In Projekten begegnet mir diese Frage meist in Wellen. Eine Zeit lang kommt sie kaum vor. Dann plötzlich häufen sich wieder Anfragen von Unternehmensgruppen:
„Können wir unsere Tochtergesellschaften einfach mit auf das Zertifikat nehmen?“
Ich habe mich deshalb nach längerer Zeit wieder intensiver damit beschäftigt. Nicht nur aus der Praxis heraus, sondern auch noch einmal sauber entlang der Normen und Auditregeln.
Am 21.11.2025 meldete Ignyte in einer Analyse zur Multi-Site-Zertifizierung, dass ein gemeinsames Zertifikat vor allem dann sinnvoll funktioniert, wenn ein zentral gesteuertes ISMS über mehrere Einheiten hinweg tatsächlich einheitlich betrieben wird.
Das klingt zunächst logisch wird in der Praxis aber erstaunlich oft falsch interpretiert.
Viele Organisationen denken bei Mehrfachzertifizierung zuerst an Strukturfragen: Muttergesellschaft, Tochtergesellschaften, Standorte, Beteiligungen. Normativ betrachtet liegt der Fokus aber ganz woanders.
ISO/IEC 27001:2022 fordert in Kapitel 4.3 zunächst eine klare Festlegung des Geltungsbereichs des ISMS. Dort geht es nicht nur um Organisationseinheiten, sondern auch um interne und externe Themen, Schnittstellen, Abhängigkeiten und Verantwortlichkeiten.
Für die Zertifizierung selbst kommen weitere Regeln hinzu.
Insbesondere **IAF MD 1:2023** beschreibt, unter welchen Voraussetzungen ein Managementsystem über mehrere Standorte oder Organisationseinheiten hinweg gemeinsam auditiert werden kann.
Diese Vorgaben sind international verbindlich und werden auch von der DAkkS im deutschen Akkreditierungssystem angewendet.
Damit wird relativ schnell klar:
Mehrfachzertifizierung ist weniger eine Organisationsfrage und viel stärker eine Governance-Frage.
Gerade in Unternehmensgruppen beginnt der Einstieg häufig mit der zentralen IT.
Alle Gesellschaften nutzen denselben Microsoft-Tenant, dieselbe Benutzerverwaltung, dieselben Security-Tools und dieselbe Infrastruktur. Dann kommt fast zwangsläufig die nächste Überlegung:
Wenn ohnehin alle dieselbe IT nutzen, warum nehmen wir die Tochtergesellschaften nicht direkt mit in den Scope der ISO 27001-Zertifizierung?
Und genau hier beginnt die eigentliche Analyse.
Gemeinsame Infrastruktur ist ein starkes Indiz für ein gemeinsames Sicherheitsmodell. Aber sie ist noch kein Beweis für ein gemeinsames ISMS.
𝗔𝘂𝘀 𝗱𝗲𝗿 𝗣𝗿𝗮𝘅𝗶𝘀:
Eine der häufigsten Fehlannahmen lautet:
„Gleicher Tenant bedeutet gemeinsames Zertifikat.“
So einfach ist es leider nicht.
Normativ tragfähig wird eine Mehrfachzertifizierung erst dann, wenn nicht nur die Technik zentral ist, sondern auch die Steuerung des Managementsystems.
Das bedeutet beispielsweise:
– gemeinsame Sicherheitsleitlinien
– einheitliche Rollen und Verantwortlichkeiten
– ein gemeinsames Verfahren zur Risikoanalyse und Risikobehandlung
– zentrale interne Audits
– eine gemeinsame Managementbewertung
– ein funktionierendes Korrekturmaßnahmen-Management
Erst wenn diese Mechanismen über alle einbezogenen Einheiten hinweg wirken, spricht man wirklich von einem gemeinsamen ISMS im Sinne der Norm.
Ein Konzern kann daher durchaus sinnvoll klein anfangen.
Beispielsweise mit der zentralen IT der Muttergesellschaft.
Später können Tochterunternehmen oder weitere Standorte in den Scope aufgenommen werden. Aber nur dann, wenn sie nicht nur dieselbe Infrastruktur nutzen, sondern auch nachweisbar vom selben Managementsystem gesteuert werden.
Die bloße gesellschaftsrechtliche Zugehörigkeit reicht dafür nicht.
Ein Beispiel, bei dem Mehrfachzertifizierung gut funktionieren kann:
Die Muttergesellschaft betreibt zentral Identity-Management, Endpoint-Management, Logging, Backup, Patch-Management und Security-Governance für mehrere Tochtergesellschaften.
Die Töchter haben unterschiedliche Aufgaben etwa Vertrieb, Entwicklung oder Produktion, arbeiten aber unter denselben Sicherheitsleitplanken, denselben Review-Mechanismen und denselben Auditprozessen.
In diesem Fall können unterschiedliche Tätigkeiten problemlos innerhalb eines gemeinsamen ISMS abgebildet werden.
Die Risiken sind unterschiedlich die Steuerung bleibt gleich.
