Et ISO 27001-certifikat dækker det omfang, der står på certifikatet: bestemte selskaber, bestemte steder og bestemte aktiviteter. Det dækker ikke automatisk hele udbyderen, alle datacentre eller den tjeneste, I køber. Derfor er det første, I skal læse, når en udbyder skriver “ISO 27001-certificeret”, hvad certifikatet er udstedt til.
Artiklen handler om at læse udbyderens papir. Hvad standarden kræver af et ledelsessystem, er ikke emnet, og standardens tekst er ikke gennemgået her, fordi den ikke kunne læses på skrivedagen.
Certifikat og erklæring er to forskellige ting
Det tyske BSI forklarer forskellen i sine spørgsmål og svar om C5. Ved et certifikat er der tre parter: den, der bliver revideret, revisoren og et certificeringsorgan, der gennemgår revisionsrapporten. Ved en erklæring er der kun to: den reviderede og revisoren. Ingen uafhængig instans ser rapporten igennem.
Der er en praktisk følge. Rapporter til en certificering kan efter BSI’s beskrivelse normalt ikke ses af kunderne. Det, I får at se, er certifikatet og eventuelt en beskrivelse af omfanget. En revisorerklæring som C5 eller ISAE er derimod skrevet til kunden, og den kan I læse i detaljer, hvis udbyderen giver jer den. Se ISAE-erklæringen fra hosting og datacenter og C5 og C3A.
Et certifikat svarer altså på, om udbyderen har et ledelsessystem for informationssikkerhed, der er vurderet af et certificeringsorgan.
Fem felter at læse
Når I har certifikatet eller udbyderens beskrivelse af det, så find disse fem oplysninger. Felterne er sitets metode og ikke standardens.
- Juridisk enhed. Hvilket selskab er certifikatet udstedt til? Er det jeres kontraktpart, et søsterselskab eller moderselskabet?
- Steder. Hvilke datacentre, kontorer og driftssteder er med? Står det datacenter, jeres data ligger i, på listen?
- Aktiviteter og tjenester. Hvad er omfattet: infrastruktur, drift, support, bestemte produkter? Er den tjeneste, I køber, med?
- Gyldighed. Hvornår er certifikatet udstedt, og hvornår udløber det? Er der en dato for seneste opfølgning?
- Udsteder. Hvilket certificeringsorgan har udstedt det?
Står et felt ikke på certifikatet eller på udbyderens side, så spørg. Svaret “hele virksomheden” uden liste over steder er et svar, I kan bede om at få skriftligt.
Eksempler på omfang fra udbydernes egne sider
Eksemplerne kommer fra udbydernes egne sider i november 2026 og står uden navne, fordi det er måden at læse på, der er emnet. De viser, hvor forskelligt omfanget beskrives.
En udbyder med datacentre i Tyskland, Finland, USA og Singapore. Certifikatet gælder to selskaber i koncernen, og omfanget er infrastruktur, drift og kundesupport for parkerne i Tyskland og Finland. De to steder uden for Europa står ikke i omfanget. Certificeringsorganet er oplyst.
En tysk udbyder med flere certifikater. Et ISO 27001-certifikat på grundlag af den tyske IT-Grundschutz dækker navngivne infrastruktur- og platformtjenester, som beregning, netværk og lager, samt de tilhørende processer og steder. Udbyderen nævner også flere andre ISO-certifikater uden at beskrive deres omfang på samme side.
En svensk udbyder. Siden skriver, at ISO 27001 omfatter to af udbyderens tre cloudprodukter. Det tredje, privat cloud, er ikke nævnt i omfanget.
To udbydere uden omfang på siden. En fransk og en schweizisk udbyder oplyser, at de er certificeret efter ISO/IEC 27001:2022, uden at omfanget står på den læste side.
Eksemplerne er ikke en vurdering. En udbyder, der oplyser omfanget åbent, kan have et smallere certifikat end en, der ikke gør. Pointen er, at I skal læse det, før I bruger det.
Når certifikatet ikke dækker jeres tjeneste
Er jeres tjeneste eller jeres datacenter ikke med i omfanget, er der tre muligheder. I kan bede udbyderen om en anden dokumentation, fx en revisorerklæring, der dækker tjenesten. I kan vælge en tjeneste eller et sted, der er omfattet. Eller I kan beslutte, at tjenesten er vigtig nok til at bruge uden dokumentation, og skrive beslutningen ned med begrundelse.
Har jeres kunder krævet, at jeres leverandører er ISO 27001-certificeret, så læs kravet igen. Et certifikat, der ikke dækker den tjeneste, kundens data ligger i, opfylder næppe det, kunden mente.
Hvad det kræver, og hvad det koster at lade være
At læse et certifikat og udbyderens beskrivelse af omfanget tager en halv time. At få svar på de felter, der mangler, kan tage et par uger. Opgaven gentages, når certifikatet fornyes.
Lader I være, bruger I et logo på en hjemmeside som dokumentation. Det holder, indtil nogen spørger, hvad det dækker. Det koster timer at skaffe den rigtige dokumentation bagefter, og risikoen for at have lovet en kunde noget, certifikatet ikke dækker.
Det skal I lade være med
- At læse et logo som dokumentation · et logo viser ikke omfanget.
- At gå ud fra, at alle datacentre er med · omfanget kan være begrænset til nogle af dem.
- At blande certifikat og revisorerklæring sammen · de svarer på forskellige spørgsmål og har forskellige læsere.
Det skal valget kunne vise
- ☐ Juridisk enhed, steder, aktiviteter, gyldighed og udsteder for hvert certifikat, I bruger.
- ☐ Om jeres tjeneste og datacenter er inden for omfanget.
- ☐ Anden dokumentation for det, der ligger uden for.
- ☐ Dato for næste gennemgang.
Kilder
- BSI: C5 FAQ, om certifikat og erklæring.
- Udbydernes egne sider om certificering, læst november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find certifikatet hos jeres vigtigste udbyder, og skriv de fem felter ned for den tjeneste, I bruger.
Læs også: EUCS · Jeres krav til en cloududbyder på én side
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
