observatieperiode, vaak zes tot twaalf maanden, met bewijs dat ze daadwerkelijk zijn uitgevoerd. Type II vraagt aanmerkelijk meer voorbereiding en doorlopend bewijs, maar geeft klanten ook veel meer zekerheid.

SOC 1 is de Amerikaanse tegenhanger van ISAE 3402, uitgegeven onder de standaarden van de AICPA. Het rapport gaat over beheersmaatregelen bij een serviceorganisatie die relevant zijn voor de financiële verslaggeving van de klant, en wordt afgegeven door een erkende CPA-organisatie (Certified Public Accountant). Nederlandse en Europese dienstverleners met Amerikaanse klanten krijgen dit rapport soms specifiek gevraagd naast of in plaats van ISAE 3402.

SOC 2 is een AICPA-rapport dat de beheersmaatregelen van een serviceorganisatie toetst aan de Trust Services Criteria: security, availability, processing integrity, confidentiality en privacy. Het is een rapport, geen certificaat, en wordt afgegeven door een licentiehoudende CPA-organisatie. SOC 2 wordt wereldwijd veel gevraagd door SaaS- en techklanten als bewijs van volwassen informatiebeveiliging. Meer over onze SOC 2-voorbereiding.

SOC 1 richt zich specifiek op beheersmaatregelen die van invloed zijn op de financiële verslaggeving van de klant, bijvoorbeeld bij een payroll- of factureringsdienstverlener. SOC 2 kijkt breder naar de Trust Services Criteria, met de nadruk op security, availability en confidentiality, en wordt het vaakst gevraagd door SaaS- en technologiebedrijven. Beide worden uitgegeven door een CPA-organisatie; welk rapport nodig is, hangt af van wat uw klant precies wil toetsen.

ISO 27001 is een certificering van een compleet ISMS door een RvA-geaccrediteerde certificerende instelling, geldig voor drie jaar met jaarlijkse surveillance-audits. SOC 2 is een rapport over specifieke Trust Services Criteria over een afgebakende periode, afgegeven door een CPA-organisatie, en moet periodiek worden vernieuwd. Het zijn verschillende bewijsvormen voor verschillende, vaak Amerikaans gedreven doelgroepen; sommige organisaties hebben uiteindelijk beide nodig.

Dat is niet in een vast bedrag te vangen: de kosten hangen sterk af van de scope, van Type I versus Type II, en van hoe volwassen uw huidige documentatie en beheersmaatregelen al zijn. Een organisatie die al ISO 27001-gecertificeerd is, heeft doorgaans een kortere weg te gaan dan een organisatie die vanaf nul begint. Neem contact op voor een vrijblijvend scopinggesprek, dan geven we u een reële inschatting voor uw situatie.

Nee. Secrotec is geen NBA-geregistreerde accountantsorganisatie en geeft zelf geen ISAE- of SOC-rapport af. Wat wij wel doen, is organisaties onafhankelijk voorbereiden op zo'n traject: readiness-assessments, gap-analyses en het verzamelen van bewijs, zodat de daadwerkelijke opdracht — uitgevoerd door een registeraccountant, een NOREA RE-auditor of een CPA-organisatie — soepel en zonder verrassingen verloopt. Meer hierover bij IT-audit en assurance.

Secrotec voert zelf IT-audits, interne audits en gap-analyses uit, en helpt u de benodigde beheersmaatregelen en bewijslast op orde te krijgen. Zodra een formele assuranceverklaring nodig is — een ISAE 3402- of ISAE 3000-rapport — is een registeraccountant (RA) of een NOREA-geregistreerde RE-auditor vereist; voor een SOC-rapport is dat specifiek een licentiehoudende CPA-organisatie. Wij bereiden dat traject voor, maar voeren de assurance-opdracht zelf niet uit.

NIS2 Supply Chain (voorheen het NIS2 Keurmerk) is een vrijwillig certificeringsschema, in eigendom van Stichting Kwaliteitsinnovatie, waarmee leveranciers via de niveaus SC10, SC20 en SC30 aantoonbaar maken hoe volwassen hun ketenbeveiliging is richting NIS2-plichtige opdrachtgevers. Het is geen wettelijke verplichting vanuit de Cyberbeveiligingswet zelf, maar een marktinitiatief dat opdrachtgevers helpt leveranciers te beoordelen. Lees over onze voorbereiding op NIS2 Supply Chain.

