Een dochterbedrijf hoeft niet altijd apart gecertificeerd te worden voor ISO 27001. De organisatie kan kiezen om het dochterbedrijf op te nemen in de bestaande scope van het moederbedrijf, of juist een zelfstandige certificering aan te vragen. Welke keuze het meest verstandig is, hangt af van factoren zoals juridische zelfstandigheid, operationele structuur en de eisen van klanten of aanbestedingen. Wil je direct weten wat de beste aanpak is voor jouw situatie? Neem gerust contact op en wij denken graag met je mee. In dit artikel beantwoorden we de meest gestelde vragen rondom ISO 27001 en dochterbedrijven.
Moet een dochterbedrijf apart gecertificeerd worden voor ISO 27001?
Nee, een dochterbedrijf is niet verplicht om een aparte ISO 27001-certificering te hebben. De norm schrijft geen specifieke juridische structuur voor. Zolang het dochterbedrijf duidelijk is opgenomen in de scope van het moederbedrijf en de bijbehorende processen, systemen en risico’s zijn meegenomen in het Information Security Management System (ISMS), volstaat één gecombineerd certificaat.
Toch kiezen veel organisaties bewust voor een aparte certificering voor een dochteronderneming. Dit kan te maken hebben met commerciële redenen, zoals een klant of aanbesteding die expliciet vraagt om een eigen ISO 27001-certificaat op naam van de dochteronderneming. Ook wanneer het dochterbedrijf een sterk afwijkende activiteit of een sterk afwijkend risicoprofiel heeft, is een zelfstandige scope vaak logischer en duidelijker.
Kan het dochterbedrijf worden opgenomen in de scope van het moederbedrijf?
Ja, een dochterbedrijf kan worden opgenomen in de scope van de ISO 27001-certificering van het moederbedrijf. Dit is een veelgebruikte en praktische aanpak, mits de informatiebeveiliging van het dochterbedrijf daadwerkelijk valt onder het ISMS van het moederbedrijf en de auditor dit kan verifiëren tijdens de audit.
Belangrijk is dat de scope dan expliciet vermeld staat in het certificaat. De naam van het dochterbedrijf, de locatie en de relevante activiteiten moeten herkenbaar zijn in de scopeomschrijving. Als dit niet duidelijk is vastgelegd, biedt het certificaat van het moederbedrijf geen aantoonbare dekking voor de dochteronderneming richting externe partijen.
Praktisch gezien betekent dit ook dat de auditor bij een gecombineerde audit zowel het moederbedrijf als het dochterbedrijf beoordeelt. Beide entiteiten moeten aantoonbaar werken binnen hetzelfde ISMS, met gedeelde beleidslijnen, procedures en beheersmaatregelen die ook daadwerkelijk van toepassing zijn op de dochteronderneming.
Wat zijn de voordelen van een aparte ISO 27001-certificering voor een dochteronderneming?
Een aparte ISO 27001-certificering voor een dochteronderneming biedt zelfstandige aantoonbaarheid, commerciële slagkracht en meer duidelijkheid over de eigen verantwoordelijkheden op het gebied van informatiebeveiliging. Het eigen certificaat staat op naam van de dochteronderneming en kan zelfstandig worden ingezet bij aanbestedingen of klantverzoeken.
De voornaamste voordelen op een rij:
- Onafhankelijke aantoonbaarheid: De dochteronderneming kan haar eigen certificaat tonen zonder afhankelijk te zijn van het moederbedrijf.
- Commercieel voordeel: Veel klanten en opdrachtgevers eisen een certificaat op naam van de contracterende partij.
- Eigen verantwoordelijkheid: Een zelfstandige certificering stimuleert eigenaarschap over informatiebeveiliging binnen de dochteronderneming zelf.
- Toekomstbestendigheid: Bij een mogelijke verkoop of verzelfstandiging van de dochteronderneming is het eigen certificaat direct overdraagbaar.
Welke scopeafbakening geldt voor een dochterbedrijf bij ISO 27001?
De scopeafbakening voor een dochterbedrijf bij ISO 27001 volgt dezelfde principes als voor elke andere organisatie: de scope beschrijft welke processen, systemen, locaties en informatie vallen onder het ISMS. Het dochterbedrijf moet helder omschrijven wat wel en wat niet binnen de scope valt, inclusief de grenzen ten opzichte van het moederbedrijf.
Specifiek voor een dochteronderneming zijn er een aantal aandachtspunten bij de ISO 27001-scope:
- Gedeelde systemen: Als het dochterbedrijf gebruikmaakt van IT-infrastructuur van het moederbedrijf, moet dit expliciet worden meegenomen in de risicoanalyse en de scope.
- Gedeeld personeel of beleid: Wanneer medewerkers voor beide entiteiten werken, moet duidelijk zijn hoe het beveiligingsbeleid op hen van toepassing is.
- Juridische grenzen: De scope moet aansluiten bij de juridische en organisatorische structuur, zodat het certificaat ook daadwerkelijk de juiste entiteit dekt.
Een goed omschreven scope voorkomt onduidelijkheid bij externe partijen en maakt het auditproces efficiënter. Wij adviseren altijd om de scopeafbakening zorgvuldig te bespreken vóór de start van een certificeringstraject.
