Hoe bepaal ik de scope van mijn ISO 27001-certificering?

De scope van je ISO 27001-certificering bepalen is een van de meest bepalende stappen in het hele certificeringstraject. Een te brede scope maakt het proces onnodig zwaar; een te smalle scope ondermijnt de geloofwaardigheid van je certificaat. In dit stappenplan lees je precies hoe je de scope bepaalt, documenteert en valideert, zodat je met vertrouwen aan je ISO 27001-implementatie begint.

Verzamel de informatie die je nodig hebt

Voordat je grenzen kunt trekken, moet je weten wat er te begrenzen valt. Breng in deze eerste fase alle relevante informatie over je organisatie bij elkaar. Denk aan je bedrijfsstructuur, de aard van de informatie die je verwerkt, de eisen van klanten en partners, en de wet- en regelgeving waaraan je moet voldoen. Zonder dit fundament maak je later aannames die je duur kunnen komen te staan.

Verzamel in ieder geval de volgende informatie:

• Een overzicht van alle afdelingen, teams en locaties binnen de organisatie
• De typen informatie die je organisatie verwerkt (persoonsgegevens, financiële data, klantinformatie)
• Contractuele verplichtingen of eisen van klanten en opdrachtgevers rond informatiebeveiliging
• Relevante wet- en regelgeving, zoals de AVG of sectorspecifieke normen
• Bestaande beveiligingsmaatregelen en managementsystemen

Na deze stap heb je een volledig beeld van de context waarbinnen de scope straks moet passen. Controleer of je niets hebt gemist door de lijst te bespreken met iemand die de organisatie goed kent, zoals een proceseigenaar of de verantwoordelijke voor informatiebeveiliging.

Breng de grenzen van je organisatie in kaart

Met de verzamelde informatie in handen is het tijd om de organisatorische, fysieke en technische grenzen vast te stellen. De ISO 27001-norm vereist dat je expliciet aangeeft welke delen van de organisatie binnen de scope vallen en welke niet. Dit zijn de drie dimensies die je moet uitwerken:

1. Organisatorische grenzen: welke juridische entiteiten, afdelingen of teams vallen binnen de scope?
2. Fysieke grenzen: welke locaties, kantoren of datacenters zijn inbegrepen?
3. Technische grenzen: welke systemen, netwerken en applicaties worden meegenomen?

Een veelgemaakte fout is het uitsluiten van ondersteunende functies die wel degelijk toegang hebben tot gevoelige informatie, zoals HR of financiën. Wees kritisch: als een afdeling informatie verwerkt die relevant is voor de informatiebeveiliging, hoort zij in principe binnen de scope thuis. Noteer ook bewust wat je buiten de scope laat en waarom, want een auditor zal daar vragen over stellen.

Bepaal welke processen en systemen binnen de scope vallen

Nu de grenzen duidelijk zijn, zoom je in op de processen en systemen die binnen die grenzen opereren. Dit is de meest inhoudelijke stap, omdat je hier de directe koppeling legt tussen de dagelijkse bedrijfsvoering en de informatiebeveiliging die je wilt certificeren.

Doorloop de volgende acties systematisch:

1. Maak een inventarisatie van alle bedrijfsprocessen die binnen de vastgestelde grenzen plaatsvinden.
2. Koppel aan elk proces de informatiestromen: welke gegevens worden verwerkt, opgeslagen of doorgestuurd?
3. Identificeer de systemen, applicaties en infrastructuur die die processen ondersteunen.
4. Bepaal per systeem of het primair, ondersteunend of buiten scope is.
5. Breng externe partijen in kaart die toegang hebben tot je systemen of informatie verwerken namens jou, zoals leveranciers of cloudproviders.

