Hoe schrijf je het toepassingsgebied van je ISMS (met voorbeelden)

De omschrijving van het toepassingsgebied bepaalt de grenzen en toepasselijkheid van je managementsysteem voor informatiebeveiliging: welke diensten, locaties, juridische entiteiten en technologie eronder vallen — en, net zo belangrijk, waar jouw verantwoordelijkheid ophoudt. Meestal is het één alinea, het wordt op je ISO 27001-certificaat gedrukt en het is het eerste wat een auditor over je organisatie leest.

Juist die combinatie — heel kort, heel bepalend — is de reden dat zoveel teams het misslaan. Deze gids behandelt wat hoofdstuk 4.3 echt vraagt, wat een bruikbaar toepassingsgebied benoemt, drie uitgewerkte voorbeelden die je kunt aanpassen en de afbakeningsfouten die certificering lastiger maken dan nodig.

Wat hoofdstuk 4.3 van ISO 27001 eist

Hoofdstuk 4.3, „Het vaststellen van het toepassingsgebied van het managementsysteem voor informatiebeveiliging”, vraagt je de grenzen en toepasselijkheid van het ISMS te bepalen. Daarbij eist de norm dat je drie specifieke inputs meeweegt:

• De externe en interne issues uit hoofdstuk 4.1 — de context waarin je opereert: je markt, je regelgevend kader, je technologiekeuzes, je omvang.
• De eisen van belanghebbenden uit hoofdstuk 4.2 — wat klanten, toezichthouders, investeerders en medewerkers van je verwachten. (Sinds de wijziging van 2024 hoort daar expliciet bij dat je nagaat of klimaatverandering een relevant onderwerp is — zie de wijziging waar niemand je over vertelde.)
• Raakvlakken en afhankelijkheden tussen activiteiten die jij uitvoert en activiteiten die andere organisaties uitvoeren — je cloudleveranciers, je subverwerkers, je uitbestede helpdesk.

Vervolgens eist het hoofdstuk dat het toepassingsgebied „beschikbaar is als gedocumenteerde informatie”. Dat is de hele eis. Er is geen voorgeschreven sjabloon, geen minimumlengte en geen verplicht format — en precies daarom staren teams naar een leeg blad.

Die derde input wordt het vaakst overgeslagen. Een toepassingsgebied dat je cloudleverancier of je uitbestede support nergens noemt, vertelt de auditor dat je niet hebt nagedacht over waar jouw controle ophoudt en die van een ander begint — en daar zal hij als eerste op doorvragen.

Wat een bruikbaar toepassingsgebied benoemt

Een toepassingsgebied dat het contact met een auditor overleeft, benoemt zes dingen. Ze hoeven niet alle zes in de zin te staan die op het certificaat komt, maar ze moeten alle zes bepaald en ergens vastgelegd zijn:

1. De producten en diensten die eronder vallen. Wat je daadwerkelijk verkoopt, in de woorden die je klanten gebruiken.
2. De organisatieonderdelen en juridische entiteiten. Welke vennootschappen, welke teams. Heb je dochterondernemingen, noem ze dan of sluit ze expliciet uit.
3. De locaties. Kantoren, datacenterregio's en — bij verspreide teams — het feit dat mensen op afstand werken, waardoor de maatregelen voor thuiswerken meespelen.
4. De technologie en infrastructuur. Het platform, de cloudregio's, de ondersteunende bedrijfs-IT.
5. De raakvlakken en afhankelijkheden. Waar je overdraagt aan een leverancier en wat aan jouw kant van die lijn jouw verantwoordelijkheid blijft.
6. De uitsluitingen, met redenen. Alles waarvan een lezer redelijkerwijs aanneemt dat het erbij hoort, maar wat er niet bij hoort.

Drie uitgewerkte voorbeelden

Pas ze aan op je eigen feiten in plaats van ze te kopiëren — een auditor die een toepassingsgebied leest dat niet strookt met wat hij in je systemen ziet, begint de audit sceptisch.

Voorbeeld 1: SaaS met het hele bedrijf erin

Het ISMS omvat het ontwerp, de ontwikkeling, de exploitatie en de ondersteuning van het software-as-a-service-platform [Product], inclusief alle ondersteunende bedrijfs-IT en bedrijfsprocessen, geleverd door [Bedrijf B.V.] vanuit haar statutaire vestiging in [Stad, Land] en door personeel dat op afstand werkt. Het platform draait op infrastructuur van [Cloudleverancier] in de regio [regio]. Raakvlakken met en afhankelijkheden van [Cloudleverancier] en de subverwerkers die in het leveranciersregister van het ISMS staan, worden beheerst via het leveranciersmanagementproces; de verantwoordelijkheid voor de onderliggende fysieke infrastructuur ligt bij die leveranciers.

Dit is de juiste vorm voor de meeste startups. Alles wat het bedrijf doet valt binnen het toepassingsgebied — dat klinkt ruim, maar is in de praktijk de goedkoopste optie als het bedrijf maar één ding doet.

Voorbeeld 2: Afgebakend op één bedrijfsonderdeel

Het ISMS omvat het leveren van de dienst [Payments] door het bedrijfsonderdeel [Payments] van [Groep B.V.], inclusief de engineering-, operations- en klantensupportfuncties die deze dienst ondersteunen, op het kantoor in [Stad] en op infrastructuur van [Cloudleverancier] in [regio]. Andere bedrijfsonderdelen van [Groep B.V.], waaronder [Marketingdiensten] en [Consultancy], vallen buiten het toepassingsgebied van het ISMS. Gedeelde bedrijfsdiensten (HR, finance, bedrijfs-IT) vallen binnen het toepassingsgebied voor zover zij de dienst [Payments] ondersteunen.

