Steeds meer organisaties krijgen niet alleen de vraag of zij ISO/IEC 27001-gecertificeerd zijn, maar ook of zij een assuranceverklaring kunnen overleggen. Dat leidt regelmatig tot verwarring. Een ISO-certificaat en een assurance-rapport geven allebei onafhankelijke zekerheid, maar ze doen dat op een andere manier en voor een andere vraag.
De juiste keuze begint daarom niet bij de afkorting op de offerte. Begin bij de informatiebehoefte: wil een klant zekerheid over een informatiebeveiligingsmanagementsysteem, of juist diepgaand bewijs over specifieke beheersmaatregelen en hun werking?
Direct antwoord: wat is het verschil?
ISO/IEC 27001 is een certificeerbare managementsysteemnorm voor informatiebeveiliging. Een assuranceopdracht leidt tot een assurance-rapport waarin een onafhankelijke practitioner een conclusie geeft over vooraf bepaalde informatie, processen of beheersmaatregelen. Welke route past, hangt af van de klantvraag, scope, gewenste diepgang en het relevante assurancekader.
Wat toon je aan met ISO/IEC 27001?
ISO/IEC 27001 stelt eisen aan een Information Security Management System (ISMS). De organisatie brengt risico’s in kaart, kiest passende beheersmaatregelen, evalueert de werking van het managementsysteem en verbetert continu. Certificering door een onafhankelijke certificerende instelling laat zien dat het ISMS tegen de norm is beoordeeld.
Belangrijk is dat Annex A een referentieset van beheersmaatregelen bevat. Een organisatie selecteert op basis van risico’s welke maatregelen nodig zijn en onderbouwt die keuzes. ISO/IEC 27001 is daarmee breder dan een technische checklist: leiderschap, risicoanalyse, verantwoordelijkheden, interne audits en directiebeoordeling horen er nadrukkelijk bij.
Wat is een assuranceverklaring?
Bij assurance beoordeelt een onafhankelijke accountant of assurance practitioner een duidelijk afgebakend onderwerp tegen geschikte criteria. Het resultaat is geen ISO-certificaat, maar een rapport met een assuranceconclusie en vaak veel detail over scope, beheersmaatregelen, testwerkzaamheden en uitzonderingen.
ISAE 3000 (Revised) is een brede internationale standaard voor assuranceopdrachten die geen controle of beoordeling van historische financiële informatie zijn. ISAE 3402 is specifieker: die gaat over beheersmaatregelen bij serviceorganisaties die relevant zijn voor de interne beheersing rond financiële verslaggeving van gebruikersorganisaties.
Waarom vraagt een klant soms om assurance naast ISO 27001?
Een ISO 27001-certificaat kan aantonen dat je informatiebeveiliging systematisch beheerst. Een klant kan echter meer detail willen over specifieke services of controls die voor zijn eigen risico’s van belang zijn. Denk aan toegangsbeheer, change management, back-up, logging of de verwerking van financiële transacties.
Assurance kan dan gerichter bewijs geven over die afgesproken set beheersmaatregelen. Het is dus niet per definitie ‘beter’ dan ISO-certificering; het beantwoordt een andere assurancevraag.
Verschil in scope: managementsysteem versus gekozen subject matter
De scope van ISO/IEC 27001 beschrijft welk deel van de organisatie en welke activiteiten onder het ISMS en certificaat vallen. Bij assurance wordt het object van onderzoek en de set criteria of controls zeer specifiek afgesproken.
Dat maakt scopebepaling cruciaal. Een te brede assurance-scope maakt het onderzoek kostbaar en zwaar. Een te beperkte ISO-scope kan juist onvoldoende aansluiten bij wat een klant contractueel wil laten afdekken. Bij beide routes moet de scope dus terug te voeren zijn op risico en klantverwachting.
Waar passen SOC 1 en SOC 2?
SOC is de rapportagefamilie van AICPA. SOC 1 is gericht op controls bij serviceorganisaties die relevant zijn voor de interne beheersing rond financiële verslaggeving. SOC 2 richt zich op controls die relevant zijn voor security, availability, processing integrity, confidentiality en privacy, op basis van de Trust Services Criteria.