Nee. Secrotec staat niet vermeld in het officiële partnersregister van het NIS2 Supply Chain-schema en is geen erkende auditor of erkend adviseur binnen dat specifieke schema. Wat wij wel bieden, is een onafhankelijke gap-analyse en gerichte voorbereiding vooraf, zodat u met een realistisch beeld van uw volwassenheidsniveau naar een door het schema erkende certificerende instelling kunt stappen.

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm bouwt voort op ISO 27001 en ISO 27002, maar voegt eisen toe die specifiek zijn voor het beschermen van patiëntgegevens en andere gezondheidsinformatie. Organisaties die persoonlijke gezondheidsgegevens verwerken, gebruiken NEN 7510 om aantoonbaar zorgvuldig met die gevoelige data om te gaan. Bekijk onze NEN 7510-audit.

NEN 7510 is in Nederland in de praktijk verplicht voor zorgaanbieders en andere partijen die persoonlijke gezondheidsgegevens verwerken: de norm is wettelijk aangewezen als de te hanteren standaard voor informatiebeveiliging in de zorg. Toezichthouders verwachten dat zorgorganisaties aantoonbaar aan NEN 7510 voldoen. Raadpleeg de actuele eisen via NEN en uw eigen juridische adviseur.

Beide normen delen dezelfde basis (managementsysteem voor informatiebeveiliging), maar NEN 7510 is toegespitst op de zorg. Waar ISO 27001 sectorneutraal is, voegt NEN 7510 zorgspecifieke beheersmaatregelen en eisen toe rond patiëntgegevens, toegang tot medische dossiers en logging. In de praktijk kunt u beide goed combineren: een ISO 27001-conform ISMS is een uitstekende basis voor NEN 7510. Lees ISO 27001 en NEN 7510.

NEN 7510 geldt voor alle organisaties die persoonlijke gezondheidsgegevens verwerken: ziekenhuizen, huisartsen, ggz- en zorginstellingen, maar ook tandartsen, apotheken en zorgverleners. Daarnaast wordt de norm steeds vaker geëist van leveranciers van de zorg, zoals softwareleveranciers, hostingpartijen en verwerkers die met medische data werken. Twijfelt u of het op u van toepassing is? Wij denken graag mee.

Ja. Omdat NEN 7510 op dezelfde structuur als ISO 27001 is gebaseerd, is een gecombineerde aanpak efficiënt: u toetst de gedeelde basis één keer en besteedt extra aandacht aan de zorgspecifieke eisen. Dat scheelt tijd, dubbel werk en kosten. Bekijk onze combi-audit voor meer normen tegelijk.

Begin met een risicobeoordeling die echt aansluit op uw zorgprocessen, en zorg dat toegang tot medische gegevens strikt is geregeld en wordt gelogd. Veelvoorkomende struikelpunten zijn autorisatiebeheer, logging van inzage in dossiers en afspraken met verwerkers. Een interne audit of pre-audit vooraf brengt deze punten op tijd aan het licht. Onze NEN 7510-aanpak helpt u gericht voorbereiden.

Zorg dat uw documentatie actueel is en aansluit op de praktijk, dat verplichte onderdelen aantoonbaar zijn uitgevoerd (risicobeoordeling, interne audit, directiebeoordeling, correctieve acties) en dat medewerkers weten wat er van hen wordt verwacht. Verzamel bewijs vooraf, niet tijdens de audit. Een interne audit of pre-audit is de beste generale repetitie. Bekijk ons stappenplan voor voorbereiding.

Voor ISO 27001 gaat het onder meer om: de scope van het ISMS, het informatiebeveiligingsbeleid, de risicobeoordeling en het risicobehandelplan, de Verklaring van Toepasselijkheid, bewijs van de beheersmaatregelen, de resultaten van interne audits en de directiebeoordeling, en het overzicht van afwijkingen en correctieve acties. Andere normen vragen vergelijkbare kerndocumenten. We sturen u vooraf een heldere checklist. Bekijk alvast onze ISO 27001 audit checklist.

U ontvangt een helder auditrapport met de bevindingen, geprioriteerd naar risico en impact, plus een concreet verbeterplan met haalbare vervolgstappen. We rapporteren in twee lagen: een managementsamenvatting voor de directie en gedetailleerde bevindingen voor de uitvoerende teams. U weet daarna precies waar u staat, wat er nog moet gebeuren en in welke volgorde u verbetert.

