Hoe beperk je de ISO 27001-scope als mkb-bedrijf?

Als mkb-bedrijf kun je de ISO 27001-scope beperken door alleen die onderdelen van je organisatie op te nemen die daadwerkelijk informatie verwerken die bescherming vereist. Denk aan een specifieke afdeling, een bepaald systeem of een afgebakend dienstenpakket. Een goed gedefinieerde, realistische scope maakt certificering haalbaar zonder dat je de beveiliging compromitteert. In dit artikel beantwoorden we de meest gestelde vragen over scopebeperking binnen ISO 27001.

Wat valt er eigenlijk binnen de ISO 27001-scope?

De ISO 27001-scope omschrijft welke delen van je organisatie vallen onder het informatiebeveiligingsmanagementsysteem (ISMS). Dit kunnen afdelingen, locaties, processen, systemen of diensten zijn. Alles wat je in de scopeverklaring opneemt, moet voldoen aan de eisen van de norm en wordt meegenomen in audits en risicobeoordelingen.

Concreet gaat het om alle informatieverwerkende activiteiten die je wilt certificeren. Dat betekent: de mensen die met die informatie werken, de systemen waarop die informatie staat, de processen die daarmee samenhangen en de fysieke locaties waar dit plaatsvindt. Heb je bijvoorbeeld een softwarebedrijf met een aparte afdeling voor productontwikkeling die klantdata verwerkt, dan kan die afdeling de kern van je scope vormen.

Belangrijk is dat de scope logisch en afgebakend is. ISO 27001 staat uitdrukkelijk toe dat je een deel van je organisatie certificeert, mits je transparant bent over wat je uitsluit en waarom. Die transparantie is verplicht in de scopeverklaring.

Welke criteria bepalen een verantwoorde scopebeperking?

Een verantwoorde scopebeperking voor ISO 27001 is gebaseerd op drie criteria: de aard van de informatie die wordt verwerkt, de risico’s die daarmee samenhangen en de grenzen van je organisatie of dienstverlening. Je beperkt de scope alleen tot onderdelen waar je volledige controle over hebt en waar de risico’s beheersbaar zijn.

Praktisch gezien stel je jezelf de volgende vragen:

Welke informatie is bedrijfskritisch of gevoelig voor klanten, medewerkers of andere betrokkenen?
Welke systemen of processen verwerken die informatie?
Heb je als organisatie directe zeggenschap over die systemen en processen?
Zijn er wettelijke of contractuele verplichtingen die bepalen wat er in de scope moet?

Een mkb-bedrijf dat uitsluitend administratieve diensten levert, hoeft zijn productieafdeling niet mee te nemen in de scope als daar geen gevoelige informatie wordt verwerkt. Andersom geldt: als een afdeling weliswaar klein is maar toegang heeft tot klantdata of financiële systemen, moet je die afdeling serieus overwegen voor opname in de scope.

Hoe stel je de scopeverklaring correct op?

De scopeverklaring is een formeel document dat beschrijft welke delen van je organisatie vallen onder het ISMS. Je stelt hem correct op door de grenzen van het systeem helder te omschrijven: welke locaties, afdelingen, processen en diensten zijn inbegrepen en welke niet. Elke uitsluiting moet je onderbouwen.

Een goede scopeverklaring bevat minimaal de volgende elementen:

De organisatiecontext: een korte beschrijving van je bedrijf en de relevante interne en externe factoren.
De grenzen van het ISMS: welke onderdelen vallen er wel en niet onder.
De interfaces en afhankelijkheden: hoe verhouden de onderdelen in de scope zich tot onderdelen buiten de scope.
De onderbouwing van uitsluitingen: waarom bepaalde onderdelen buiten de scope vallen en hoe dat de beveiliging niet ondermijnt.

Let erop dat de scopeverklaring realistisch is. Een te brede scope die je in de praktijk niet kunt beheersen, is net zo problematisch als een te smalle scope die risico’s buiten beschouwing laat. Lees meer over hoe wij organisaties begeleiden op onze pagina over ISO 27001-certificering.

Welke afdelingen of systemen mag je uitsluiten van de scope?

Je mag afdelingen of systemen uitsluiten van de ISO 27001-scope als ze geen gevoelige informatie verwerken, geen toegang hebben tot systemen die dat wel doen en als de uitsluiting geen beveiligingsrisico’s introduceert voor de onderdelen die wel in de scope vallen. De norm vereist dat uitsluitingen altijd onderbouwd worden.

