Meerdere vestigingen kunnen onder één ISO 27001-certificaat vallen, mits ze allemaal binnen de gedefinieerde scope van het Information Security Management System (ISMS) vallen en vergelijkbare processen en risico’s delen. De sleutel ligt in hoe het ISMS is ingericht en of de organisatie centraal of gedecentraliseerd werkt. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001-certificering bij meerdere locaties, van scopebepaling tot surveillance-audits. Wil je direct weten wat dit voor jouw organisatie betekent? neem gerust contact op en wij helpen je verder.
Wat bepaalt of vestigingen binnen één certificaat vallen?
Of meerdere vestigingen onder één ISO 27001-certificaat kunnen vallen, hangt af van de scope van het ISMS. Vestigingen vallen binnen één certificaat als ze dezelfde informatiebeveiligingsdoelstellingen delen, onder hetzelfde management vallen en hun processen en risico’s voldoende vergelijkbaar zijn om als één samenhangend systeem te worden beoordeeld.
De scopedefinitie is daarmee de meest bepalende stap in het hele certificeringstraject. Je stelt vast welke locaties, afdelingen, processen en informatiesystemen deel uitmaken van het ISMS. Vestigingen die sterk afwijken in activiteiten, risiconiveau of regelgevende context, bijvoorbeeld een productielocatie naast een softwareontwikkelingslocatie, vereisen zorgvuldige overweging om te bepalen of ze écht binnen dezelfde scope passen.
Praktisch gezien kijkt een auditor naar drie factoren: de mate van centrale sturing over het ISMS, de homogeniteit van processen tussen locaties en of risicobeheer en beveiligingsmaatregelen consistent worden toegepast. Zijn deze factoren positief, dan is een gecombineerde scope goed verdedigbaar.
Hoe werkt een multi-site audit voor ISO 27001 in de praktijk?
Een multi-site audit voor ISO 27001 verloopt in twee fasen, net als een reguliere certificeringsaudit, maar met een steekproefsgewijze aanpak voor de locaties. Niet elke vestiging wordt bij elke audit volledig bezocht. In plaats daarvan selecteert de auditor een representatieve steekproef van locaties op basis van omvang, risico en activiteiten.
In de eerste fase (Stage 1) beoordeelt de auditor de documentatie van het ISMS en de scopedefinitie. Hierbij wordt duidelijk welke vestigingen zijn opgenomen en hoe het systeem centraal is ingericht. In de tweede fase (Stage 2) vinden de feitelijke audits op locatie plaats, waarbij zowel de centrale beheersorganisatie als een selectie van vestigingen wordt bezocht.
Hoe wordt de steekproef van locaties bepaald?
De steekproefgrootte is gebaseerd op internationale auditstandaarden en hangt af van het totale aantal vestigingen. Risicovolle of afwijkende locaties worden vaker geselecteerd dan standaardlocaties. Een vestiging die bijzondere verwerkingen uitvoert of in een specifieke sector actief is, krijgt daardoor meer aandacht.
Wat gebeurt er tijdens een bezoek aan een vestiging?
Tijdens een locatiebezoek toetst de auditor of de centraal vastgestelde beveiligingsmaatregelen ook lokaal zijn geïmplementeerd. Denk aan toegangsbeveiliging, incidentbeheer, bewustzijnstrainingen en de naleving van het informatiebeveiligingsbeleid. De auditor spreekt met medewerkers en bekijkt fysieke en digitale bewijsstukken ter plaatse.
Wat is het verschil tussen een centrale en een gedecentraliseerde ISMS-opzet?
Bij een centraal ISMS beheert één centrale eenheid het beleid, de risicoanalyse, de procedures en de interne audits voor alle vestigingen. Bij een gedecentraliseerde opzet heeft elke locatie meer autonomie en een eigen beheerstructuur, al vallen ze formeel nog steeds onder dezelfde scope. Het verschil heeft directe gevolgen voor hoe de audit wordt uitgevoerd.
Een centrale opzet maakt de audit efficiënter: beleid en procedures hoeven maar één keer te worden beoordeeld en de auditor kan sneller vaststellen of vestigingen conform het centrale systeem werken. Een gedecentraliseerde opzet vraagt meer auditwerk per locatie, omdat de implementatie per vestiging meer kan variëren.
Voor de informatiebeveiliging als geheel is een centrale opzet doorgaans robuuster. Het zorgt voor consistente risicobeheersing en maakt het eenvoudiger om wijzigingen organisatiebreed door te voeren. Gedecentraliseerde opzetten kunnen zinvol zijn als vestigingen sterk van elkaar verschillen in activiteiten of regelgevende verplichtingen.
Wanneer is een aparte certificering per locatie verstandiger?
Een aparte ISO 27001-certificering per locatie is verstandiger wanneer vestigingen zelfstandig opereren, eigen klantcontracten hebben waarbij een apart certificaat vereist is, of wanneer de risicoprofielen en processen te sterk van elkaar afwijken om geloofwaardig binnen één scope te vallen.
Dit speelt regelmatig bij organisaties met dochterondernemingen die onder een eigen merknaam opereren, of bij locaties in verschillende landen met andere wet- en regelgeving. Ook als een klant of aanbesteder uitdrukkelijk vraagt om een certificaat op naam van een specifieke entiteit, is een aparte certificering de juiste keuze.
Houd er rekening mee dat aparte certificeringen ook aparte audittrajecten, certificaatkosten en surveillanceverplichtingen met zich meebrengen. Het is dus geen beslissing die je licht neemt. Een goede scopeanalyse aan het begin van het traject voorkomt dat je achteraf voor onnodige complexiteit staat.
