ISAE 3402 of ISO 27001: welke past bij jouw organisatie?

ISAE 3402 of ISO 27001: de keuze hangt af van wie om zekerheid vraagt en waarover. ISAE 3402 is een assurancerapport van een onafhankelijke accountant of IT auditor over de interne beheersing bij een dienstverlener, bedoeld voor klanten en hun accountants voor zover die beheersing hun financiële verslaggeving raakt. ISO 27001 is een certificaat van een certificatie instelling dat bevestigt dat je managementsysteem voor informatiebeveiliging aan de norm voldoet.

Krijg je als dienstverlener, IT dienstverlener of softwarebedrijf de vraag “hebben jullie een ISAE 3402 of een ISO 27001?”, dan lijken beide antwoorden op elkaar. Ze bewijzen iets anders, worden door een andere partij afgegeven en dienen een andere lezer. In dit artikel lees je wat elk is, welke past bij jouw situatie en hoe je ze slim combineert.

Wat is een ISAE 3402 rapport?

Een ISAE 3402 rapport is een assurancerapport waarin een onafhankelijke auditor een oordeel geeft over de beschrijving en de beheersmaatregelen van een serviceorganisatie. Het rapport is bedoeld voor de klanten van die serviceorganisatie en voor hun accountants.

De standaard heet voluit International Standard on Assurance Engagements 3402, Assurance Reports on Controls at a Service Organization. De internationale standaardsetter voor accountants, de IAASB, publiceerde hem in december 2009; hij geldt voor rapporten over periodes die eindigen op of na 15 juni 2011 (IAASB, december 2009). In Nederland is de standaard opgenomen als Standaard 3402, vertaald door de NBA.

Drie kenmerken zijn belangrijk:

• Het onderzoek wordt uitgevoerd door een accountant in openbare praktijk (IAASB staff overview). In Nederland gaat het om registeraccountants en IT auditors die onder hun beroepsregels assurance mogen verstrekken.
• De scope ligt bij beheersmaatregelen die relevant zijn voor de interne beheersing van je klanten rond hun financiële verslaggeving. Denk aan een salarisverwerker, een administratiekantoor of een softwareleverancier waarvan de klanten boekingen, facturen of betalingen in jouw systeem verwerken.
• Je kiest zelf de beheersdoelstellingen en maatregelen die je in het rapport beschrijft. De auditor toetst die beschrijving, de opzet en bij een type II ook de werking over een periode.

Er zijn twee varianten: type I beoordeelt de opzet op één datum, type II ook de werking over een periode. Het verschil werken we uit in ISAE 3402 type 1 of type 2: wat is het verschil.

Wat is een ISO 27001 certificaat?

Een ISO 27001 certificaat is een verklaring van een certificatie instelling dat je managementsysteem voor informatiebeveiliging (ISMS) voldoet aan ISO/IEC 27001:2022. Het gaat over je hele systeem van risicoanalyse, beleid, maatregelen, interne audits en verbetering binnen de afgesproken scope.

Certificatie instellingen laten zich voor ISO 27001 accrediteren; in Nederland doet de Raad voor Accreditatie (RvA) dat (Kiwa, februari 2025). Een certificaat loopt in een cyclus van drie jaar met jaarlijkse tussentijdse audits en een hercertificeringsaudit aan het eind (Amtivo, geraadpleegd oktober 2026).

Een certificaat is een ja of nee: je voldoet aan de norm of je voldoet er niet aan. De klant ziet op het certificaat de scope en de geldigheid. Welke maatregelen precies getest zijn en met welke uitkomst, staat er niet op. Meer over de aanpak lees je in onze gids voor ISO 27001 implementatie in het mkb.

Wat is het verschil tussen ISAE 3402 en ISO 27001?

ISAE 3402 is een rapport van een auditor over specifieke beheersmaatregelen voor de financiële verslaggeving van je klanten. ISO 27001 is een certificaat dat je hele managementsysteem voor informatiebeveiliging aan een vaste norm voldoet. De tabel zet de verschillen naast elkaar.