Hoe verloopt het auditproces voor een dochterbedrijf dat al een ISO 27001-gecertificeerd moederbedrijf heeft?
Als het moederbedrijf al ISO 27001-gecertificeerd is, verloopt het auditproces voor het dochterbedrijf vaak efficiënter. De auditor kan voortbouwen op bestaande documentatie, beleidslijnen en beheersmaatregelen van het moederbedrijf. Toch vindt er altijd een zelfstandige beoordeling plaats van de specifieke context en risico’s van de dochteronderneming.
Het auditproces bestaat doorgaans uit de volgende fasen:
- Fase 1-audit (documentatiebeoordeling): De auditor beoordeelt het ISMS, de scope en de documentatie van het dochterbedrijf. Hierbij wordt ook gekeken in hoeverre beleid en procedures van het moederbedrijf van toepassing zijn.
- Fase 2-audit (implementatiebeoordeling): De auditor toetst ter plaatse of de beheersmaatregelen daadwerkelijk worden toegepast binnen de dochteronderneming.
- Certificeringsbeslissing: Na een positieve beoordeling ontvangt de dochteronderneming haar eigen ISO 27001-certificaat, geldig voor drie jaar met jaarlijkse controle-audits.
Wanneer een dochterbedrijf gebruikmaakt van gedeelde processen of systemen met het moederbedrijf, kan de ISO 27001-certificering worden gecombineerd in één audittraject. Dit bespaart tijd en kosten zonder in te boeten op de kwaliteit van de beoordeling.
Wanneer is het verstandig om te kiezen voor een gezamenlijke certificering?
Een gezamenlijke ISO 27001-certificering voor moeder- en dochterbedrijf is verstandig wanneer beide entiteiten sterk verweven zijn in hun processen, systemen en verantwoordelijkheden op het gebied van informatiebeveiliging. Hoe groter de operationele overlap, hoe meer voordeel een gecombineerde aanpak biedt.
Kies voor een gezamenlijke certificering als:
- Het dochterbedrijf geen eigen IT-infrastructuur heeft en volledig leunt op die van het moederbedrijf.
- Hetzelfde beveiligingsbeleid en dezelfde procedures van toepassing zijn op beide entiteiten.
- Er geen klant- of aanbestedingseis is voor een zelfstandig certificaat op naam van de dochteronderneming.
- De dochteronderneming operationeel en juridisch nauw verbonden is met het moederbedrijf.
Is de dochteronderneming echter sterk zelfstandig, actief in een andere sector of heeft ze eigen klantrelaties waarbij aantoonbaarheid op organisatieniveau vereist is, dan is een aparte certificering de betere keuze. Twijfel je welke aanpak het beste past bij jouw organisatiestructuur? Neem contact op met ons team en we helpen je de juiste keuze te maken voor een ISO 27001-certificering die écht aansluit bij de structuur en ambities van jouw organisatie.
Veelgestelde vragen
Wat is het verschil tussen een dochterbedrijf opnemen in de scope van het moederbedrijf en een aparte certificering aanvragen?
V: Wat is het verschil tussen een dochterbedrijf opnemen in de scope van het moederbedrijf en een aparte certificering aanvragen? A: Wanneer een dochterbedrijf wordt opgenomen in de scope van het moederbedrijf, valt het onder één gecombineerd certificaat en wordt het beoordeeld als onderdeel van hetzelfde ISMS. Bij een aparte certificering ontvangt de dochteronderneming een eigen certificaat op haar naam, wat zelfstandige aantoonbaarheid biedt richting klanten en aanbestedende partijen.
Hoe weet ik welke aanpak het beste past bij de structuur van mijn organisatie?
V: Hoe weet ik welke aanpak het beste past bij de structuur van mijn organisatie? A: De beste aanpak hangt af van de mate van operationele verwevenheid, juridische zelfstandigheid en eventuele eisen van klanten of aanbestedingen. Hoe meer de dochteronderneming zelfstandig opereert of eigen klantrelaties heeft waarbij aantoonbaarheid vereist is, hoe logischer een aparte ISO 27001-certificering is.
Waarom is een duidelijke scopeafbakening zo belangrijk bij de certificering van een dochterbedrijf?
V: Waarom is een duidelijke scopeafbakening zo belangrijk bij de certificering van een dochterbedrijf? A: Een heldere scopeafbakening voorkomt onduidelijkheid bij externe partijen en zorgt ervoor dat het certificaat de juiste entiteit aantoonbaar dekt. Zonder een expliciete vermelding van het dochterbedrijf in de scopeomschrijving biedt het certificaat van het moederbedrijf geen geldige dekking voor de dochteronderneming.
Wanneer is het slim om te kiezen voor een gecombineerd audittraject voor moeder- en dochterbedrijf?
V: Wanneer is het slim om te kiezen voor een gecombineerd audittraject voor moeder- en dochterbedrijf? A: Een gecombineerd audittraject is slim wanneer beide entiteiten gebruikmaken van dezelfde IT-infrastructuur, hetzelfde beveiligingsbeleid hanteren en er geen aparte klant- of aanbestedingseis geldt voor een zelfstandig certificaat. Dit bespaart tijd en kosten, zonder dat er wordt ingeleverd op de kwaliteit of geldigheid van de beoordeling.
