Direct antwoord
De scope van een ISO 27001-managementsysteem bepaal je in vier stappen: breng in kaart welke diensten en informatie beschermd moeten worden, bepaal welke afdelingen, locaties en systemen daarbij horen, formuleer de scope-beschrijving, en onderbouw wat je uitsluit. Clausule 4.3 eist dat de scope gedocumenteerd is. Vuistregel: zo klein als eerlijk kan, want elke uitbreiding betekent meer werk en audittijd.
De scope van je ISO 27001-managementsysteem bepaalt voor welk deel van de organisatie de norm geldt: welke diensten, afdelingen, locaties en systemen. Clausule 4.3 eist dat de scope als gedocumenteerde informatie beschikbaar is. De scope-keuze is een van de belangrijkste beslissingen van het traject: hij bepaalt direct de hoeveelheid werk, de auditkosten en de waarde van het certificaat richting klanten.
Stap 1: Begin bij wat beschermd moet worden
Vertrek vanuit de klantbelofte: welke dienst lever je waarvoor klanten beveiligingsgaranties verwachten? Meestal is dat de kern van de dienstverlening, bijvoorbeeld het SaaS-platform of de hosting-dienstverlening, inclusief de data die daarin omgaat.
Stap 2: Bepaal wat daarbij hoort
Trek de kring rond alles wat die dienst raakt: de teams die eraan werken, de systemen en infrastructuur, de locaties en de ondersteunende processen zoals HR-onboarding en leveranciersbeheer voor zover ze de dienst raken. Wat de dienst niet raakt, kan buiten de scope blijven.
Stap 3: Schrijf de scope-beschrijving
Formuleer een beknopte tekst die op het certificaat komt, bijvoorbeeld: “Het ontwikkelen, leveren en ondersteunen van het [product]-platform vanuit de vestiging in [plaats].” Houd hem concreet: klanten lezen deze tekst om te beoordelen of het certificaat hun dienst dekt.
Stap 4: Onderbouw de uitsluitingen
Leg vast welke onderdelen buiten de scope vallen en waarom dat verdedigbaar is. Belangrijk: een uitsluiting mag geen gat slaan in de beveiliging van de dienst binnen de scope. Een ontwikkelteam uitsluiten terwijl het aan het platform bouwt, accepteert geen enkele auditor.
De grootste valkuil: te breed beginnen
Elke extra afdeling of vestiging betekent extra processen, risico’s, documenten en auditdagen. Een te brede scope is de meest voorkomende oorzaak van trajecten die maanden uitlopen. Begin met de kern waar de klantvraag zit; uitbreiden kan bij elke controle-audit.
Zo werkt dit in Control One
De implementatiecoach in de portal vertaalt dit stappenplan naar concrete stappen met uitleg, sjablonen en voortgang.
Veelgestelde vragen
Mag je één afdeling certificeren?
Ja. De scope mag een deel van de organisatie zijn, bijvoorbeeld alleen de SaaS-dienstverlening of één vestiging, zolang de begrenzing logisch is en klanten niet misleidt. Het certificaat vermeldt de scope letterlijk.
Wat staat er in een scope-beschrijving?
Een beknopte tekst (enkele zinnen) die beschrijft welke diensten of producten, welke organisatieonderdelen en welke locaties onder het ISMS vallen. Deze tekst komt op het certificaat te staan.
Kun je de scope later uitbreiden?
Ja, dat kan bij de jaarlijkse controle-audit of een tussentijdse uitbreidingsaudit. Klein beginnen en later uitbreiden is een gangbare en verstandige strategie.