Een norm kies je op basis van het probleem dat je moet beheersen en het bewijs dat klanten of andere belanghebbenden vragen. Begin niet bij het nummer dat het vaakst in een aanbesteding staat. Bepaal eerst welke activiteiten, locaties en diensten je wilt afdekken, en welke contractuele of wettelijke eisen daarbij horen.
Welke route past bij je vraag?
| Vraag | Vertrekpunt | Wat je onderzoekt |
|---|---|---|
| Hoe beheersen we informatiebeveiliging? | ISO/IEC 27001 | Risico’s, maatregelen en werking van het ISMS. |
| Hoe sturen we op consistente kwaliteit? | ISO 9001 | Processen, klantvereisten, prestaties en verbetering. |
| Hoe besturen we ontwikkeling en gebruik van AI? | ISO/IEC 42001 | Verantwoordelijkheden en processen voor AI-management. |
| Welke wettelijke cyberplichten gelden? | NIS2 en de Cyberbeveiligingswet | Toepasselijkheid, registratie, zorgplicht en meldplicht. |
Norm, wet en certificaat zijn verschillende begrippen
Een norm beschrijft eisen of richtlijnen. Een wet kan zelfstandig verplichtingen opleggen. Een certificaat is een verklaring op basis van een beoordeling binnen een scope. Een certificaat voor één managementsysteem maakt niet automatisch alle andere normen of wettelijke plichten overbodig. Lees daarom steeds welke editie en welke activiteiten in een verklaring staan.
Vijf vragen voordat je een traject start
- Welk concreet resultaat of welk bewijs vraagt de klant of opdrachtgever?
- Gaat het om een contractuele eis, een wettelijke plicht of een eigen verbeterdoel?
- Welke diensten en locaties moeten in scope komen?
- Welke processen, verantwoordelijken en bewijsstukken bestaan al?
- Is externe certificering nodig, en wie kan die beoordeling uitvoeren?
Meerdere managementsystemen combineren
Documentbeheer, auditplanning en managementbeoordeling kunnen een gezamenlijke werkwijze gebruiken. Houd wel per norm zichtbaar wat het doel, de scope en de specifieke eisen zijn. Gebruik bijvoorbeeld één actieregister met een veld voor de betrokken eis, zodat je geen bewijs kwijtraakt bij het combineren van trajecten. Een gezamenlijke kalender is praktisch; één generiek document dat alle inhoudelijke verschillen verbergt is dat niet.
Let op editie en publicatiestatus
Controleer bij de normuitgever of je een definitieve norm, een ontwerp of een aankondiging leest. Een aangekondigde herziening verandert niet vanzelf de vervaldatum van je huidige certificaat. Laat bij een overgang de toepasselijke afspraken door je certificerende instelling bevestigen. Bewaar de bronversie die je voor je eigen beoordeling gebruikte.
Van keuze naar planning
Leg de normkeuze vast met je aanleiding, beoogde scope, betrokken afdelingen en beschikbare capaciteit. Maak daarna een verschilanalyse tussen de bestaande werkwijze en de toepasselijke eisen. Koppel ieder verschil aan een eigenaar en een controleerbaar resultaat. De kennisbank geeft leesroutes; de ISO 27001-route werkt één traject verder uit.