Peppol Serviceprovider ISO 27001: wat verandert er voor u?

Elke Peppol Serviceprovider moet in 2027 beschikken over een geldige ISO/IEC 27001-certificering. OpenPeppol, de organisatie die het Peppol-netwerk beheert, heeft daarvoor een implementatieplan vastgesteld met een vaste reeks mijlpalen. Voor u als onderneming die via een serviceprovider e-facturen verstuurt en ontvangt, wordt Peppol Serviceprovider ISO 27001 daarmee een selectiecriterium bij de keuze van een provider en een continuïteitsvraag voor wie al aangesloten is. Dit artikel zet uiteen wat OpenPeppol eist, welke datums gelden, wat de certificering wel en niet zegt, en welke vragen en contractafspraken u vóór 1 juli 2027 geregeld wilt hebben.

Waarom dit voor u relevant is

U bent op het Peppol-netwerk aangesloten via een serviceprovider. Die partij exploiteert het accesspoint dat uw e-facturen verstuurt en ontvangt, en registreert uw Peppol ID in een Service Metadata Publisher (SMP), zodat uw handelspartners u op het netwerk kunnen vinden. Valt uw serviceprovider weg, dan stopt uw factuurverkeer via Peppol, ook als uw eigen administratie volledig op orde is.

De Italiaanse Peppol-autoriteit AgID omschrijft de ISO/IEC 27001-certificering als “a fundamental requirement for continuing to operate on the Peppol network”. Een serviceprovider die niet tijdig gecertificeerd is, riskeert dus de voorwaarde om op het netwerk te blijven opereren. Omdat e-facturatie in steeds meer landen verplicht wordt (zie ons overzicht van de e-facturatieverplichtingen in 2027), is een stabiele aansluiting voor veel ondernemingen bedrijfskritisch.

Veel bedrijven hebben bovendien geen direct contract met een serviceprovider. Zij versturen e-facturen vanuit hun boekhoud- of ERP-pakket, terwijl de softwareleverancier achter de schermen een serviceprovider inschakelt. Ook dan raakt de nieuwe eis u, alleen minder zichtbaar.

De eis in het kort: Peppol Serviceprovider ISO 27001

De kern van het implementatieplan is eenvoudig: elke Peppol Serviceprovider moet uiterlijk op de deadline een geldig en actief ISO/IEC 27001-certificaat hebben, of een door OpenPeppol aanvaarde gelijkwaardige certificering. ISO/IEC 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS).

Een certificaat alleen is niet voldoende. De Statement of Applicability (de verklaring van toepasselijkheid die vastlegt welke beheersmaatregelen binnen de certificering vallen) moet de Peppol-activiteiten expliciet en zonder uitzonderingen dekken. Volgens de publicatie van AgID gaat het om ten minste:

het accesspoint;
de Service Metadata Publisher (SMP);
End User Identification, oftewel de identificatie van de eindgebruikers die de provider op het netwerk aansluit;
documentbeheer;
integriteitscontroles;
logging en audit trail;
back-up en bedrijfscontinuïteit.

Serviceproviders die al gecertificeerd zijn, leveren volgens OpenPeppol vier stukken aan: een kopie van het geldige certificaat, de Statement of Applicability, de Service Provider Agreement (ter bevestiging dat de certificaathouder dezelfde juridische entiteit is als de partij die de overeenkomst met de Peppol-autoriteit heeft getekend) en een door het management ondertekende verklaring dat het certificaat de door OpenPeppol vastgestelde scope dekt. Providers zonder certificaat moeten een implementatietraject starten en een geaccrediteerde certificerende instelling inschakelen.

Tijdlijn: 1 juli 2027 of 1 oktober 2027?

Over de einddatum bestaan twee publicaties van officiële bronnen. AgID publiceerde op 8 juli 2026 de volgende tijdlijn, gebaseerd op de conceptversie (v1.0rc) van het implementatieplan:

T0, 30 juni 2026: uiterste datum voor verzoeken om gelijkwaardigheid van andere certificaten;
T1, 1 september 2026: indienen van al bestaande ISO/IEC 27001-certificaten;
T2, 1 oktober 2026: bewijs aanleveren van lopende certificeringstrajecten;
T3, 1 februari 2027: eerste voortgangsrapportage;
T4, 1 mei 2027: tweede voortgangsrapportage;
T5, 1 juli 2027: certificering verplicht.

De ISO/IEC 27001-pagina van OpenPeppol zelf vermeldt dat het Managing Committee de definitieve versie van het plan op 24 juni 2026 heeft goedgekeurd. Omdat de definitieve documentatie drie maanden later beschikbaar kwam dan gepland, is de certificeringsdeadline met drie maanden verschoven naar 1 oktober 2027. Of de tussentijdse mijlpalen T3 en T4 daarmee ook verschuiven, vermeldt die pagina niet.

