Et ISO 27001-certifikat kan erstatte en del af koncernens måling for det certificerede selskab, men kun inden for certifikatets omfang og kun for de foranstaltninger, selskabet har valgt i sin anvendelseserklæring. Resten skal måles som i alle andre enheder.
Ingen standard eller regel siger, hvordan en koncern skal behandle certificerede selskaber i sin måling. Reglen nedenfor er vores forslag. Den skal undgå to fejl: at det certificerede selskab måles to gange for det samme, eller at det slet ikke måles, fordi certifikatet antages at dække alt.
Hvad et certifikat er
Et certifikat efter ISO 27001 udstedes af et certificeringsorgan. I Danmark akkrediterer DANAK de organer, der certificerer ledelsessystemer for informationssikkerhed. Grundlaget for akkrediteringen er ifølge DANAK to standarder for certificeringsorganer, ISO/IEC 17021-1 og ISO/IEC 27006-1.
Et certifikat siger, at ledelsessystemet opfylder ISO 27001 for den del af selskabet, certifikatet nævner. Dansk Standard beskriver, at organisationen i anvendelseserklæringen vælger, hvilke foranstaltninger der gennemføres. Selve standarden har vi ikke læst, og vi gengiver ingen numre fra den.
To ting følger af det. Certifikatet dækker kun det omfang, der står på det. Og det siger, at systemet er på plads, ikke at alle mulige foranstaltninger er gennemført. Hvad omfanget konkret er, skal læses i det enkelte certifikat og den tilhørende anvendelseserklæring.
Tre fejl, der skal undgås
- Dobbeltmåling · Hvad der sker: Selskabet måles fuldt ud trods certifikatet · Hvorfor det er et problem: Spild af tid og en følelse af, at certifikatet ikke tæller
- Ingen måling · Hvad der sker: Selskabet springes over, fordi det er certificeret · Hvorfor det er et problem: Det, der ligger uden for omfanget, bliver aldrig set
- Automatisk topscore · Hvad der sker: Selskabet får højeste score i alle områder · Hvorfor det er et problem: Scoren siger mere end certifikatet
Den tredje fejl er en nærliggende fristelse. Den gør det certificerede selskab til koncernens bedste uden, at nogen har set på det, der ligger uden for certifikatet.
Et forslag til en regel
Det følgende er vores forslag. Det er skrevet som råd og ikke som standardens krav.
1. Læs omfanget. Find certifikatets omfang og anvendelseserklæringen. Notér, hvilke selskaber, lokationer, systemer og processer der er dækket.
2. Kobl foranstaltningerne til koncernens ramme. For hvert område i koncernens måling: er det dækket af en foranstaltning, selskabet har valgt i anvendelseserklæringen, og ligger det inden for omfanget?
3. Brug certificeringens bevis, hvor det dækker. Hvor området er dækket, kan selskabet levere bevis fra sit ledelsessystem, fx seneste interne audit og ledelsens gennemgang, i stedet for at blive målt fra bunden. Koncernen vurderer beviset efter sin egen skala.
4. Mål resten som i alle andre enheder. Det, der ligger uden for omfanget, eller som ikke er valgt i anvendelseserklæringen, måles efter koncernens normale metode.
5. Vis det i rapporten. Selskabets score viser, hvilke områder der bygger på bevis fra certificeringen, og hvilke der er målt direkte.
Reglen giver det certificerede selskab kredit for sit arbejde uden at give det en score, certifikatet ikke kan bære.
Når certifikatet dækker en del af selskabet
Et certifikat kan dække en del af et selskab, fx en bestemt ydelse eller et datacenter. Det kan skyldes, at certificeringen blev lavet for at imødekomme bestemte kunders krav. I koncernens måling skal resten af selskabet behandles som en ikke-certificeret enhed.
En mulig fremgangsmåde er at dele selskabet i to i målingen: den certificerede del og resten. Så kan koncernen se, om resten af selskabet ligger langt fra den certificerede del, hvilket kan være et tegn på, at certificeringen ikke har bredt sig. Hvordan kunder læser en leverandørs certifikat, gennemgås under kontrollen af leverandører.
Tidspunktet
Et certifikat har en gyldighedsperiode og følges op af certificeringsorganets besøg. Koncernen bør notere, hvornår seneste besøg fandt sted, og om der var afvigelser. Var der væsentlige afvigelser ved seneste besøg, bør koncernen se på de berørte områder selv, selv om certifikatet stadig er gyldigt.
Et tænkt eksempel
En koncern har otte selskaber, hvoraf to er certificerede (tænkt eksempel). Det ene selskab har et certifikat, der dækker hele selskabet. Det andet har et certifikat, der kun dækker en hostingydelse til kunder. I koncernens måling får det første selskab kredit for de områder, anvendelseserklæringen dækker, og måles direkte på to områder, som koncernens ramme har med, men som selskabet har fravalgt i sin erklæring. Det andet selskab deles i to. Hostingydelsen vurderes på bevis fra certificeringen. Resten af selskabet, med salg, administration og egen IT, måles som en ikke-certificeret enhed.
Resultatet er, at begge selskaber får en score, der svarer til det, der faktisk er set. Bestyrelsen kan se, at det andet selskabs certifikat dækker en lille del af forretningen, og at resten ligger på niveau med koncernens øvrige selskaber.
Hvem der læser certifikatet
Læsningen af certifikat og anvendelseserklæring bør ligge hos den, der ejer koncernens målemetode, og ikke hos det certificerede selskab selv. Selskabet har en naturlig interesse i at få så meget kredit som muligt. En central læsning sikrer, at reglen bruges ens i alle certificerede selskaber.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser certifikatets omfang og anvendelseserklæringen, kobler dem til koncernens ramme og vurderer bevisets kvalitet. Det kræver også en rapport, der viser, hvad der bygger på certificeringen, og hvad der er målt direkte.
Uden en regel ender koncernen enten med at måle certificerede selskaber unødigt grundigt eller med at overse alt det, certifikatet ikke dækker. I begge tilfælde bliver sammenligningen med de øvrige enheder skæv.
Det skal I lade være med
- At give certificerede selskaber topscore i alle områder · certifikatet dækker et bestemt omfang.
- At springe certificerede selskaber over i målingen · det, der ligger uden for omfanget, bliver aldrig set.
- At læse certifikatet uden anvendelseserklæringen · det er den, der viser de valgte foranstaltninger.
Det skal gennemgangen kunne vise
- ☐ Certifikatets omfang og den tilhørende anvendelseserklæring.
- ☐ En kobling mellem anvendelseserklæringen og koncernens ramme.
- ☐ Hvilke områder der bygger på bevis fra certificeringen, og hvilke der er målt direkte.
- ☐ Dato for certificeringsorganets seneste besøg og eventuelle afvigelser.
Kilder
- DANAK, Certificering af ledelsessystemer, IT-sikkerhed, læst 14. november 2026.
- Dansk Standard, ISO/IEC 27001 Information security management, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find omfanget på hvert certifikat i koncernen og skriv ved siden af, hvilke dele af selskabet der ligger udenfor.
Læs også: Klar til ISO 27001? · Benchmark på tværs af forretningsenheder
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