Die laatste zin is degene die je redt. Gedeelde diensten zijn precies waar afbakening per bedrijfsonderdeel meestal spaak loopt: als bedrijfs-IT de laptops uitgeeft die je engineers binnen het toepassingsgebied gebruiken, dan valt bedrijfs-IT daarvoor binnen het toepassingsgebied — of je dat nu wilde of niet.

Voorbeeld 3: Met een uitgesloten entiteit

Het ISMS omvat de ontwikkeling en exploitatie van het platform [Product] door [Bedrijf B.V.] ([Stad, Land]). [Bedrijf GmbH] ([Stad, Land]), overgenomen in [Maand Jaar] en met een apart product op een aparte infrastructuurstack zonder gegevensstromen van of naar het platform [Product], is uitgesloten van het toepassingsgebied van het ISMS.

Uitsluitingen zijn legitiem — maar de onderbouwing moet een feit over isolatie zijn, geen mededeling dat het zo uitkomt. „Geen gegevensstromen van of naar” is een feit dat een auditor kan toetsen. „Nog niet geïntegreerd” is een plan, en een plan levert bij elke opvolgingsaudit een vervolgvraag op.

Uitsluitingen van het toepassingsgebied zijn geen uitgesloten beheersmaatregelen

Dit is veruit de meest voorkomende verwarring, en ze kost teams tijd tijdens de eerste certificatieaudit.

Uitsluitingen van het toepassingsgebied zijn grenzen: entiteiten, locaties, diensten of systemen die het ISMS niet dekt. Ze horen thuis in de omschrijving van het toepassingsgebied onder hoofdstuk 4.3.

Uitgesloten beheersmaatregelen zijn maatregelen uit bijlage A die je niet van toepassing hebt verklaard — bijvoorbeeld maatregelen voor fysieke media als je geen fysieke media hebt. Die horen in je Verklaring van Toepasselijkheid, waar hoofdstuk 6.1.3 voor elke uitsluiting een onderbouwing eist.

Uitgesloten beheersmaatregelen in de omschrijving van het toepassingsgebied zetten laat je certificaat smaller lijken dan je bedrijf werkelijk is — en dat is precies wat het inkoopteam van een klant opmerkt. Laat beide documenten hun eigen werk doen.

Te breed versus te smal

Beide faalvormen zijn duur, alleen in een andere munt.

Te breed kost je auditinspanning. Elk systeem binnen de grens heeft een eigenaar, een risicobeoordeling, bewijs en dekking door de interne audit nodig. Teams die „de hele groep” afbakenen voordat ze een werkend ISMS hebben, zitten uiteindelijk marketingtooling en slapende dochterondernemingen aan te tonen waar nooit een klant om heeft gevraagd.

Te smal kost je het hele punt van de exercitie. Een certificaat afgebakend tot „de informatiebeveiligingsfunctie op het hoofdkantoor” is formeel geldig en commercieel waardeloos — een klant die het leest, kan niet zien of het product dat hij koopt eronder valt. Als je toepassingsgebied niet benoemt wat je verkoopt, ga er dan van uit dat het certificaat inkooptoetsen blijft zakken.

De test die de moeite waard is: geef je omschrijving aan iemand van sales en vraag of een klant die het leest zou geloven dat het product dat hij koopt eronder valt. Is het antwoord nee, dan ligt de grens op de verkeerde plek.

Wegdrijvend toepassingsgebied en wanneer je het herziet

Een toepassingsgebied schrijf je niet één keer. Het is gedocumenteerde informatie die onder wijzigingsbeheer valt en het hoort herzien te worden als het bedrijf van vorm verandert. Concrete triggers die je in je ISMS kunt vastleggen:

• Een nieuwe productlijn, of een materiële wijziging in een bestaande
• Een overname, een nieuwe juridische entiteit of een nieuw kantoor
• Een nieuwe cloudregio of een migratie tussen leveranciers
• Een nieuwe categorie klantgegevens, of een nieuwe wettelijke verplichting
• Iets uitbesteden dat je eerst zelf deed — of het weer in eigen huis halen

Wijzigingen in het toepassingsgebied zijn ook een vaste input voor de directiebeoordeling onder hoofdstuk 9.3. Is je omschrijving een jaar oud en je architectuur niet, dan komt dat gat bij je volgende opvolgingsaudit boven water — en een toepassingsgebied dat niet meer met de werkelijkheid overeenkomt is een bevinding, geen formaliteit.

De kern

Schrijf het toepassingsgebied dat je bedrijf ook echt kan verdedigen: benoem de diensten in de woorden van je klanten, benoem de entiteiten en locaties, wees expliciet over waar de verantwoordelijkheid van je leveranciers begint, en onderbouw uitsluitingen met feiten in plaats van met intenties. Houd het daarna actueel, want het is het enige ISMS-document dat je klanten gaan lezen.

Hierna: de volledige doorloop van hoofdstuk 4 tot en met 10 om te zien hoe het toepassingsgebied de rest van het ISMS voedt, hoe je een Verklaring van Toepasselijkheid schrijft voor het document op maatregelniveau dat erop volgt, of het assetregister dat je grens omzet in een lijst die je daadwerkelijk kunt aantonen.