Hvad gør vi, når en kunde kræver ISO 27001-certifikat, men vi kun har kontrollerne?

Når en kunde efterspørger et ISO 27001-certifikat, men jeres virksomhed endnu ikke er certificeret, er det vigtigt at være ærlig om jeres nuværende modenhed. Start med at præsentere det scope, som jeres kontroller dækker, og lav en grundig risikovurdering, som viser, hvordan I håndterer sikkerhedsrisici. Det kan også være nyttigt at have en kontroloversigt og relevante politikker klar, så kunden kan se, hvilke foranstaltninger I allerede har implementeret.

I stedet for at love et certifikat, som I ikke har, kan I tilbyde en kundespecifik due diligence under en fortrolighedsaftale (NDA). Dette giver kunden indsigt i jeres sikkerhedsforanstaltninger og viser, at I tager deres krav alvorligt. Samtidig kan det være en god idé at overveje, om certificeringen er kommercielt nødvendig for jeres virksomhed. Hvis flere kunder efterspørger certificeringen, kan det være værd at investere i en certificeringsproces.

Det kan også være en fordel at lave en roadmap mod certificering, hvis I har planer om at opnå ISO 27001 i fremtiden. Dette viser, at I har en klar strategi for at forbedre jeres IT-sikkerhed og opfylde kundernes krav. Deling af information om jeres seneste interne reviews kan også bidrage til at opbygge tillid hos kunden.

Endelig kan det være nyttigt at samle erfaringer fra andre virksomheder, der har stået i en lignende situation. Dette kan give jer indsigt i, hvordan de har håndteret krav om certificering og hvilke fordele, der kan være ved at investere i ISO 27001-certificering.