ISAE 3402 of ISO 27001: wanneer past welke?

ISAE 3402 past als klanten of hun accountants zekerheid willen over processen die hun cijfers raken. ISO 27001 past als je in brede zin wilt aantonen dat je informatiebeveiliging structureel en aantoonbaar op orde hebt.

ISAE 3402 ligt voor de hand als:

• je klanten financiële gegevens in jouw systemen of processen verwerken, zoals salaris, facturatie, debiteuren, beleggingen of pensioenadministratie;
• de accountant van een klant in zijn controle om een assurancerapport over jouw dienst vraagt;
• klanten in hun contract een ISAE 3402 rapport als voorwaarde stellen.

ISO 27001 ligt voor de hand als:

• klanten, aanbestedingen of ketenpartners om aantoonbare informatiebeveiliging vragen, los van financiële verslaggeving;
• je een vast kader wilt dat de hele organisatie dekt, inclusief risicoanalyse en continue verbetering;
• je een certificaat wilt dat je openlijk op je website en in offertes kunt noemen.

Gaat de vraag van je klant vooral over beveiliging, beschikbaarheid of vertrouwelijkheid, dan is ISAE 3402 vaak de verkeerde vorm. Beroepsorganisatie NOREA wijst erop dat ISAE 3402 bedoeld is voor processen rond financiële verslaggeving, en dat rapporten over beveiliging en beschikbaarheid thuishoren onder de bredere assurancestandaard ISAE 3000, bijvoorbeeld als SOC 2 rapport (Accountant.nl, april 2016).

Wat vragen klanten en hun accountants precies?

Klanten vragen meestal om zekerheid over één concreet risico: kunnen we vertrouwen op wat deze leverancier voor ons doet? Hun accountant wil daarnaast weten of hij voor zijn controle op jouw beheersmaatregelen kan steunen, en over welke periode.

ISAE 3402 is bedoeld voor klanten en hun accountants (IAASB staff overview). De accountant van je klant gebruikt het rapport om te bepalen of hij jouw processen zelf moet onderzoeken. Een certificaat geeft hem die informatie niet, omdat er niet op staat welke maatregelen getest zijn.

Stel bij een vraag van een klant daarom deze vragen terug:

1. Over welke dienst en welke processen wil je zekerheid?
2. Gaat het om financiële verslaggeving, informatiebeveiliging of beide?
3. Wie leest het rapport: de klant zelf, zijn accountant of een toezichthouder?
4. Volstaat een beoordeling op één datum, of is een periode nodig?
5. Accepteert de klant een ISO 27001 certificaat, eventueel met aanvullende informatie?

Met die antwoorden voorkom je dat je een traject start dat de vraag van de klant niet beantwoordt.

Kun je ISAE 3402 en ISO 27001 combineren?

Ja, en dat werkt goed. Een ISO 27001 managementsysteem levert de risicoanalyse, de vastgelegde maatregelen en het eigenaarschap waar een ISAE 3402 onderzoek op kan steunen.

In de praktijk overlappen de IT beheersmaatregelen sterk. Toegangsbeheer, wijzigingsbeheer, reservekopieën en herstel, logging en leveranciersbeheer komen in beide terug. Wat je voor ISO 27001 hebt ingericht, kun je in een ISAE 3402 beschrijving gebruiken als onderbouwing van je beheersdoelstellingen.

Er blijven verschillen waar je rekening mee houdt:

• Een ISAE 3402 beschrijving bevat ook procesmaatregelen rond de financiële verwerking, zoals controles op invoer, verwerking en uitvoer. Die vallen buiten ISO 27001.
• Bij een type II test de auditor of de maatregelen gedurende de hele periode werkten. Je moet dus doorlopend bewijs vastleggen, met datum en uitvoerder.
• De auditor test steekproefsgewijs per maatregel. Een maatregel die ISO 27001 als proces voldoende vindt, kan voor ISAE 3402 te weinig bewijs opleveren.

Een goede basis voor beide is een gedegen risicoanalyse. Hoe je die opzet, lees je in risicoanalyse ISO 27001 in vijf stappen.

