Uw klant vraagt om een ISO 27001-certificaat en u heeft er geen: wat nu?
Meestal wil een klant die naar ISO 27001 vraagt niet per se het certificaat, maar zekerheid over een handvol maatregelen: MFA, back-ups, updates, incidenten en toegang. Vraag eerst of het een harde eis is. Is dat niet zo, dan beantwoordt u de beveiligingsvragen eerlijk, stuurt u gericht bewijs mee en noemt u wat nog in uitvoering is, met een datum. De wet verplicht kleine leveranciers niet tot certificering.
Laatst gecontroleerd: 2 november 2026.
Waarom klanten er nu naar vragen
Organisaties onder de Cyberbeveiligingswet moeten de beveiliging van hun toeleveringsketen regelen (artikel 21, derde lid, onder d, Cbw). Het Cyberbeveiligingsbesluit zegt dat de entiteit "toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners [...] voldoen aan de beveiligingseisen", en dat periodiek controleert (artikel 10, tweede lid). Een certificaat is voor de inkoper de makkelijkste manier om dat vinkje te zetten, dus vraagt hij ernaar.
De wet noemt zelf geen certificering. De NCTV schrijft bovendien: "Een keurmerk of certificaat heeft echter geen zelfstandige juridische status voor het voldoen aan de verplichtingen uit de Cyberbeveiligingswet." En een toeleverancier valt volgens de NCTV "niet automatisch" zelf onder de wet. Wat de klant van u vraagt, is dus een contractuele afspraak, geen wettelijke plicht voor u.
Stap 1 — Vraag wat de klant precies nodig heeft
Stuur een korte, zakelijke mail met drie vragen:
- Is certificering een harde eis (bijvoorbeeld een uitsluitingscriterium in een aanbesteding), of een van de manieren waarop u kunt aantonen dat uw beveiliging op orde is?
- Welke maatregelen zijn voor deze dienst het belangrijkst? Een leverancier met beheerrechten op het netwerk krijgt andere eisen dan een leverancier die alleen facturen ontvangt.
- Accepteert u een ingevulde vragenlijst met bewijsstukken, eventueel aangevuld met een gesprek?
Is het geen harde eis, dan laat u met een goed ingevulde vragenlijst en gericht bewijs zien wat u doet (stap 2). Is certificering wél een harde eis, dan vervangen losse documenten dat niet. Dan is de vraag of de klant de kosten van een certificeringstraject waard is, of dat een planning richting certificering voor een overgangsperiode volstaat.
Stap 2 — Laat zien wat u doet, per maatregel
Zonder certificaat bouwt u het vertrouwen zelf op, maatregel voor maatregel. Klanten herkennen de onderwerpen uit de tien maatregelen van de Cyberbeveiligingswet en uit bijlage A van ISO/IEC 27001. Per vraag geeft u een eerlijk antwoord op één van drie niveaus: op orde, deels op orde, of nog niet (met een datum).
| Onderwerp | Bewijs dat een klein bedrijf meestal heeft |
|---|---|
| Beleid | Een informatiebeveiligingsbeleid van een paar pagina's, met eigenaar en goedkeuringsdatum. |
| Toegang en MFA | Een schermafdruk van de MFA-instelling, een lijst van beheeraccounts (op verzoek, ter inzage). |
| Back-up | Het verslag van de laatste hersteltest: datum, wat er is teruggezet, hoe lang het duurde. |
| Updates | De ingestelde updatetermijn en een export uit het beheerpaneel. |
| Training | Een presentielijst of export met data en onderwerpen. |
| Eigen leveranciers | Een overzicht van uw cloud- en IT-leveranciers met hún certificaten en datalocatie. |
| Incidenten | Een korte procedure: wie meldt wat, aan wie, binnen welke termijn. |
Stap 3 — Wees precies over certificaten van anderen
Draait uw dienst bij een grote cloudleverancier met een eigen certificaat, dan is dat een nuttig bewijsstuk voor de beveiliging van het platform. Het zegt niets over uw eigen instellingen, accounts en werkwijze. Schrijf dus "onze hosting bij [aanbieder] is ISO 27001-gecertificeerd (scope: [scope])", niet "wij zijn ISO 27001-gecertificeerd".
