Können mehrere Konzerngesellschaften unter einem gemeinsamen ISO-27001-Zertifikat geführt werden? Grundsätzlich ja – aber nur unter bestimmten Bedingungen. Eine gemeinsame technische Plattform oder ein gemeinsamer Microsoft-Tenant reicht dafür nicht aus.
Entscheidend ist, ob ein einheitlich gesteuertes Informationssicherheits-Managementsystem (ISMS) besteht und sich auditierbar nachweisen lässt. Governance ist wichtiger als die gesellschaftsrechtliche Struktur. Dazu gehören:
- einheitliche Sicherheitsleitlinien und Regelwerke,
- klare Rollen und Verantwortlichkeiten,
- gleiche Verfahren für Risikoanalyse und -behandlung,
- konsolidierte interne Audits und eine gemeinsame Managementbewertung,
- ein funktionierendes Korrekturmaßnahmen-Management,
- vergleichbare Freigabe-, Ausnahme- und Eskalationsprozesse.
Praxisbeispiel: Eine Muttergesellschaft stellt Tochtergesellschaften zentrale Dienste bereit, etwa Identity- und Endpoint-Management, Logging, Backup und Patch-Management. Unterschiedliche operative Aufgaben der Töchter sind unproblematisch, solange dieselbe Steuerungslogik gilt.
Kritisch wird es, wenn die Gesellschaften zwar dieselbe Plattform nutzen, aber eigene Conditional-Access-Regeln, Gerätevorgaben, Ausnahmeprozesse oder Risikologiken haben. Dann existieren faktisch mehrere autonome Sicherheitssteuerungen nebeneinander.
Ein größerer Scope bedeutet nicht automatisch Effizienz: Er kann Auditplanung, Risikobewertung und Managementbewertung deutlich komplexer machen. Eine getrennte Zertifizierung kann die klarere und wirtschaftlich sinnvollere Lösung sein.
Drei Schritte: den Scope sauber definieren, die zentrale Governance nachweisbar machen und organisatorische Unterschiede ehrlich bewerten.
Die Mehrfachzertifizierung ist eine Architekturentscheidung im Managementsystem – der eigentliche Prüfpunkt ist die gemeinsame Führbarkeit des ISMS.