Hoe maak je de keuze in vijf stappen?

Begin bij de vraag van je klanten en werk terug naar de vorm. Zo kies je het bewijs dat de vraag beantwoordt en voorkom je dubbel werk.

1. Breng de vragen in kaart. Verzamel welke klanten wat vragen, in contracten, vragenlijsten en aanbestedingen.
2. Bepaal het onderwerp. Gaat het om financiële verwerking, om informatiebeveiliging of om beide?
3. Kies de vorm. Financiële verwerking wijst naar ISAE 3402, brede informatiebeveiliging naar ISO 27001, en een assurancerapport over beveiliging naar ISAE 3000 of SOC 2.
4. Kijk wat er al staat. Inventariseer bestaande procedures, maatregelen en bewijs. Vaak is meer aanwezig dan je denkt.
5. Plan de volgorde. Vraag je klant om beide, bouw dan eerst het managementsysteem op en leg daar het assurancerapport bovenop, zodat het bewijs voor beide uit één bron komt.

Veelgestelde vragen

Geeft Novins zelf een ISAE 3402 verklaring af?

Nee. Een ISAE 3402 rapport wordt afgegeven door een onafhankelijke accountant of IT auditor. Novins is geen accountantskantoor en helpt bij de voorbereiding: scope bepalen, beheersdoelstellingen en maatregelen inrichten en bewijs op orde brengen, zodat de auditor kan toetsen.

Accepteert de accountant van mijn klant een ISO 27001 certificaat in plaats van een ISAE 3402 rapport?

Dat bepaalt de accountant van je klant zelf. Een certificaat zegt dat je managementsysteem aan de norm voldoet. Welke beheersmaatregelen over welke periode zijn getest, staat er niet in. Vraag vooraf na wat de accountant nodig heeft voor zijn controle.

Is ISAE 3402 geschikt om informatiebeveiliging aan te tonen?

Alleen voor zover die beveiliging de financiële verslaggeving van je klanten raakt. Voor beveiliging, beschikbaarheid of vertrouwelijkheid als zelfstandig onderwerp past een rapport onder ISAE 3000 of een SOC 2 rapport beter, zo schrijft ook beroepsorganisatie NOREA.

Hoe lang is een ISO 27001 certificaat geldig?

Een certificaat loopt in een cyclus van drie jaar, met jaarlijkse tussentijdse audits en aan het eind een hercertificeringsaudit. Een ISAE 3402 type II rapport gaat over een afgelopen periode en wordt daarom periodiek opnieuw opgesteld.

Moet ik eerst ISO 27001 hebben voordat ik aan ISAE 3402 begin?

Dat is geen voorwaarde. Een werkend managementsysteem met risicoanalyse, vastgelegde maatregelen en eigenaarschap maakt de voorbereiding op een ISAE 3402 onderzoek een stuk eenvoudiger.

Twijfel je welke vorm jouw klanten nodig hebben of wil je je organisatie klaarmaken voor het onderzoek van een auditor? Novins is geen accountantskantoor en geeft zelf geen assurancerapporten af. Wij helpen bij de voorbereiding en inrichting, zodat je organisatie klaar is voor de auditor. Lees meer op de pagina over ISAE 3402 voorbereiding door Novins.

Bronnen

• IAASB: IAASB Issues New Assurance Standard on Controls at Service Organizations (18-12-2009)
• IAASB: Staff overview ISAE 3402, Assurance Reports on Controls at a Service Organization (geraadpleegd 27-10-2026)
• IAASB: Standaard 3402, Assurance rapporten betreffende interne beheersingsmaatregelen bij een serviceorganisatie (Nederlandse vertaling door de NBA) (01-12-2009, geraadpleegd 27-10-2026)
• Accountant.nl (NBA): Nieuwe Handreiking Service Organisatie Control Rapporten (SOC 2) (14-04-2016)
• Kiwa: Kiwa behaalt RvA accreditatie voor nieuwe ISO 27006 (03-02-2025)
• Amtivo: The three year certification cycle (geraadpleegd 27-10-2026)