Ein Beispiel, bei dem es schnell komplex wird:
Alle Gesellschaften nutzen zwar denselben Tenant, aber die Tochtergesellschaften arbeiten dort mit eigenen Richtlinien und abweichenden Steuerungslogiken. So kann es zum Beispiel sein, dass im gemeinsamen Microsoft-Tenant unterschiedliche Conditional-Access-Regeln, eigene Gerätevorgaben, abweichende Freigaben für Apps oder separate Sicherheitsausnahmen für einzelne Tochtergesellschaften eingerichtet sind.
Technisch ist das weiterhin eine gemeinsame Plattform. Organisatorisch zeigt sich aber bereits, dass Sicherheit nicht mehr vollständig einheitlich gesteuert wird.
Unterschiedliche Vorgesetzte oder lokale Führungsstrukturen sind für sich genommen noch kein Ausschlusskriterium. Kritisch wird es erst dann, wenn daraus auch unterschiedliche Sicherheitsentscheidungen, unterschiedliche Richtlinienlogiken oder unterschiedliche Verfahren für Freigaben, Risiken und Korrekturmaßnahmen entstehen.
Noch deutlicher wird es, wenn diese Unterschiede auch in eigenen Freigabewegen, separaten Managemententscheidungen und abweichenden Ausnahmeprozessen sichtbar werden. Das ist in Konzernstrukturen völlig üblich. Genau dadurch entsteht aber schnell eine Situation, in der nicht mehr nur operative Unterschiede vorliegen, sondern unterschiedliche Sicherheitssteuerungen.
Dann reicht der gemeinsame Tenant allein als Argument für eine Mehrfachzertifizierung nicht mehr aus.
Denn aus Auditsicht stellt sich dann die Frage:
Wer verantwortet die Richtlinien?Wer genehmigt Ausnahmen?Wer bewertet Risiken?Und wer stellt sicher, dass Abweichungen konzernweit nach denselben Maßstäben behandelt werden?
Wenn diese Antworten je Tochter unterschiedlich ausfallen, existiert zwar möglicherweise eine gemeinsame technische Basis, aber kein vollständig einheitlich gesteuertes ISMS. Genau dann wird die Multi-Site-Auditierung aufwendiger, weil Vergleichbarkeit und zentrale Governance nicht mehr ohne Weiteres gegeben sind.
Die entscheidende Trennlinie verläuft nicht zwischen „eine Firma“ und „mehrere Firmen“.
Sie verläuft zwischen
„eine zentrale Sicherheitssteuerung“ und „mehrere autonome Sicherheitssteuerungen“.
Das ist für Management-Entscheidungen ein wichtiger Punkt.
Denn eine gemeinsame Zertifizierung wirkt auf den ersten Blick oft schlanker und günstiger. In der Praxis kann sie aber auch genau das Gegenteil bewirken, wenn der Scope zu groß oder zu heterogen wird.
Ein zu großer Scope spart nicht automatisch Aufwand. Er kann ihn auch vervielfachen.
Umgekehrt ist eine getrennte Zertifizierung nicht automatisch schlechter. Sie kann organisatorisch klarer, auditfester und am Ende sogar wirtschaftlicher sein.
Hier sind unsere 3 Schritte zur Umsetzung:
𝗦𝗰𝗼𝗽𝗲 𝘀𝗮𝘂𝗯𝗲𝗿 𝗱𝗲𝗳𝗶𝗻𝗶𝗲𝗿𝗲𝗻 Nach ISO 27001 Kapitel 4.3 sollte klar beschrieben sein, welche Gesellschaften, Prozesse und Systeme wirklich im ISMS liegen.𝗭𝗲𝗻𝘁𝗿𝗮𝗹𝗲 𝗚𝗼𝘃𝗲𝗿𝗻𝗮𝗻𝗰𝗲 𝗻𝗮𝗰𝗵𝘄𝗲𝗶𝘀𝗲𝗻 Mehrere Einheiten unter einem Zertifikat funktionieren nur, wenn eine zentrale Stelle das ISMS tatsächlich steuert.𝗢𝗿𝗴𝗮𝗻𝗶𝘀𝗮𝘁𝗶𝗼𝗻𝗲𝗹𝗹𝗲 𝗨𝗻𝘁𝗲𝗿𝘀𝗰𝗵𝗶𝗲𝗱𝗲 𝗲𝗵𝗿𝗹𝗶𝗰𝗵 𝗯𝗲𝘄𝗲𝗿𝘁𝗲𝗻 Unterschiedliche Tätigkeiten sind kein Problem. Unterschiedliche Sicherheitssteuerung dagegen schon.
Mein Fazit daraus:
Mehrfachzertifizierung ist kein organisatorischer Trick.
Sie ist eine Architekturentscheidung im Managementsystem.
Teilbereiche und Tochtergesellschaften können durchaus gemeinsam zertifiziert werden wenn das Sicherheitsmodell dahinter wirklich gemeinsam funktioniert.
Wer nur die gemeinsame IT betrachtet, übersieht häufig die eigentliche Herausforderung: die gemeinsame Führbarkeit des ISMS.
Bei Kämmer Consulting sehe ich immer wieder, dass die bessere Lösung nicht unbedingt die größere ist sondern die klarere.
← Alle Beiträge