De publicatie van OpenPeppol als beheerder van het netwerk is leidend. Voor uw planning is het verstandig om 1 juli 2027 als werkdatum aan te houden en 1 oktober 2027 als formele uiterste datum. Zo houdt u ruimte om over te stappen als uw provider de deadline niet haalt.

Wat ISO 27001 wel en niet garandeert

Een ISO/IEC 27001-certificaat toont aan dat een organisatie haar informatiebeveiligingsrisico’s systematisch in kaart brengt, beheersmaatregelen heeft ingericht en dat een geaccrediteerde certificerende instelling dit heeft getoetst. Certificaten worden doorgaans voor drie jaar afgegeven, met jaarlijkse controle-audits. Voor u betekent dat: er is een extern getoetst kader voor vertrouwelijkheid, integriteit en beschikbaarheid van uw factuurgegevens.

Wat het certificaat niet zegt:

Beschikbaarheid en service: ISO 27001 bevat geen gegarandeerde uptime, responstijden of hersteltijden. Die horen in een SLA.
Scope: een certificaat kan beperkt zijn tot een deel van de organisatie. Alleen de Statement of Applicability en het scopestatement laten zien of de Peppol-dienst die u afneemt erbinnen valt.
Juridische entiteit: een certificaat van een moeder- of zusterbedrijf telt voor OpenPeppol alleen als de certificaathouder ook de ondertekenaar van de Service Provider Agreement is.
Onderaannemers: als uw leverancier een andere partij inschakelt, zegt het certificaat van de een niets over de ander.
Privacywetgeving: ISO 27001 ondersteunt naleving van gegevensbeschermingsregels, maar vervangt geen verwerkersovereenkomst.

Wat dit betekent voor uw keten

Hoe groot de impact is, hangt af van de manier waarop u op Peppol bent aangesloten.

U hebt een direct contract met een serviceprovider

Dan is de vraag helder: is uw provider gecertificeerd, of ligt hij op schema? U kunt dit rechtstreeks opvragen en contractueel vastleggen.

U factureert via uw boekhoud- of ERP-software

Dan is uw softwareleverancier meestal zelf geen serviceprovider, maar maakt hij gebruik van een gecertificeerde partij. De ISO-eis rust op die achterliggende serviceprovider. Vraag uw softwareleverancier welke partij dat is, bij wie uw Peppol ID in de SMP is geregistreerd en wat de leverancier doet als die partij de deadline niet haalt. De kennisbank van Peppol.nu adviseert bij het inkopen van een Peppol-dienst om bij een onderaannemer altijd te weten wie dat is en hoe de verantwoordelijkheden contractueel zijn verdeeld.

Wat er gebeurt als uw provider niet tijdig gecertificeerd is

De publicaties over ISO/IEC 27001 noemen geen specifieke sancties. De Service Provider Agreement, het contract tussen serviceprovider en Peppol-autoriteit, kent wel een algemeen escalatieproces bij niet-naleving: een waarschuwing met een termijn voor herstel, publicatie van de niet-naleving, tijdelijke en uiteindelijk permanente uitsluiting van het netwerk. Na beëindiging mag een provider het netwerk niet meer gebruiken en moeten getroffen derden schriftelijk worden geïnformeerd. Of en hoe dit proces op de ISO-eis wordt toegepast, is aan OpenPeppol en de Peppol-autoriteiten.

Voor u is het praktische gevolg dat uw Peppol ID naar een andere provider moet. Een Peppol ID staat bij één serviceprovider tegelijk geregistreerd; de oude provider moet de registratie overdragen of beëindigen voordat de nieuwe haar kan overnemen. Zonder goede afspraken loopt u in die periode het risico dat facturen u niet bereiken.

Praktische gids: wat u vóór 1 juli 2027 geregeld wilt hebben

Deze stappen helpen u om uw huidige provider te toetsen of een nieuwe te kiezen. Ze gelden ongeacht het land waarin u actief bent.

Stap 1: breng uw keten in kaart

Noteer via welke software of dienst u e-facturen verstuurt en ontvangt.
Stel vast welke Peppol Serviceprovider daarachter zit en bij wie uw Peppol ID(s) in de SMP geregistreerd staan.
Controleer of u meerdere entiteiten of meerdere Peppol ID’s hebt, bijvoorbeeld per vestiging of land.

