Een leverancier stuurt een pdf met een logo en de woorden "ISO 9001:2015 gecertificeerd". Of die pdf iets betekent, hangt af van twee dingen die erin kunnen staan of niet: wie het afgaf, en wie de afgever accrediteert. ISO, de International Organization for Standardization, schrijft de norm en certificeert niemand; zij houdt geen register van gecertificeerde bedrijven bij, en een certificaat met het ISO-logo erop is eerder een waarschuwing dan een bewijs. Certificeren gebeurt door certificatie-instellingen, private bedrijven, en het enige wat een certificatie-instelling onderscheidt van een bedrijf dat pdf's verkoopt, is accreditatie door de nationale accreditatie-instantie van een EU-lidstaat, waarvan Verordening (EG) nr. 765/2008 er precies één per lidstaat vereist. Dit artikel is wat een echt certificaat toont, de drie controles die dat vaststellen, en de 27 registers om tegen te controleren.
Wat een echt certificaat toont
ISO/IEC 17021-1, de norm waaraan accreditatie-instanties certificatie-instellingen houden, vereist dat het certificatiedocument de klant en zijn locatie, de norm en haar editie, het toepassingsgebied van de certificatie, de certificatie-instelling, de datums van verlening en verloop en een unieke identificatie vermeldt. Op een geaccrediteerd certificaat staat het merkteken van de accreditatie-instantie naast dat van de certificeerder, met diens accreditatienummer. Een certificaat dat iets betekent, toont dus:
- De naam van de gecertificeerde organisatie en de gedekte vestigingen.
- "ISO 9001:2015", de editie, niet "ISO 9001" alleen en nooit "ISO 9001:2008", waarvan alle certificaten in september 2018 aan het einde van de overgang zijn verlopen.
- Een toepassingsgebied in woorden: wat de organisatie doet dat het certificaat dekt, bijvoorbeeld "ontwerp en ondersteuning van boekhoudsoftware", niet de bedrijfsnaam herhaald.
- De naam van de certificatie-instelling, en het merkteken van de accreditatie-instantie met een accreditatienummer.
- De datums: een afgiftedatum, een vervaldatum drie jaar na de eerste certificatie, en vaak de datum van de lopende cyclus; certificatie is een cyclus van drie jaar met elk jaar daartussen een toezichtaudit.
- Een certificaatnummer dat de certificeerder kan opzoeken.
Een certificaat zonder toepassingsgebied, accreditatiemerkteken of editie is niet per se vals, maar elk daarvan is een vraag om te stellen voordat u erop vertrouwt.
Drie controles in tien minuten
De certificeerder is geaccrediteerd, voor ISO 9001, door een nationale accreditatie-instantie. Neem de naam van de certificeerder en de accreditatie-instantie die op het certificaat staat, ga naar het register van die instantie, gelinkt in de tabel hieronder, en zoek de certificeerder op. Het register zegt of de accreditatie geldig, geschorst of ingetrokken is, en voor welke normen: accreditatie voor ISO 9001 staat los van accreditatie voor ISO 27001 of ISO 14001, en een instelling die voor de ene is geaccrediteerd, is dat daarmee niet voor een andere. Een certificeerder die in geen enkel nationaal register voorkomt, is niet geaccrediteerd, wat de website ook zegt.
Het certificaat is geldig. De meeste certificeerders publiceren een register van de certificaten die zij hebben afgegeven, doorzoekbaar op bedrijfsnaam of certificaatnummer, en veel laden ze ook op in IAF CertSearch, de database van het International Accreditation Forum, waar een certificaat over certificeerders heen kan worden opgezocht. Een certificaat dat het eigen register van de certificeerder niet toont, of als ingetrokken of geschorst toont, is er geen om op te vertrouwen, en een certificaat drie jaar na de afgiftedatum zonder hercertificatie is verlopen.
Het toepassingsgebied dekt wat u koopt. Het toepassingsgebied is de grens van het certificaat: een bedrijf dat is gecertificeerd voor "het leveren van IT-ondersteuningsdiensten" is niet gecertificeerd voor de software die het ook ontwikkelt, en een certificaat voor één vestiging dekt geen andere. Lees het toepassingsgebied tegen het contract.
Als de drie controles slagen, is het certificaat echt, geldig en relevant. Als de leverancier de accreditatie-instantie niet kan noemen, geen certificaatnummer kan geven, of uitlegt dat de certificeerder "internationaal erkend" is zonder in enig nationaal register te staan, kijkt u naar een niet-geaccrediteerd certificaat: voor het oog identiek, ongeveer 40 tot 50% goedkoper in aanschaf, en routinematig afgewezen door publieke en grote inkopers, en daarom koopt de leverancier die er een kocht daarna meestal een geaccrediteerd certificaat, tegen de volle prijs, omdat een niet-geaccrediteerd certificaat niet kan worden overgedragen.
