Certificering ISO 27001, ENS en ISO 42001 met Nexo SGSI: het platform waarmee we onze eigen audit doorstonden

We hebben de certificeringsaudit van OCA Global (instantie geaccrediteerd door ENAC) op alle drie de normen doorstaan, van 17 tot 27 augustus 2026, zonder één afwijking. De certificaten worden in de weken na het rapport uitgegeven; zodra we ze hebben, publiceren we hier de nummers en de scope. Ons hele managementsysteem, van het beveiligingsbeleid tot het laatste register, draait in Nexo SGSI.

€ 11.900 voor één norm (ISO 27001 of ENS-categorie MEDIA), € 16.900 voor twee en € 21.900 voor alle drie, met twaalf maanden platform inbegrepen. De certificeringsaudit sluit je apart af met de geaccrediteerde instantie van je keuze: voor een mkb-bedrijf kost dit doorgaans tussen € 2.000 en € 5.500, afhankelijk van het aantal auditdagen. Vergelijk dat met een traditioneel implementatietraject, dat in Spanje het eerste jaar tussen € 8.000 en € 30.000 kost en geen enkele tool achterlaat.

Wij gingen van de eerste commit van de module naar de audit in twaalf weken, terwijl we de tool tegelijk bouwden. Met het platform al klaar loopt het traject van twaalf tot zestien weken, afhankelijk van je startpunt, en het meeste daarvan is geen papierwerk: het is het systeem laten draaien zodat er bewijsmateriaal met datums ontstaat. Daarna komt de beschikbaarheid van de certificerende instantie erbij, doorgaans enkele weken.

Het Esquema Nacional de Seguridad (Real Decreto 311/2022) legt de beveiligingsmaatregelen vast van de systemen die overheidsdiensten ondersteunen, en verplicht ook de bedrijven die deze diensten leveren: de aanbestedingsstukken eisen het. Systemen van categorie BÁSICA mogen de conformiteit zelf verklaren; die van categorie MEDIA en ALTA hebben certificering door een door ENAC geaccrediteerde instantie nodig. Nexo SGSI bevat de 73 maatregelen van Bijlage II met hun volwassenheid, de 110 vragen van categorie ALTA en genereert het INES-rapport.

ISO/IEC 42001 is de norm voor managementsystemen voor kunstmatige intelligentie: het regelt welke AI je gebruikt of ontwikkelt, met welke data, welke impact die heeft en wie daarvoor verantwoordelijk is. De norm deelt haar structuur met ISO 27001 (daarom worden de drie normen in Nexo SGSI gekruist) en is wat een klant of toezichthouder zal vragen aan wie AI exploiteert. Een belangrijke nuance: de 42001-certificering geeft geen vermoeden van conformiteit met de EU AI-verordening; dat zullen de geharmoniseerde normen doen die de EU nog publiceert. Voor de verordening hebben we een eigen dienst voor naleving van de EU AI Act.

Je stopt met het systeem handmatig draaiende houden. We migreren je documenten, je verklaring van toepasselijkheid en je bewijsmateriaal; vanaf dat moment verdeelt de jaarkalender de verplichtingen, komen de herinneringen vanzelf, worden de indicatoren geregistreerd en vindt de auditor bij de opvolging alles zodra hij inlogt met zijn account. Het kost € 590/maand met jaarlijkse verbintenis en onbeperkt aantal gebruikers binnen de scope.

Laat de certificeringsaudit grote afwijkingen achter, dan blijven we je zonder extra kosten begeleiden (platform en team) tot je ze sluit en gecertificeerd bent. We zeggen het hardop omdat we het kunnen: onze eigen audit van de drie normen tegelijk eindigde zonder één afwijking. De enige voorwaarde is de voor de hand liggende: je team bedient het systeem en voert het afgesproken plan uit, want bewijsmateriaal laat zich niet de week ervoor verzinnen.

ENS BÁSICA express (€ 3.900) is voor wie nu de Spaanse publieke markt op moet: categorie BÁSICA staat zelfevaluatie en een Declaración de Conformidad zonder externe audit toe, en veel kleinere aanbestedingen nemen daar genoegen mee. Vraagt een aanbesteding om MEDIA, dan is het pad al afgelegd. Self-service (€ 295/maand, jaarlijkse verbintenis) is het platform alleen, zonder begeleiding: voor security officers die weten wat ze doen, of voor wie via een adviespartner binnenkomt.

Alles van Onderhouden plus wat veeleisende systemen nodig hebben: categorie ALTA en meerdere normen binnen dezelfde scope, het door ons beheerde INES-rapport en prioriteitssupport. Kost € 1.190/maand met een jaarcontract. De natuurlijke tier voor middelgrote bedrijven en voor wie ALTA met een klein team draagt.

Ja. De on-premise-optie is dezelfde applicatie, verpakt in Docker en geïnstalleerd op je infrastructuur of in je private cloud. Er is geen enkele externe dienst, AI-sleutel of verbinding met Kiwop nodig: alleen een mailserver voor de meldingen. De installatie kost € 9.900 en de updates en ondersteuning € 2.900/jaar. Dit is de logische keuze voor overheden en voor systemen waarvan de data het pand niet mag verlaten.

De ISMS-module gebruikt geen AI voor iets van wat ze aantoont: handtekeningen, audit trail, catalogi en indicatoren zijn conventionele, deterministische code, omdat een auditor geen bewijs accepteert dat een model kan hebben verzonnen. De AI van Nexo zit in andere modules (assistent en agents), en in het ISMS is AI het object dat door ISO 42001 wordt beheerst, niet het gereedschap.

Je neemt alles volledig mee. De documenten zijn markdown, de registers staan in PostgreSQL en de rapporten zijn PDF: ze zijn te exporteren. Bij on-premise is de licentie contractueel, zonder technische sloten. We verkopen geen afhankelijkheid; we verkopen een systeem dat werkt en een team dat het kent.

In augustus 2026 vermeldt geen van de internationale complianceplatformen (Vanta, Drata, Secureframe, Sprinto) het Spaanse ENS in hun publieke frameworkcatalogus, en de Spaanse suites die het wel dekken publiceren geen prijzen en dekken ISO 42001 niet. Nexo SGSI brengt de drie normen gekoppeld samen in één console, met gepubliceerde prijzen, een on-premise optie zonder externe diensten en één bewijs dat geen andere leverancier kan tonen: onze eigen certificeringsaudit, zonder afwijkingen doorstaan op ditzelfde systeem.