ISO 42001-certificering

ISO/IEC 42001:2023 is de managementsysteemnorm voor kunstmatige intelligentie, en ze is vroeg. In de 365 dagen tot 11 augustus 2026 komt ze voor in 18 Europese aanbestedingsberichten op TED, tegenover 3.408 voor ISO 27001. De eerlijke reden om in 2026 te certificeren is dat een klant, een investeerder of een inkooplijst erom vraagt.

Het is geen wettelijke deadline, en het is geen route naar conformiteit met de Europese AI-verordening. Heeft u al ISO 27001, dan kost de tweede norm een fractie van de eerste, omdat de hoofdstukken 4 tot en met 10 gedeeld zijn en wat u toevoegt 38 beheersmaatregelen zijn, één nieuw soort beoordeling en de registraties die erbij horen. Heeft u nog niets, begin dan met de norm die uw klanten noemen.

Of het vroeg is, gemeten in plaats van geraden

TED is het aanbestedingsportaal van de EU zelf en de zoek-API is openbaar, dus dit is controleerbaar in plaats van beweerd. In de 365 dagen tot 11 augustus 2026:

Achttien. Niemand verliest op dit moment publieke aanbestedingen bij gebrek aan ISO 42001. De certificaattellingen zeggen hetzelfde van de andere kant: in het voorjaar van 2026 kwamen de gepubliceerde tellingen van ISO 42001-certificaten wereldwijd uit op enkele honderden organisaties, tegenover ruwweg 96.000 ISO 27001-certificaten in de ISO Survey. Geaccrediteerde certificering werd pas mogelijk in de tweede helft van 2025, toen ISO/IEC 42006 verscheen, de norm die certificatie-instellingen vertelt hoe ze tegen 42001 moeten auditen.

Wat de cijfers niet vangen, is private inkoop. Leveranciersvragenlijsten van grote klanten zijn een sectie "AI-governance" gaan dragen, en een certificaat is daarop het kortste antwoord. Dat is echte vraag. Ze komt uit inkoop, ze komt per vragenlijst, en ze is de reden om dit in 2026 te doen als u het al doet.

Wat ze niet is: een route naar de AI-verordening

Dit is de bewering om voorzichtig mee te zijn, omdat veel marketing haar doet.

ISO 42001 geeft geen vermoeden van conformiteit met de Europese AI-verordening. De Europese normalisatie-instellingen CEN en Cenelec hebben voor het systeem voor kwaliteitsbeheer van de verordening een eigen Europese norm geschreven: EN 18286.

Op 14 oktober 2026 vermeldde Uitvoeringsbesluit (EU) 2026/2274 van de Commissie EN 18286:2026 in het Publicatieblad, als eerste geharmoniseerde norm onder de AI-verordening; 42001 is niet vermeld. Ook die vermelding reikt minder ver dan ze klinkt. Artikel 40 geeft een vermoeden van conformiteit met de artikelen 8 tot en met 15, voor zover een vermelde norm ze dekt. Het systeem voor kwaliteitsbeheer zelf wordt getoetst aan het artikel dat het vereist. Wat EN 18286 een aanbieder geeft, en wat niet. De verplichtingen voor hoog risico zelf zijn door Verordening (EU) 2026/1744 uitgesteld tot 2 december 2027 (systemen van bijlage III) en 2 augustus 2028 (ingebedde systemen van bijlage I).

Wat 42001 u wel geeft, is de governancesteiger waarop al het latere werk aan de AI-verordening rust: rollen, een inventaris van AI-systemen, impactbeoordelingen, dataregistraties, een directiebeoordeling die AI omvat. Onze eigen lezing koppelt de beheersmaatregelen van 42001 aan elk aspect dat artikel 17, lid 1, noemt, punt voor punt. De verdedigbare zin is "42001 maakt de organisatie klaar"; de onverdedigbare is "42001 maakt het systeem conform".