De 27 registers
Eén instantie per lidstaat, alfabetisch, uit het ledenregister van EA; elk publiceert het register van de certificeerders die zij accrediteert, met toepassingsgebied. Gecontroleerd tegen het register van EA op 11 augustus 2026.
| Land | Accreditatie-instantie | Register |
|---|---|---|
| België | BELAC, Belgian Accreditation Council | belac.fgov.be |
| Bulgarije | BAS, Bulgarian Accreditation Service | nab-bas.bg |
| Cyprus | CYS-CYSAB, Cyprus Organization for the Promotion of Quality | www.gov.cy/meci-cysab/en/ |
| Denemarken | DANAK, Den Danske Akkrediteringsfond | english.danak.dk |
| Duitsland | DAkkS, Deutsche Akkreditierungsstelle | dakks.de |
| Estland | EAK, Estonian Accreditation Centre | eak.ee |
| Finland | FINAS, Finnish Accreditation Service | finas.fi |
| Frankrijk | COFRAC, Comité français d'accréditation | cofrac.fr |
| Griekenland | ESYD, Hellenic Accreditation System | esyd.gr |
| Hongarije | NAH, National Accreditation Authority | nah.gov.hu |
| Ierland | INAB, Irish National Accreditation Board | inab.ie |
| Italië | ACCREDIA, Ente Italiano di Accreditamento | accredia.it |
| Kroatië | HAA, Croatian Accreditation Agency | akreditacija.hr |
| Letland | LATAK, Latvian National Accreditation Bureau | latak.gov.lv |
| Litouwen | LA, Lithuanian Accreditation and Standardization Agency | lasa.lrv.lt |
| Luxemburg | OLAS, Office Luxembourgeois d'Accréditation et de Surveillance | portail-qualite.public.lu |
| Malta | NAB-Malta, National Accreditation Board | nabmalta.org.mt |
| Nederland | RvA, Raad voor Accreditatie | rva.nl |
| Oostenrijk | AA, Akkreditierung Austria | bmwet.gv.at/akkreditierung |
| Polen | PCA, Polskie Centrum Akredytacji | pca.gov.pl |
| Portugal | IPAC, Instituto Português de Acreditação | www.ipac.pt |
| Roemenië | RENAR, Romanian Accreditation Association | renar.ro |
| Slovenië | SA, Slovenian Accreditation | slo-akreditacija.si |
| Slowakije | SNAS, Slovak National Accreditation Service | snas.sk |
| Spanje | ENAC, Entidad Nacional de Acreditación | www.enac.es |
| Tsjechië | CAI, Czech Accreditation Institute | cai.cz |
| Zweden | SWEDAC, Swedish Board for Accreditation and Conformity Assessment | swedac.se |
U hebt geen certificeerder in uw eigen land nodig
Een certificaat van een instelling die is geaccrediteerd door welke ondertekenaar van de multilaterale overeenkomst van de European co-operation for Accreditation ook, wordt bij alle erkend, zodat een door DAkkS geaccrediteerde certificeerder in Spanje even goed is als een door ENAC geaccrediteerde, en een inkoper die om "een nationaal certificaat" vraagt, vraagt om iets wat hij niet nodig heeft. Buiten Europa is het equivalent de multilaterale regeling van het IAF. Het enige wat niet meereist, is het toepassingsgebied: controleer het in het register van de lidstaat die de certificeerder accrediteerde, niet van de lidstaat waar de leverancier zit.
Wat dit met ons te maken heeft
StandardOS geeft geen certificaten af en kan dat niet: ISO/IEC 17021-1 vereist dat de certificeerder onafhankelijk is van wie de organisatie hielp voorbereiden, en dezelfde scheiding is de reden dat deze pagina u naar een register stuurt in plaats van naar een partner. Wat wij bouwen, is het managementsysteem dat een certificeerder audit, voor ISO 9001 als paragrafenregister en voor ISO 27001, en de registraties die het oplevert, dragen een hash die iedereen zonder ons kan verifiëren. De overeenkomstige controles voor een ISO 27001-certificaat, met dezelfde registers, staan op de pagina over certificatie-instellingen; waarom een inkoper überhaupt om het certificaat vraagt, per land, staat in de telling van EU-aanbestedingen die ISO 9001 noemen.
Bronnen
- Verordening (EG) nr. 765/2008, artikel 4, één nationale accreditatie-instantie per lidstaat.
- ISO/IEC 17021-1:2015, de eisen voor instellingen die managementsystemen certificeren, voor de inhoud van certificatiedocumenten, de cyclus van drie jaar en de onafhankelijkheidseis, aangehaald op nummer; de tekst is die van ISO.
- De European co-operation for Accreditation, register van leden en MLA-ondertekenaars, gelezen op 11 augustus 2026.
- IAF CertSearch, de certificatendatabase van het International Accreditation Forum.
Dit is geen inkoop- of juridisch advies. Een registervermelding die u vandaag leest, is het feit van vandaag; lees haar opnieuw voordat u tekent.