Een bevinding is het algemene resultaat van het toetsen van bewijs aan de norm. Een afwijking (nonconformity) is een bevinding waarbij een norm-eis aantoonbaar niet wordt vervuld; die moet u corrigeren. Een observatie of verbeterpunt is geen afwijking, maar een kans om iets te versterken of een waarschuwing voor een mogelijke toekomstige afwijking. Goede auditrapporten maken dit onderscheid expliciet.

Nee. Alleen een geaccrediteerde certificerende instelling mag het officiële ISO-certificaat afgeven. Secrotec is een onafhankelijke Lead Auditor en voert gap-analyses, interne audits, pre-audits en leveranciersaudits uit. Juist omdat we niet certificeren én geen werk beoordelen dat we zelf hebben geïmplementeerd, blijft ons oordeel onpartijdig en bruikbaar voor uw certificerende instelling. Wij bereiden u optimaal voor; zij geven het certificaat af.

Ja. Onafhankelijkheid is de kern van een bruikbaar auditoordeel. We beoordelen geen advies- of implementatiewerk dat we zelf hebben geleverd, en we werken volgens de objectiviteits- en onpartijdigheidsprincipes van ISO 19011. Daardoor voldoet onze interne audit aan het onpartijdigheidsvereiste van ISO 27001 (clausule 9.2) en is ons oordeel bruikbaar in de aanloop naar uw certificatie. Lees ook hoe u een ISO 27001-consultant of -auditor kiest.

Secrotec is een onafhankelijke auditor, geen implementatie-consultant: wij bouwen uw ISMS niet op, maar toetsen of het aan de norm voldoet en in de praktijk werkt. Dat onderscheid is belangrijk om zelf te controleren bij elke aanbieder die u overweegt. Bekijk de volledige uitleg in ISO 27001-consultant of -auditor kiezen.

Vaak binnen enkele weken, afhankelijk van de scope en uw planning. Een vrijblijvende kennismaking kan meestal op korte termijn. Daarin bepalen we samen de scope, de juiste auditvorm en een realistische planning. Heeft u een deadline vanuit een klant of aanbesteding? Geef dat aan, dan houden we daar rekening mee. Neem contact op om een datum te prikken.

Secrotec werkt onder meer voor IT- en SaaS-bedrijven, zorginstellingen (ook NEN 7510), het MKB en leveranciers van de overheid en grote opdrachtgevers. Voor IT/SaaS sluiten we aan op cloud en development; in de zorg op patiëntgegevens; voor het MKB houden we de aanpak licht en haalbaar zonder vaste security-afdeling. We stemmen scope en diepgang altijd af op uw omvang, risico's en sector.

Als onafhankelijke auditor mogen we geen werk implementeren dat we daarna zelf zouden beoordelen — dat zou de onpartijdigheid aantasten. Wat we wél doen, is uw bevindingen helder en geprioriteerd opleveren met een concreet, uitvoerbaar verbeterplan, zodat u daarmee direct aan de slag kunt — desgewenst denken wij in een adviserende, diagnostische rol met u mee, bijvoorbeeld over de aanpak of prioritering. De uitvoering zelf blijft bij uw eigen team, eventueel met externe ondersteuning; hebben wij over een specifieke verbetering meegedacht, dan beoordelen wij die verbetering daarna niet opnieuw zelf. Zo houdt u de regie en blijft het auditoordeel zuiver.

Een surveillance-audit is een periodieke controleaudit door de certificerende instelling, meestal jaarlijks, tussen de driejaarlijkse hercertificaties in. Hierin wordt steekproefsgewijs gecontroleerd of uw managementsysteem nog steeds voldoet en blijft verbeteren. Met goede interne audits en een werkend ISMS verlopen surveillance-audits doorgaans soepel, omdat u continu 'audit-ready' blijft.

Bij een leveranciersaudit toetst u namens uw organisatie de informatiebeveiliging van een leverancier of verwerker, bijvoorbeeld tegen ISO 27001 of uw eigen eisenkader. Dat is steeds belangrijker nu veel risico's in de keten zitten: cloud, hosting en software van derden. Onze rol daarbij is primair ondersteunend: wij helpen u dit beoordelingsproces op te zetten, risicocriteria vast te stellen en te beoordelen of aangeleverd bewijs toereikend is — de verantwoordelijkheid voor het leveranciersbeleid en het uiteindelijke oordeel blijft bij uw organisatie.