Externe leveranciers worden door organisaties regelmatig over het hoofd gezien, terwijl ze een aanzienlijk risico kunnen vormen. Als een leverancier persoonsgegevens van jouw klanten verwerkt of toegang heeft tot je netwerk, is het verstandig om die relatie mee te nemen in je risicoanalyse, ook als de leverancier zelf buiten de formele scope valt. Meer informatie over hoe een implementatietraject dit soort afwegingen structureel adresseert, kan helpen om niets over het hoofd te zien.

Documenteer de scope in een heldere scopeverklaring

Alles wat je tot nu toe hebt bepaald, leg je vast in een formele scopeverklaring. Dit document is geen formaliteit: het vormt de basis van je gehele Information Security Management System (ISMS) en wordt door de externe auditor als eerste beoordeeld. Een heldere scopeverklaring voorkomt discussie en toont aan dat je de norm serieus toepast.

Een goede scopeverklaring bevat minimaal de volgende elementen:

• Een beschrijving van de organisatie en haar activiteiten
• De organisatorische, fysieke en technische grenzen
• Een expliciete vermelding van wat buiten de scope valt, inclusief motivatie
• Verwijzingen naar relevante wet- en regelgeving en contractuele verplichtingen
• De interfaces en afhankelijkheden met externe partijen

Schrijf de scopeverklaring in begrijpelijke taal, zodat ook niet-technische stakeholders kunnen begrijpen wat er wel en niet onder de certificering valt. Vermijd jargon waar dat niet nodig is. Controleer na het schrijven of de scope consistent is met de informatie uit de vorige stappen: elke keuze moet traceerbaar zijn.

Valideer de scope met stakeholders en je auditor

Een scope die alleen door de projectleider is bepaald, mist draagvlak en kan blinde vlekken bevatten. Valideer de scopeverklaring daarom altijd met de juiste mensen voordat je verdergaat met de implementatie. Dit is tevens het moment om eventuele fouten te corrigeren voordat ze doorwerken in de rest van het traject.

1. Bespreek de scopeverklaring met het management en vraag om formele goedkeuring.
2. Toets de scope met de proceseigenaren van de afdelingen die zijn opgenomen, zodat zij bevestigen dat de beschrijving klopt.
3. Deel de scope in een vroeg stadium met je externe auditor of certificerende instelling en vraag om feedback.
4. Pas de scopeverklaring aan op basis van de ontvangen input en leg de wijzigingen vast.

De stap waarbij je de scope deelt met je auditor wordt door veel organisaties te laat gezet. Een vroegtijdige afstemming voorkomt verrassingen tijdens de externe audit en geeft je de zekerheid dat de scope voldoet aan de verwachtingen van de certificerende instelling. Na validatie is de scope vastgesteld en kun je de rest van het ISMS hierop bouwen.

Hoe Kwinzo helpt bij het bepalen van je ISO 27001-scope

Het bepalen van een correcte en verdedigbare scope is voor veel organisaties lastiger dan het lijkt. Kwinzo begeleidt organisaties door het volledige ISO 27001-traject, inclusief de scopebepaling, en zorgt dat elke keuze goed onderbouwd en auditproof is. Wat we daarbij bieden:

• Nulmeting en scopeanalyse: we brengen samen met jou de grenzen, processen en systemen in kaart, zodat de scope realistisch en volledig is.
• Eigen ISMS-tool: hiermee documenteer je de scopeverklaring en het volledige managementsysteem gestructureerd en efficiënt.
• Interne audits: als generale repetitie voor de externe audit controleren we of de scope en het ISMS kloppen en waar verbetering nodig is.
• Maandelijkse workshops: voor Security Officers die hun kennis over de ISO-normen willen verdiepen en praktijkvragen willen bespreken.
• Begeleiding op maat: van doe-het-zelf tot volledige ontzorging, afgestemd op de omvang en het tempo van jouw organisatie.

Wil je weten wat de juiste scope is voor jouw organisatie en hoe je het certificeringstraject efficiënt aanpakt? Neem contact op voor een vrijblijvend adviesgesprek.