Voorbeelden van onderdelen die mkb-bedrijven regelmatig buiten de scope houden:

Een productiefaciliteit die uitsluitend fysieke goederen vervaardigt zonder digitale klantdata te verwerken
Een magazijn of logistieke afdeling zonder toegang tot gevoelige informatiesystemen
Een nevenvestiging die volledig los opereert van de gecertificeerde locatie
Legacy-systemen die niet langer actief gebruikt worden en volledig geïsoleerd zijn

Wat je niet mag uitsluiten, zijn onderdelen die weliswaar klein zijn maar een directe verbinding hebben met systemen of data in de scope. Denk aan een externe IT-beheerder die toegang heeft tot je servers, of een HR-afdeling die persoonsgegevens beheert van medewerkers die in de scope werken. Die afhankelijkheden moet je altijd meenemen, ook al zijn de afdelingen zelf buiten de scope.

Wat zijn de risico’s van een te smalle scope?

Een te smalle ISO 27001-scope brengt het risico met zich mee dat beveiligingsgaten buiten beschouwing blijven. Als je onderdelen uitsluit die toch gevoelige informatie verwerken of toegang hebben tot systemen in de scope, creëer je kwetsbaarheden die niet worden beheerd. Dit kan leiden tot datalekken, non-conformiteiten bij audits en verlies van vertrouwen bij klanten.

Concrete risico’s van een te smalle scope zijn:

Blinde vlekken in risicobeheer: risico’s die buiten de scope vallen, worden niet geïdentificeerd en dus ook niet beheerst.
Problemen bij audits: een auditor die ziet dat uitgesloten onderdelen toch invloed hebben op de beveiliging, kan de certificering weigeren of tekortkomingen noteren.
Contractuele problemen: klanten of opdrachtgevers die ISO 27001 eisen, verwachten dat de scope de relevante dienstverlening dekt. Een te smalle scope kan contractueel onvoldoende zijn.
Reputatieschade: een incident bij een uitgesloten afdeling die toch toegang had tot gevoelige data, treft je organisatie even hard als een incident binnen de scope.

De kunst is om de scope zo te definiëren dat hij beheersbaar is én alle relevante risico’s dekt. Dat vraagt om een eerlijke analyse van je organisatie, niet om een zo klein mogelijke scope om de certificering makkelijker te maken.

Wanneer is het slim om de scope later uit te breiden?

Het is slim om de ISO 27001-scope uit te breiden wanneer je organisatie groeit, nieuwe diensten aanbiedt die gevoelige informatie verwerken, of wanneer klanten of regelgeving een bredere dekking vereisen. Een gefaseerde aanpak, waarbij je begint met een beperkte scope en die later uitbreidt, is een erkende en effectieve strategie voor mkb-bedrijven.

Typische momenten waarop scopeuitbreiding logisch is:

Je bedrijf begint met een nieuwe dienst waarbij klantdata centraal staat
Een grote opdrachtgever vraagt om bewijs dat ook andere afdelingen of locaties gecertificeerd zijn
Je breidt uit naar een nieuwe vestiging die informatiesystemen deelt met de gecertificeerde locatie
Wetgeving of sectorstandaarden vereisen een bredere dekking van informatiebeveiliging

Een scopeuitbreiding vergt een nieuwe risicoanalyse voor de toe te voegen onderdelen, aanpassing van de scopeverklaring en in de meeste gevallen een hercertificeringsaudit of surveillance-audit. Plan dit ruim van tevoren en zorg dat de nieuwe onderdelen klaar zijn voordat je de scope formeel uitbreidt. Zo voorkom je dat een audit tekortkomingen blootlegt in onderdelen die nog niet volledig zijn ingericht.

Voor mkb-bedrijven die meerdere managementsystemen combineren, kan een gecombineerd traject interessant zijn. Bekijk de mogelijkheden van een combinatietraject ISO 9001 en ISO 27001 als je kwaliteitsmanagement en informatiebeveiliging wilt integreren.

Hoe wij helpen bij het bepalen van de juiste ISO 27001-scope

Een goede scopebepaling is de basis van een succesvolle ISO 27001-certificering. Wij helpen mkb-bedrijven om die basis goed te leggen, zonder onnodige complexiteit en met oog voor wat echt haalbaar en zinvol is voor jouw organisatie.

Wat wij voor je doen:

We analyseren samen welke afdelingen, systemen en processen relevant zijn voor jouw ISMS
We helpen je de scopeverklaring op te stellen die voldoet aan de eisen van de norm
We brengen interfaces en afhankelijkheden in kaart, zodat er geen blinde vlekken ontstaan
We begeleiden je van scopebepaling tot certificering, stap voor stap en in jouw tempo
We adviseren over wanneer en hoe je de scope slim kunt uitbreiden als je organisatie groeit

Wil je weten wat de juiste scope is voor jouw organisatie? Neem contact met ons op en we denken graag vrijblijvend met je mee.

Kwaliteitsmanagement

Arbo & Veiligheid

Duurzaamheid & Milieu

Informatiebeveiliging

Combinatietrajecten

BRL's (Beoordelingsrichtlijnen)

Certificeren als klein bedrijf?

Interim KAM

Interim HSE

Interim Kwaliteit

Interim Informatiebeveiliging