Mehrfachzertifizierung nach ISO/IEC 27001:2022
Können mehrere Konzerngesellschaften unter einem gemeinsamen ISO-27001-Zertifikat geführt werden? Grundsätzlich ja – aber nur unter bestimmten Bedingungen. Eine gemeinsame technische Plattform oder ein gemeinsamer Microsoft-Tenant reicht dafür nicht aus.
Kurz gefasst: Entscheidend ist nicht die Gesellschaftsstruktur, sondern ob ein einheitlich gesteuertes, auditierbares ISMS besteht.
Worauf es wirklich ankommt
Entscheidend ist, ob ein einheitlich gesteuertes Informationssicherheits-Managementsystem (ISMS) besteht und sich auditierbar nachweisen lässt. Governance ist wichtiger als die gesellschaftsrechtliche Struktur. Dazu gehören:
- einheitliche Sicherheitsleitlinien und Regelwerke,
- klare Rollen und Verantwortlichkeiten,
- gleiche Verfahren für Risikoanalyse und -behandlung,
- konsolidierte interne Audits und eine gemeinsame Managementbewertung,
- ein funktionierendes Korrekturmaßnahmen-Management,
- vergleichbare Freigabe-, Ausnahme- und Eskalationsprozesse.
Praxisbeispiel: zentrale Dienste im Konzern
Eine Muttergesellschaft stellt Tochtergesellschaften zentrale Dienste bereit, etwa Identity- und Endpoint-Management, Logging, Backup und Patch-Management. Unterschiedliche operative Aufgaben der Töchter sind unproblematisch, solange dieselbe Steuerungslogik gilt.
Wann es kritisch wird
Kritisch wird es, wenn die Gesellschaften zwar dieselbe Plattform nutzen, aber eigene Conditional-Access-Regeln, Gerätevorgaben, Ausnahmeprozesse oder Risikologiken haben. Dann existieren faktisch mehrere autonome Sicherheitssteuerungen nebeneinander.
Größerer Scope heißt nicht automatisch mehr Effizienz
Ein größerer Scope kann Auditplanung, Risikobewertung und Managementbewertung deutlich komplexer machen. Eine getrennte Zertifizierung kann die klarere und wirtschaftlich sinnvollere Lösung sein.
Drei Schritte zur Entscheidung
- den Scope sauber definieren,
- die zentrale Governance nachweisbar machen,
- organisatorische Unterschiede ehrlich bewerten.
Die Mehrfachzertifizierung ist eine Architekturentscheidung im Managementsystem – der eigentliche Prüfpunkt ist die gemeinsame Führbarkeit des ISMS.
Mehrere Gesellschaften, ein Zertifikat? Wir ordnen Ihren Scope ein.