Achter elke e-factuur via Peppol zit een dienstverlener: het Access Point dat je factuur verstuurt of ontvangt. OpenPeppol, de organisatie achter het netwerk, legt die dienstverleners een nieuwe eis op. Tegen 1 oktober 2027 moet elke Peppol-dienstverlener een ISO 27001-certificaat hebben. Wat betekent dat voor jou als ondernemer of accountant, en wat kijk je best nu al na?
Wat is ISO 27001 voor een Peppol-dienstverlener?
ISO/IEC 27001 is de internationale norm voor informatiebeveiliging. Een gecertificeerde organisatie toont aan dat ze haar risico’s systematisch beheert: wie heeft toegang tot welke gegevens, hoe worden ze beschermd en wat gebeurt er bij een incident. Een onafhankelijke instelling controleert dat jaarlijks.
Voor Peppol is dat geen detail. Via het netwerk lopen facturen met bedrijfsgevoelige gegevens, en straks ook de basis voor e-reporting. Daarom keurde het bestuur van OpenPeppol op 24 juni 2026 een uitvoeringsplan goed. Daarin staat dat elke dienstverlener tegen 1 oktober 2027 een geldig ISO 27001-certificaat of een gelijkwaardig certificaat moet hebben. Oorspronkelijk lag die termijn drie maanden vroeger.
Wat vraagt OpenPeppol precies?
- Een geldig certificaat op naam van de juridische entiteit die het contract met OpenPeppol tekende. Een certificaat van een moederbedrijf telt enkel als die entiteit erop vermeld staat.
- Een verklaring van toepasselijkheid (Statement of Applicability) waaruit blijkt dat de Peppol-diensten volledig binnen het certificaat vallen.
- Een door het management ondertekende verklaring dat het certificaat de Peppol-activiteiten dekt.
Wat er gebeurt met een dienstverlener die de termijn mist, staat niet op de officiële pagina. Berichten in de sector spreken over een uitsluiting uit het netwerk in de loop van 2028. Voor jou is het besluit dus eenvoudig: je Access Point moet tijdig in orde zijn.
Wat betekent ISO 27001 voor jou als gebruiker?
De verplichting ligt bij de dienstverlener, niet bij jou. Toch raakt ze je onrechtstreeks. Verliest je Access Point zijn toegang tot het netwerk, dan ontvang je geen e-facturen meer en kan je er ook geen meer versturen. Bovendien gebruiken veel facturatie- en boekhoudpakketten het Access Point van een andere partij. In dat geval moet die achterliggende partij gecertificeerd zijn, niet het softwarebedrijf zelf.
Vier vragen voor je Access Point
- Welke partij is jullie Peppol-dienstverlener, en staat die naam op het certificaat?
- Hebben jullie het ISO 27001-certificaat al, of tegen wanneer verwachten jullie het?
- Vallen de Peppol-diensten volledig binnen het certificaat?
- Wat is het plan als de certificering niet op tijd rond is?
Accountants stellen die vragen best centraal, voor alle klanten die bij dezelfde dienstverlener zitten. Leg de antwoorden vast in het dossier, samen met de datum.
En als je van Access Point moet wisselen?
Een wissel van Access Point is geen drama, maar vraagt voorbereiding. Een onderneming heeft immers maar één actief ontvangstadres op Peppol. De nieuwe dienstverlener kan je pas registreren nadat de oude je registratie heeft vrijgegeven, en tussen beide mag je geen facturen kwijtraken. Kijk daarom eerst na waar je vandaag geregistreerd bent. Dat doe je met onze Peppol-checker. In ons boek beschrijven we de wissel stap voor stap in §5.2.
Een goede dienstverlener vertelt je trouwens vanzelf hoe hij met deze eis omgaat. Twijfel je aan een factuur die via een nieuwe dienstverlener vertrekt, controleer ze dan met de e-factuurvalidator. Het uitvoeringsplan zelf vind je op de site van OpenPeppol.
