Op deze pagina
AhaSend is gecertificeerd volgens ISO/IEC 27001:2022, de internationale norm voor informatiebeveiliging. De audit was in september en is uitgevoerd door Procertify. Het certificaat is op 16 oktober 2026 afgegeven en drie jaar geldig. Je vindt het in ons Trust Center.
In maart schreven we dat we eraan begonnen waren. Zeven maanden, een flinke stapel documenten en één audit later is het rond. Hieronder: wat het certificaat precies dekt, waar de auditor naar heeft gekeken en wat jij eraan hebt.
De scope: alles
Bij ieder ISO 27001-certificaat is de scope het eerste wat je moet lezen, want een certificaat kan een stuk smaller zijn dan het bedrijf erachter. Je kunt je kantoor-IT laten certificeren en het product erbuiten houden, of één datacenter en de rest niet.
Bij ons valt alles eronder. Het e-mailplatform met ieder onderdeel dat jouw mail aanraakt, van de API en SMTP via onze mailservers tot de aflevering. Het dashboard. De infrastructuur op al onze vijf Europese locaties. De mensen die het bouwen en beheren. En de processen eromheen: toegangsbeheer, wijzigingsbeheer, incidentafhandeling, leveranciersbeheer. Er is geen stukje van de dienst dat buiten het gecertificeerde systeem valt.
Waar de auditor naar heeft gekeken
ISO 27001 is geen vragenlijst die je invult. De norm vraagt om een managementsysteem voor informatiebeveiliging: je legt vast wat de risico's zijn, welke maatregelen je daartegen neemt en hoe je controleert dat die maatregelen blijven werken. De auditor leest die documentatie en vraagt daarna om bewijs uit de praktijk: toegangslogs, wijzigingen, incidenttickets, leveranciersbeoordelingen, trainingen, de uitkomsten van onze eigen interne audits.
Een paar voorbeelden van wat niet op papier maar in de praktijk is bekeken: wie er bij productiesystemen kan en hoe die toegang wordt verleend en weer ingetrokken; hoe wijzigingen aan het platform worden beoordeeld en uitgerold; hoe we beveiligingsincidenten opmerken en afhandelen; hoe data onderweg en in rust is versleuteld; hoe we de datacenterleveranciers beoordelen waarvan we afhankelijk zijn; en hoe we voorkomen dat maatregelen tussen twee audits in ongemerkt verslappen.
Dat we ons platform zelf draaien in Europese datacenters, hielp hierbij. Minder partijen, minder aannames om te documenteren. Het betekende ook dat we meer zelf moesten aantonen, in plaats van te verwijzen naar de verklaring van een hyperscaler.
Wat jij eraan hebt
Voor je e-mail verandert er niets, die wordt afgeleverd zoals vorige maand. Wat verandert, is wat je kunt laten zien.
Beoordeelt jouw organisatie leveranciers op beveiliging, dan verwijs je voortaan naar het certificaat in het Trust Center in plaats van ons een hele vragenlijst te laten invullen. In het Trust Center staan ook onze maatregelen met hun actuele status, onze subverwerkers en ons beleid, dus de meeste vragen van een securityteam zijn beantwoord voordat ze gesteld zijn. Samen met onze kant-en-klare verwerkersovereenkomst en het feit dat alle verwerking binnen de EU en EER blijft, is dat voor de meeste beoordelaars genoeg.
Bouw je een product dat e-mail verstuurt voor je eigen klanten, als SaaS-platform, bureau of hostingprovider, dan zijn hun beveiligingsvragen ook jouw beveiligingsvragen. Dat je e-mailprovider ISO 27001-gecertificeerd is, met een scope die de dienst dekt die je echt gebruikt, is een antwoord dat je klanten steeds vaker van je verwachten.
En koos je als ontwikkelaar voor AhaSend vanwege de API en de Europese hosting, dan heb je nu van een onafhankelijke partij de bevestiging dat de beveiliging erachter ook op orde is.
Hoe het verdergaat
Een ISO 27001-certificaat is geen eenmalige prijs. Het loopt drie jaar, met na twaalf en na vierentwintig maanden een controleaudit door Procertify en in 2029 een volledige hercertificering. Het systeem moet dus blijven werken, en niet alleen op de dag van de audit. Onze interne audits lopen in hetzelfde ritme door, en het Trust Center wordt bijgewerkt zodra er iets verandert.
Vragen over het certificaat, de scope of hoe we met je data omgaan? In het Trust Center staan de documenten, en via [email protected] bereik je de mensen die ze geschreven hebben.