Wat ze vraagt

De hoofdstukken 4 tot en met 10 zijn de Harmonized Structure, hetzelfde skelet als ISO 27001, ISO 9001 en elke andere actuele managementsysteemnorm: context, leiderschap, planning, ondersteuning, uitvoering, evaluatie van de prestaties, verbetering. Heeft u ISO 27001, dan heeft u alle zeven gebouwd, en de registraties tellen voor beide normen. Een scopeverklaring, een beleid, doelstellingen, een risicomethode, competentieregistraties, een interne audit, een directiebeoordeling: één set, twee certificaten.

Drie dingen zijn nieuw.

De rol van de organisatie voor elk AI-systeem. 42001 vraagt u om voor elk systeem binnen de scope te zeggen of u de aanbieder, de ontwikkelaar, de exploitant of de gebruiker ervan bent, omdat de verplichtingen verschillen. Een bedrijf dat het model van een leverancier inzet en een bedrijf dat zijn eigen model traint, hebben verschillende verklaringen van toepasselijkheid, en de scope moet de systemen opsommen, niet alleen de bedrijfsonderdelen.

De impactbeoordeling van het AI-systeem, paragraaf 6.1.4. Dit is de paragraaf zonder enige tegenhanger in ISO 27001, en ze is de reden dat een 42001-audit geen 27001-audit met extra beheersmaatregelen is.

Waar 27001 vraagt wat er voor de organisatie mis kan gaan, vraagt 42001 wat het systeem doet met de mensen die het raakt en met de samenleving: wie wordt geraakt, wat het beoogde doel is, hoe redelijkerwijs voorzienbaar misbruik eruitziet, en wat de gevolgen van een verkeerde uitkomst zijn voor een individu. Een auditor vraagt om de beoordeling van één met name genoemd systeem en verwacht een document, geen gefilterd risicoregister.

De 38 beheersmaatregelen van bijlage A. Gegroepeerd van A.2 tot en met A.10: AI-beleid; interne organisatie; middelen voor AI-systemen (data, tooling, rekenkracht, mensen); impactbeoordeling; de levenscyclus van het AI-systeem van doelstellingen via verificatie, uitrol en monitoring; data voor AI-systemen (herkomst, kwaliteit, voorbereiding); informatie voor belanghebbenden; gebruik van AI-systemen; en relaties met derden en klanten.

Net als bij 27001 bepaalt u welke van toepassing zijn en motiveert u in een verklaring van toepasselijkheid welke niet, en bijlage B geeft voor elk implementatierichtlijnen. De databeheersmaatregelen in A.7 zijn de maatregelen die bedrijven onderschatten: een auditor wil zien waar trainings- en evaluatiedata vandaan kwamen, hoe de kwaliteit ervan is beoordeeld en hoe ze zijn voorbereid, met datums.

Wat ze kost, en waarom de gepubliceerde bandbreedte nutteloos is

Eén zoekresultatenpagina voor "ISO 42001 certification cost" droeg bedragen van 7.000 $ tot 650.000 $. Beide kunnen voor iemand waar zijn. Geen van beide zegt iets over uw bedrijf. De kosten hebben drie delen, en maar één daarvan wordt door een regel bepaald.

De auditvergoeding van de certificatie-instelling. Onder ISO/IEC 42006 bepaalt de instelling de audittijd uit het aantal AI-systemen binnen de scope, hun complexiteit en de omvang van de organisatie, en rekent dan een dagtarief. Instellingen publiceren geen tarieven; reken op dezelfde orde van grootte als ISO 27001-auditordagen, die in Europa ruwweg 1.200 € tot 2.000 € per dag bedragen.

Houdt dezelfde instelling al uw 27001-certificaat, vraag dan om een geïntegreerde audit: de gedeelde hoofdstukken worden één keer geaudit en het 42001-specifieke werk komt erbovenop, dagen erbij in plaats van dagen dubbel.

Uw interne tijd. Voor een bedrijf dat al een ISMS draait zijn dat de impactbeoordelingen, de inventaris van AI-systemen, de dataregistraties en de 38 beslissingen over beheersmaatregelen. Weken van de tijd van één persoon, geen maanden van een team. Voor een bedrijf dat van niets begint, is het eerst het managementsysteem bouwen, wat het ISO 27001-project onder een andere naam is.