Stap 2: stel uw (toekomstige) serviceprovider deze vragen

Bent u ISO/IEC 27001-gecertificeerd, en zo ja, door welke geaccrediteerde certificerende instelling en tot welke datum?
Is de certificaathouder dezelfde juridische entiteit als de partij die de Service Provider Agreement heeft getekend?
Dekt de Statement of Applicability het accesspoint, de SMP, End User Identification, documentbeheer, integriteitscontroles, logging en audit trail, en back-up en continuïteit, zonder uitzonderingen?
Zo nee: in welke fase is het traject, wanneer is de certificeringsaudit gepland en hebt u de voortgangsrapportages aan OpenPeppol tijdig ingediend?
Maakt u gebruik van onderaannemers voor de Peppol-dienst, en zijn die ook gecertificeerd?
Hoe en binnen welke termijn draagt u mijn Peppol ID over als ik overstap, en wat kost dat?
Hoe krijg ik mijn verzonden en ontvangen documenten en metadata terug bij beëindiging?

Stap 3: leg het vast in het contract

Een verplichting om de certificering te behouden en u direct te informeren bij verlies, schorsing of een waarschuwing van de Peppol-autoriteit.
Het recht om op verzoek het certificaat en een samenvatting van de scope in te zien.
Een tussentijds opzeggingsrecht als de provider zijn netwerktoegang verliest of de certificeringsdeadline niet haalt.
Een exitregeling met vaste stappen, termijnen en kosten voor de overdracht van uw Peppol ID en de teruggave van documenten.
Een SLA met beschikbaarheid, responstijden en een periodiek getest continuïteitsplan.
Werkt u via een softwareleverancier: dezelfde afspraken, met de toezegging dat de leverancier tijdig overstapt naar een andere gecertificeerde serviceprovider.

Stap 4: maak een exit-plan

Selecteer vooraf ten minste één alternatieve provider die aantoonbaar gecertificeerd is.
Leg vast wie intern verantwoordelijk is voor de overstap en wie uw handelspartners informeert.
Controleer na een overstap via het Peppol-adresboek of uw Peppol ID bij de nieuwe provider zichtbaar is en test het ontvangen van een factuur.

Stap 5: plan uw controlemomenten

Na 1 februari 2027 en na 1 mei 2027: vraag uw provider naar de stand van het traject, in lijn met de voortgangsrapportages uit de AgID-tijdlijn.
Uiterlijk 1 juli 2027: vraag een kopie van het certificaat. Is die er niet, start dan uw exit-plan, zodat de overstap vóór 1 oktober 2027 is afgerond.

Voor softwareleveranciers en serviceproviders

Softwareleveranciers: check uw keten

Biedt u e-facturatie aan in uw software, dan bent u ofwel zelf een Peppol Serviceprovider, ofwel afhankelijk van een serviceprovider. In het eerste geval geldt de eis direct voor u. In het tweede geval vragen uw klanten u naar de status van uw partner. Vraag het certificaat en de Statement of Applicability op, leg een overstapregeling vast en bereid een klantcommunicatie voor. Volgens de Australische Peppol-autoriteit (ATO) geldt de eis voor nieuwe serviceproviders al vanaf 1 januari 2027; wie een nieuwe partner kiest, kan daar rekening mee houden.

Peppol Serviceproviders: let op de voortgangsrapportages

Wie nog in een traject zit, rapporteert volgens de AgID-tijdlijn op 1 februari 2027 (T3) en 1 mei 2027 (T4) over de voortgang. Controleer bij uw Peppol-autoriteit of deze datums na de verschuiving van de deadline nog gelden, en zorg dat certificaat, Statement of Applicability, Service Provider Agreement en managementverklaring op dezelfde juridische entiteit aansluiten.

Veelgestelde vragen

Moet ik als onderneming zelf ISO 27001-gecertificeerd zijn om Peppol te gebruiken?

Nee. De eis van OpenPeppol geldt voor Peppol Serviceproviders. U moet wel nagaan of uw provider, of de provider achter uw software, tijdig voldoet.

Wat is de deadline: 1 juli 2027 of 1 oktober 2027?

AgID noemt 1 juli 2027 op basis van de conceptversie van het implementatieplan. OpenPeppol vermeldt dat de deadline na goedkeuring van de definitieve versie op 1 oktober 2027 ligt. De bron van OpenPeppol is leidend; houd 1 juli 2027 aan als werkdatum.

Wat gebeurt er met mijn Peppol ID als mijn provider niet voldoet?

Uw Peppol ID moet dan bij een andere serviceprovider worden geregistreerd. Leg daarom vooraf contractueel vast hoe en binnen welke termijn de huidige provider de registratie overdraagt.

Bronnen

Wilt u weten welke Peppol Serviceprovider ISO 27001 al heeft? In de vergelijker van Peppol.nu ziet u per aanbieder de opgegeven certificeringen, zodat u uw huidige provider kunt toetsen of gericht een alternatief kunt kiezen.