Welke documenten en bewijsstukken zijn nodig per vestiging?
Per vestiging die binnen de ISO 27001-scope valt, moeten bewijsstukken beschikbaar zijn die aantonen dat het ISMS lokaal is geïmplementeerd. Dit betekent niet dat elke locatie een volledig eigen documentatieset heeft, maar wel dat de toepassing van centraal beleid lokaal aantoonbaar is.
Denk aan de volgende bewijsstukken per vestiging:
- Registraties van uitgevoerde bewustzijnstrainingen voor medewerkers op die locatie
- Toegangslogboeken of toegangsbeleid dat lokaal is ingevoerd
- Incidentregistraties specifiek voor de vestiging
- Resultaten van interne audits die de locatie hebben beoordeeld
- Bewijs van lokale risicobeheersmaatregelen, zoals fysieke beveiligingsmaatregelen
- Ondertekende verklaringen of bewijs van naleving van het informatiebeveiligingsbeleid
Hoe meer vestigingen een organisatie heeft, hoe belangrijker een gestructureerd systeem is voor het beheren en ontsluiten van deze bewijsstukken. Auditors waarderen het als bewijsmateriaal snel en overzichtelijk beschikbaar is; dit draagt bij aan een soepel verlopende audit.
Hoe blijf je gecertificeerd bij het openen van een nieuwe vestiging?
Bij het openen van een nieuwe vestiging moet je beoordelen of die locatie binnen de bestaande ISO 27001-scope valt of dat de scope formeel moet worden uitgebreid. Als de nieuwe vestiging vergelijkbare processen uitvoert als bestaande locaties, is scopeuitbreiding doorgaans de meest logische stap.
Een scopewijziging moet worden gemeld bij de certificerende instelling. Afhankelijk van het moment in de certificeringsperiode en de omvang van de wijziging kan er een aanvullende audit nodig zijn om de nieuwe locatie te beoordelen. Dit hoeft geen volledig hertraject te zijn, maar de nieuwe vestiging moet wel kunnen aantonen dat het ISMS er daadwerkelijk is geïmplementeerd.
Voorkom problemen door nieuwe locaties al vroeg in het planningsproces te betrekken bij het ISMS. Zorg dat medewerkers zijn getraind, dat lokale risico’s zijn geïnventariseerd en dat de benodigde procedures operationeel zijn vóór de openingsdatum. Een gestructureerde onboarding van nieuwe vestigingen in het ISMS is de beste manier om je certificering te behouden zonder onderbrekingen.
Heb je vragen over het uitbreiden van je scope of wil je weten hoe wij organisaties begeleiden bij multi-site certificering? Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.
Veelgestelde vragen
Wat moet ik doen als een nieuwe vestiging sterk afwijkt van de bestaande locaties binnen mijn ISMS-scope?
V: Wat moet ik doen als een nieuwe vestiging sterk afwijkt van de bestaande locaties binnen mijn ISMS-scope? A: Als een nieuwe vestiging significant verschilt in processen, risicoprofiel of regelgevende context, is het verstandig om te overwegen of een aparte certificering passender is dan scopeuitbreiding. Een grondige scopeanalyse vooraf voorkomt dat je achteraf voor onnodige complexiteit of geloofwaardigheidsproblemen staat bij de certificerende instelling.
Hoe vaak worden individuele vestigingen bezocht tijdens surveillance-audits na de initiële certificering?
V: Hoe vaak worden individuele vestigingen bezocht tijdens surveillance-audits na de initiële certificering? A: Tijdens surveillance-audits worden vestigingen steekproefsgewijs geselecteerd op basis van risico, omvang en activiteiten, waardoor niet elke locatie jaarlijks wordt bezocht. Risicovolle of afwijkende vestigingen krijgen wel vaker aandacht, dus het is belangrijk dat alle locaties continu voldoen aan de centraal vastgestelde beveiligingsmaatregelen.
Waarom is een centraal ingericht ISMS voordeliger dan een gedecentraliseerde opzet bij meerdere vestigingen?
V: Waarom is een centraal ingericht ISMS voordeliger dan een gedecentraliseerde opzet bij meerdere vestigingen? A: Een centraal ISMS zorgt voor consistente risicobeheersing en maakt het eenvoudiger om wijzigingen organisatiebreed door te voeren, wat de audit efficiënter en minder kostbaar maakt. Bij een gedecentraliseerde opzet moet de auditor per vestiging meer werk verrichten, omdat de implementatie per locatie sterker kan variëren.
Hoe zorg ik ervoor dat medewerkers op alle vestigingen goed zijn voorbereid op een locatiebezoek van de auditor?
V: Hoe zorg ik ervoor dat medewerkers op alle vestigingen goed zijn voorbereid op een locatiebezoek van de auditor? A: Zorg dat medewerkers regelmatig bewustzijnstrainingen volgen, op de hoogte zijn van het informatiebeveiligingsbeleid en weten hoe incidenten worden geregistreerd en gemeld. Een gestructureerd systeem voor het bijhouden en snel ontsluiten van bewijsstukken per vestiging draagt bovendien direct bij aan een soepel verlopende audit.
Gerelateerde artikelen
- Wat zijn de praktische verschillen in tijdsinvestering tussen initiële certificering en hercertificering?
- Hoeveel tijd zit er tussen het afronden van de fase 2 audit en de uitgifte van het certificaat?
- Kan een kleine zorgorganisatie ook terecht bij een certificerende instelling?
- Wat is het verschil tussen ISO 27001 en ISO 27002?
- Hoe identificeer je informatie-assets voor NEN 7510?
