De scope van je ISO 27001-certificering bepaalt welke onderdelen van je organisatie onder het managementsysteem vallen. Een smalle scope omvat een beperkt deel, zoals één afdeling of dienst, terwijl een brede scope meerdere processen, locaties of de gehele organisatie beslaat. De juiste keuze hangt af van je organisatiedoelen, beschikbare middelen en de verwachtingen van klanten of opdrachtgevers. In dit artikel beantwoorden we de meest gestelde vragen over scopebepaling, zodat jij goed voorbereid aan je ISO 27001-traject begint. Wil je alvast sparren over jouw situatie? Neem gerust contact op en wij helpen je graag verder.
Wat bepaalt de omvang van een ISO 27001-scope?
De omvang van een ISO 27001-scope wordt bepaald door de grenzen die je zelf stelt aan het Information Security Management System (ISMS). Concreet gaat het om welke bedrijfsprocessen, informatiesystemen, locaties en medewerkers je onder de certificering wilt laten vallen. De norm schrijft niet voor hoe breed of smal de scope moet zijn, maar stelt wel dat de scope helder, verdedigbaar en consistent moet zijn.
Bij het bepalen van de scopeomvang speel je met meerdere factoren:
- Organisatiestructuur: Hoeveel afdelingen of vestigingen zijn betrokken bij de verwerking van gevoelige informatie?
- Externe eisen: Stellen klanten, aanbestedingen of samenwerkingspartners eisen aan wat er gecertificeerd moet zijn?
- Risicoprofiel: Welke processen dragen de grootste informatiebeveiligingsrisico’s?
- Afhankelijkheden: Zijn er processen die zo sterk verweven zijn dat ze moeilijk buiten de scope te houden zijn zonder de samenhang te verbreken?
Een goed doordachte scope is het fundament van een succesvolle ISO 27001-certificering. Wie de scope te vaag formuleert of interne afhankelijkheden negeert, loopt al vroeg in het traject tegen problemen aan.
Wat is het verschil tussen een smalle en brede scope?
Een smalle scope bij ISO 27001 beperkt de certificering tot een specifiek deel van de organisatie, zoals één product, dienst, afdeling of locatie. Een brede scope omvat meerdere of alle bedrijfsprocessen, systemen en locaties. Het verschil zit niet alleen in de omvang, maar ook in de complexiteit van het audit- en implementatietraject.
Smalle scope: focus en beheersbaarheid
Bij een smalle scope richt het ISMS zich op een afgebakend gebied. Denk aan een softwarebedrijf dat alleen zijn hostingdienst certificeert, of een zorginstelling die één specifiek patiëntenportaal onder de scope plaatst. Voordelen zijn een kortere implementatietijd, lagere kosten en een beter beheersbare eerste certificering. Het nadeel is dat klanten of opdrachtgevers kunnen vragen waarom bepaalde processen buiten de scope vallen.
Brede scope: volledigheid en geloofwaardigheid
Een brede scope dekt meer van de organisatie af en geeft stakeholders een completer beeld van je informatiebeveiligingsniveau. Dit is met name relevant als je organisatie als geheel vertrouwelijke gegevens verwerkt, of als aanbestedingen een organisatiebrede certificering vereisen. De keerzijde is dat de implementatie meer tijd, middelen en interne afstemming vraagt.
Welke scope is gunstiger bij een ISO 27001-audit?
Er is geen universeel gunstigere scope. Wat gunstig is, hangt af van de situatie van je organisatie. Een smalle scope is gunstig als je snel wilt certificeren of als slechts één dienst relevant is voor klanten. Een brede scope is gunstig als je organisatiebrede geloofwaardigheid wilt opbouwen of als interne processen sterk met elkaar verweven zijn.
Vanuit auditperspectief geldt: een goed gedefinieerde, consistente scope is altijd gunstiger dan een scope die te ruim is geformuleerd maar in de praktijk niet volledig wordt gedekt. Een auditor beoordeelt niet alleen of de scope aannemelijk is, maar ook of de maatregelen binnen die scope aantoonbaar werken. Een realistische, afgebakende scope waar het ISMS daadwerkelijk op aansluit, levert dan ook betere auditresultaten op dan een ambitieuze scope die op papier breed is maar in de uitvoering gaten vertoont.
Wij adviseren organisaties altijd om de scope te laten aansluiten bij de werkelijke risicogebieden en de verwachtingen van de markt. Dat is precies de contextgerichte aanpak die we bij DigiTrust hanteren.
Hoe beïnvloedt de scopekeuze de auditduur en -kosten?
De scopekeuze heeft directe invloed op zowel de auditduur als de kosten. Hoe meer processen, systemen, medewerkers en locaties binnen de scope vallen, hoe meer auditdagen er nodig zijn om voldoende bewijs te verzamelen. Dit geldt zowel voor de initiële certificeringsaudit als voor de jaarlijkse controle-audits.
Een smalle scope resulteert doorgaans in:
- Minder auditdagen, omdat het te onderzoeken gebied kleiner is
- Lagere directe auditkosten
- Kortere voorbereidingstijd voor de organisatie zelf
Een brede scope brengt mee:
- Meer auditdagen en hogere auditkosten
- Een uitgebreider documentatiepakket dat voorbereid moet worden
- Meer betrokken medewerkers en afdelingen tijdens de audit
Het is belangrijk om de scopekeuze niet puur op kostenbesparing te baseren. Een te smalle scope die niet aansluit bij de verwachtingen van klanten of de werkelijke risico’s, kan op termijn duurder uitpakken, bijvoorbeeld als je het certificaat later alsnog moet uitbreiden.