Hulp, als u die koopt. Een consultant verkoopt oordeel over de scope en over de impactbeoordelingen, want daar gaat een eerste 42001-audit mis. Sjablonen zijn niet het schaarse deel.

De eerlijke rekensom voor een bedrijf van 40 mensen met een ISO 27001-certificaat en twee AI-systemen binnen de scope is dus een klein aantal extra auditordagen plus een paar weken intern werk. Voor hetzelfde bedrijf zonder managementsysteem is het het ISO 27001-project plus dat.

Als u al ISO 27001 heeft

Doe de tweede norm op de ruggengraat van de eerste. Breid de scopeverklaring uit met de lijst van AI-systemen. Voeg de rolbepaling toe aan de contextregistratie. Voeg "gevolgen voor individuen en voor de samenleving" toe aan de risicocriteria, want 42001 vereist het en 27001 niet. Voer de impactbeoordeling uit voor elk systeem binnen de scope en bewaar die als eigen document. Beslis over de 38 beheersmaatregelen. Dan dekken de interne audit en de directiebeoordeling beide normen in één cyclus, en lopen de surveillance-audits gelijk.

De fout om te vermijden is een tweede, aparte set registraties voor één systeem. Bedrijven die 27001 met een tool doen en 42001 met een spreadsheet, beschrijven uiteindelijk dezelfde toegangsbeveiliging, dezelfde leverancier en hetzelfde incident twee keer, en een auditor die de twee versies ziet verschillen, heeft een bevinding.

Onze dekking van ISO 42001 per paragraaf zegt voor elke paragraaf wat het product bevat en waar de posten zijn gesloten, in hetzelfde formaat als het 27001-register. Lees het voordat u iets beslist.

Als u nog niets heeft

Begin met de norm waar uw klanten om vragen. Op de cijfers hierboven is dat voor bijna elk bedrijf in Europa in 2026 ISO 27001. Bouw haar zo dat de AI-norm er later bij kan: zet AI-systemen vanaf het begin in de inventaris van bedrijfsmiddelen, en schrijf de risicocriteria met individuen en samenleving als kolom, ook als die een jaar leeg blijft.

Certificeer 42001 alleen als eerste als de klant die erom vraagt ook de klant is die ervoor betaalt. Sommige zijn dat: een AI-leverancier wiens grootste klant bij inkoop een certificaat voor AI-governance eist, zit precies in die positie, en voor hem is 42001 eerst rationeel. Alle anderen kopen een optie op 2028, en opties zijn goedkoper naarmate u er minder aan uitgeeft.

Bronnen

• TED-tellingen: scripts/ted-by-country.mjs tegen de TED Search API, 365 dagen tot 11 augustus 2026; zie ISO 27001 of SOC 2 in Europa.
• ISO/IEC 42001:2023, hoofdstukken 4 tot en met 10, 6.1.4, bijlage A (38 beheersmaatregelen, A.2 tot en met A.10), bijlage B.
• ISO/IEC 42006:2025, eisen voor instellingen die AI-managementsystemen auditen en certificeren.
• CEN-CENELEC JTC 21 en EN 18286:2026, vermeld bij Uitvoeringsbesluit (EU) 2026/2274 van de Commissie van 12 oktober 2026 (PB L, 2026/2274, 14.10.2026), gelezen op CELLAR op 17 oktober 2026; Verordening (EU) 2026/1744 (in werking op 27 juli 2026), die de verplichtingen voor hoog risico van bijlage III uitstelt tot 2 december 2027 en die van bijlage I tot 2 augustus 2028. Samenvattingen van Hunton, White & Case en Mayer Brown, juli 2026; de tekst in het Publicatieblad wordt vóór publicatie rechtstreeks aangehaald.
• Certificaattellingen: ISO Survey (ISO 27001, ~96.000 certificaten); ISO 42001-tellingen per april 2026 uit branchetellingen, verzameld in ons regelgevingsonderzoek. Lees het 42001-cijfer als een orde van grootte.
• Dagtarieven van auditors: Hoeveel auditordagen kost ISO 27001.