Deze kaders worden internationaal gebruikt, vooral wanneer klanten of concernstructuren op Amerikaanse assurance-rapportages zijn ingericht. Noem SOC 2 daarom niet simpelweg een ‘Amerikaanse ISO 27001’: de uitgangspunten, rapportagevorm en criteria verschillen.
Type 1 en Type 2: momentopname of werking over een periode
Bij assurance wordt vaak onderscheid gemaakt tussen een Type 1- en Type 2-rapport. Type 1 kijkt naar de beschrijving en het ontwerp van controls op een specifieke datum. Type 2 beoordeelt daarnaast de werking van controls over een afgesproken periode.
Voor klanten die willen weten of controls structureel werken, heeft een Type 2-rapport daardoor meestal meer bewijskracht. De juiste periode hangt af van het gekozen kader, de klantvraag en de volwassenheid van de beheersing; er is geen verstandig universeel minimum dat voor iedere assuranceopdracht hetzelfde is.
Wanneer kies je welke route?
- ISO/IEC 27001 ligt voor de hand als je een breed en herhaalbaar managementsysteem voor informatiebeveiliging wilt opzetten en klanten een herkenbaar certificaat vragen.
- Assurance ligt voor de hand wanneer klanten diepgaand bewijs verlangen over specifieke processen, services of controls.
- Een combinatie kan logisch zijn wanneer ISO 27001 de organisatiebrede basis levert en assurance extra zekerheid geeft over kritische dienstverlening.
Hoe KAM de keuze praktisch maakt
Wij beginnen bij de vraag achter de vraag. Welk risico probeert jouw klant af te dekken? Welke contractuele eis staat er precies? Is een ISO-certificaat voldoende of wordt een specifiek assurance-rapport verlangd? En welke beheersmaatregelen zijn al ingericht?
Vanuit die analyse kunnen we de scope bepalen, een GAP-analyse uitvoeren en de implementatie plannen. Zo voorkom je dat je maanden bouwt aan een rapportagevorm die uiteindelijk niet aansluit bij de klantvraag.
Van Norm naar Groei
Zowel certificering als assurance kan ontaarden in een jaarlijkse bewijsrace. De meerwaarde ontstaat wanneer dezelfde controls ook jouw eigen informatiebeveiliging, continuïteit en besluitvorming verbeteren.
Van Norm naar Groei betekent hier dat je het externe bewijs gebruikt om intern meer grip te krijgen. Dan wordt de audit niet het systeem; het systeem zorgt ervoor dat je elke audit beter voorbereid én aantoonbaar weerbaarder ingaat.
Logische volgende stap
Krijg je van een klant een eis voor ISO 27001, ISAE of SOC en wil je weten wat er werkelijk wordt gevraagd? Laat de eis en scope eerst inhoudelijk beoordelen. Dat voorkomt dubbel werk en maakt duidelijk welke route het meest doelgericht is.
Veelgestelde vragen
Is een assuranceverklaring hetzelfde als een certificaat?
Nee. ISO 27001-certificering leidt tot een certificaat voor een managementsysteem. Assurance leidt tot een rapport met een onafhankelijke conclusie over een afgebakend onderwerp en criteria.
Kan assurance ISO 27001 vervangen?
Soms kan assurance de klantvraag beter beantwoorden, maar niet automatisch. Als een klant expliciet een ISO 27001-certificaat eist, vervangt een ander rapport dat niet zonder akkoord.
Wat is het verschil tussen ISAE 3402 en SOC 2?
ISAE 3402 richt zich op controls bij serviceorganisaties die relevant zijn voor financiële verslaggeving. SOC 2 richt zich op security, availability, processing integrity, confidentiality en privacy.
Wat is Type 1 versus Type 2?
Type 1 beoordeelt op een specifieke datum; Type 2 beoordeelt ook de werking van controls over een afgesproken periode.
Kan ISO 27001 naast assurance bestaan?
Ja. ISO 27001 kan de organisatiebrede ISMS-basis vormen, terwijl een assurance-rapport extra zekerheid geeft over specifieke services of controls.