Wanneer is het verstandig om de scope later uit te breiden?
De scope later uitbreiden is verstandig wanneer je organisatie groeit, nieuwe diensten of processen toevoegt, of wanneer klanten en aanbestedingen een bredere certificering gaan vereisen. Ook als de eerste certificering succesvol is verlopen en de organisatie voldoende volwassenheid heeft opgebouwd, is uitbreiding een logische stap.
Veelvoorkomende momenten voor scopeuitbreiding zijn:
- Na een overname of fusie waarbij nieuwe bedrijfsonderdelen worden geïntegreerd
- Bij het lanceren van een nieuwe dienst of product dat gevoelige gegevens verwerkt
- Als aanbestedingen of samenwerkingspartners een organisatiebrede certificering gaan vragen
- Wanneer interne audits aantonen dat processen buiten de huidige scope risico’s introduceren
Een scopewijziging vereist altijd een formele herziening van het ISMS en in veel gevallen een aanvullende audit. Het is verstandig om dit tijdig te plannen en niet te wachten tot de jaarlijkse controle-audit. Wij denken graag mee over het juiste moment en de aanpak van een scopeuitbreiding.
Welke scopefouten leiden tot problemen tijdens de audit?
De meest voorkomende scopefouten bij ISO 27001 zijn een te vage scopeomschrijving, het buiten de scope plaatsen van processen die in de praktijk wél afhankelijk zijn van het ISMS, en het niet documenteren van de grenzen en uitsluitingen. Deze fouten leiden ertoe dat een auditor de scope niet kan valideren of dat er aantoonbare inconsistenties ontstaan tussen de scope en de werkelijkheid.
Concrete fouten die we in de praktijk tegenkomen:
- Grenzen niet helder beschreven: De scope vermeldt “onze IT-afdeling” zonder te specificeren welke systemen, locaties of diensten dit betreft.
- Uitsluitingen niet onderbouwd: Processen of systemen worden buiten de scope gelaten zonder dat er een inhoudelijke reden voor is, wat vragen oproept bij de auditor.
- Interne afhankelijkheden genegeerd: Een dienst is in scope, maar de onderliggende infrastructuur of leverancier die die dienst mogelijk maakt, is dat niet. Dit creëert een logisch gat.
- Scope niet actueel gehouden: De scope is opgesteld bij de initiële certificering maar is nooit bijgewerkt na organisatorische veranderingen.
- Medewerkers niet op de hoogte: Medewerkers binnen de scope weten niet dat ze onder het ISMS vallen, wat leidt tot inconsistente antwoorden tijdens interviews.
Een goed gedefinieerde en actuele scope is een van de eerste dingen die wij bij informatiebeveiligingsaudits beoordelen. Door hier vooraf zorgvuldig naar te kijken, voorkom je verrassingen tijdens de audit en vergroot je de kans op een vlotte certificering aanzienlijk.
Wil je weten of jouw scope sterk genoeg is voor een succesvolle ISO 27001-audit? Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.
Veelgestelde vragen
Wat is het beste startpunt voor het bepalen van mijn ISO 27001-scope?
V: Wat is het beste startpunt voor het bepalen van mijn ISO 27001-scope? A: Begin met het in kaart brengen van de processen en systemen die gevoelige informatie verwerken, en kijk welke eisen klanten of opdrachtgevers stellen aan de certificering. Zo bepaal je een scope die zowel realistisch als relevant is voor jouw organisatie, zonder onnodige complexiteit toe te voegen aan het implementatietraject.
Hoe weet ik of mijn huidige scope nog actueel is na organisatorische veranderingen?
V: Hoe weet ik of mijn huidige scope nog actueel is na organisatorische veranderingen? A: Controleer bij elke organisatorische wijziging, zoals een fusie, nieuwe dienst of uitbreiding van systemen, of de scopeomschrijving nog overeenkomt met de werkelijkheid. Een verouderde scope die niet meer aansluit bij de praktijk leidt tot inconsistenties die een auditor direct zal signaleren tijdens de controle-audit.
Waarom is het belangrijk om uitsluitingen in de scope goed te onderbouwen?
V: Waarom is het belangrijk om uitsluitingen in de scope goed te onderbouwen? A: Een auditor beoordeelt niet alleen wat er binnen de scope valt, maar ook waarom bepaalde processen of systemen zijn uitgesloten. Zonder inhoudelijke onderbouwing wekt dit twijfel over de volledigheid van het ISMS en kan het leiden tot bevindingen die je certificering vertragen of bemoeilijken.
Wanneer is het verstandig om te kiezen voor een brede scope in plaats van een smalle?
V: Wanneer is het verstandig om te kiezen voor een brede scope in plaats van een smalle? A: Een brede scope is verstandig als je organisatie als geheel vertrouwelijke gegevens verwerkt, als interne processen sterk met elkaar verweven zijn, of als aanbestedingen en klanten een organisatiebrede certificering vereisen. In dat geval weegt de geloofwaardigheid en volledigheid van een brede scope op tegen de hogere investering in tijd en middelen.
Gerelateerde artikelen
- Hoe plan je een realistisch tijdpad naar een ISO 27001 certificering?
- Wat zijn de belangrijkste gesprekken die tijdens een fase 1 audit plaatsvinden?
- Waarom is de keuze voor een ISO 27001 certificerende instelling meer dan alleen de prijs?
- Kun je tegelijk ISO 27001 en NEN 7510 certificeren?
- Wat zijn de gevolgen als je niet voldoet aan de NIS2?