We voeren audits uit en rapporteren in het Nederlands en Engels, en op aanvraag ook in het Duits of Frans. Voor internationale organisaties leveren we het auditrapport in het Engels, zodat hoofdkantoor en lokale teams hetzelfde document kunnen gebruiken. Geef bij de aanvraag aan welke taal uw voorkeur heeft.

Eenvoudig: neem contact op via het formulier, e-mail of telefoon en beschrijf kort uw situatie (norm, omvang, doel en eventuele deadline). We plannen een vrijblijvende audit-scan, geven u op basis daarvan een passende inschatting en stellen de juiste auditvorm voor. U zit nergens aan vast tot u akkoord geeft.

€149 excl. btw, vast tarief.

Dat hangt af van wat er precies is gebeurd. Secrotec begint met de Malware & Hosting Checkup van €149 excl. btw, die vaststelt hoeveel bestanden besmet zijn, of er backdoors of beheeraccounts bij betrokken zijn en of het bij één website blijft. Het opschonen en herstellen daarna gaat op uurtarief, €110 excl. btw per uur; hoeveel uur dat is, volgt uit de bevindingen.

De omvang van een besmetting verschilt per geval — aantal aangetaste bestanden, of de database is geraakt, of er backdoors zijn, en of andere websites op dezelfde hosting risico lopen. Een checkup maakt dit inzichtelijk vóórdat we een prijs afspreken, zodat u niet voor verrassingen komt te staan.

Een eenvoudige, single-site infectie is vaak binnen enkele uren verholpen; complexere gevallen met meerdere aangetaste onderdelen of hostingaccount-brede besmetting kunnen langer duren. De checkup geeft een concrete tijdsinschatting voor uw specifieke situatie.

Ja. De checkup beoordeelt ook of andere websites op dezelfde hosting risico lopen. Voor een volledige hostingaccount-brede opschoning, zie hosting-account-wide malware opschonen.

Een back-up terugzetten is alleen veilig als u zeker weet dat die van vóór de besmetting dateert en zelf niet geïnfecteerd is. Ongecontroleerd terugzetten kan de infectie juist opnieuw introduceren — wij controleren dit als onderdeel van de checkup.

Dan is handmatige opschoning nodig: vervanging van WordPress-core, thema's en plugins door officiële, schone bestanden en verwijdering van kwaadaardige database-content, in plaats van een eenvoudige restore.

Ja, dat komt regelmatig voor — geïnjecteerde spam-content, kwaadaardige scripts in posts/pagina's of verborgen admin-accounts. De checkup omvat een database-controle naast de bestandsscan.

Meestal omdat het oorspronkelijke lek niet is gedicht, een backdoor over het hoofd is gezien, de teruggezette back-up zelf al besmet was, of omdat andere websites op dezelfde hosting nog geïnfecteerd zijn. Zie ook waarom malware terugkomt.

Ja, dat maakt onderdeel uit van de Malware & Hosting Checkup, zeker bij een vermoeden van een hostingaccount-brede infectie.

We controleren en corrigeren bestandsrechten als onderdeel van cleanup- en hardeningswerk, zodat aanvallers niet via te ruime rechten opnieuw toegang krijgen.

Ja — eerst wordt de daadwerkelijke oorzaak verwijderd, pas daarna vragen we een herbeoordeling aan bij Google. Zie Google meldt malware op uw website.

Ja, inclusief controle op skimmer-achtige betaalgerelateerde infecties. Bij mogelijk gestolen klantgegevens wijzen we ook op een mogelijke AVG-meldplicht.

Malware verwijderen lost een actieve besmetting op. Hardening (2FA, WAF, updates, back-ups, bestandsrechten) dicht het lek dat de hack mogelijk maakte, zodat het niet opnieuw gebeurt. Beide horen idealiter samen.

Niet vooraf, wel vóór het werk begint. De checkup van €149 excl. btw bepaalt eerst de omvang; daarna ontvangt u een inschatting van de benodigde uren tegen €110 excl. btw per uur, en pas na uw akkoord wordt er opgeschoond.

Nee, de checkup zelf is diagnostisch en verandert niets aan uw website. Tijdens de daadwerkelijke opschoning kan de site tijdelijk in onderhoudsmodus staan; dit wordt vooraf met u afgestemd.