Stap 4 — Deel bewijs, maar niet alles
Stuur beleid en verklaringen mee; bied gevoelige details aan "ter inzage" of onder geheimhouding. Wachtwoorden, volledige netwerktekeningen, IP-adressen en lijsten met openstaande kwetsbaarheden horen niet in een mailbijlage. Een redelijke klant begrijpt dat.
Veelgemaakte fouten
- "ISO 27001-compliant" schrijven zonder certificaat. Het klinkt als een auditresultaat. Bij twijfel ondermijnt het de rest van uw antwoorden.
- Overal "ja" antwoorden. Een "nog niet, gepland voor maart" met een tussenmaatregel is beter te beoordelen dan een "ja" die later niet blijkt te kloppen.
- Elke klant opnieuw beginnen. De vragen verschillen in formulering, maar de onderwerpen komen terug. Bewaar uw antwoorden en bewijs per onderwerp.
- Te snel een certificeringstraject starten. Dat kost maanden en geld. Doe het als klanten het echt eisen, niet omdat één klant ernaar vroeg.
Veelgestelde vragen
Verplicht de Cyberbeveiligingswet leveranciers tot ISO 27001?
Nee. De wet en het Cyberbeveiligingsbesluit verplichten de entiteit om te toetsen of haar rechtstreekse leveranciers aan haar beveiligingseisen voldoen, maar noemen geen certificering. Een klant kan het wel als contractuele eis stellen. Dit is geen juridisch advies.
Mag ik schrijven dat wij 'ISO 27001-compliant' zijn?
Zonder certificaat liever niet: het suggereert een beoordeling die niet heeft plaatsgevonden. Schrijf alleen 'wij werken volgens de maatregelen uit ISO 27001' als dat aantoonbaar klopt, en zeg erbij dat u niet gecertificeerd bent.
Telt het certificaat van mijn cloudleverancier ook voor mij?
Gedeeltelijk. Het dekt de beveiliging van het datacenter en het platform binnen de scope van dat certificaat. Uw eigen instellingen, accounts en werkwijze vallen erbuiten. Noem het als bewijs voor dat deel, niet voor het geheel.
Wat als de klant echt een certificaat eist?
Dan is het een harde eis die losse documenten niet vervangen. Vraag of een concrete planning richting certificering voor een overgangsperiode volstaat, en weeg de kosten van een certificeringstraject af tegen de waarde van de klant.
De antwoordbank leveranciersvragenlijst (€39) bevat 63 vragen die klanten vaak stellen, verdeeld over 15 onderwerpen waaronder "certificering en zekerheid". Per vraag drie modelantwoorden (op orde, deels, nog niet), het bewijs om mee te sturen en de koppeling met de maatregelen a–j van de Cyberbeveiligingswet en ISO/IEC 27001:2022 bijlage A. Met een bewijschecklist, handleiding en begeleidende brief, in het Nederlands en Engels.
Bekijk de antwoordbank →Bronnen
- Cyberbeveiligingswet (BWBR0052872) — wetten.overheid.nl, geldend vanaf 15 augustus 2026 — artikel 21, derde lid, onder d
- Cyberbeveiligingsbesluit (BWBR0052875) — wetten.overheid.nl — artikel 10 (beveiliging van de toeleveringsketen)
- NCTV — Cyberbeveiligingswet, vragen en antwoorden — onderdelen toeleveranciers en keurmerken/certificaten
- Richtlijn (EU) 2022/2555 (NIS2) — EUR-Lex — artikel 21, tweede lid, onder d
Dit artikel is algemene informatie, geen juridisch advies of certificeringsadvies. Het garandeert niet dat een klant uw antwoorden accepteert. Opgesteld met behulp van AI en vóór publicatie gecontroleerd op feitelijke en juridische verwijzingen; de bronnen staan hierboven.