ISO 27001 belgesiyle ilgili firmaların Google’da en sık aradığı sorulardan biri şudur:
“ISO 27001 tek ofis için mi alınır, yoksa tüm şirketi mi kapsar?”

2025 yılı itibarıyla birçok firma birden fazla ofis, şube veya lokasyonla faaliyet göstermektedir. Bu durum, ISO 27001 kapsamının nasıl belirleneceği konusunda ciddi bir kafa karışıklığına yol açmaktadır.

ISO 27001 Belgesi Lokasyon Bazlı mı, Şirket Bazlı mı?

ISO 27001 belgesi lokasyon bazlı değil, kapsam bazlı bir belgedir.
Yani belge:

• Tek bir ofisi kapsayabilir

• Birden fazla lokasyonu kapsayabilir

• Sadece belirli faaliyetleri içerebilir

Buradaki belirleyici unsur, firmanın kapsam beyanıdır.

Tek Lokasyon İçin ISO 27001 Alınabilir mi?

Evet.
2025 uygulamalarında birçok firma ISO 27001 belgesini yalnızca:

• Merkez ofis

• Veri işleme yapılan ana lokasyon

• IT operasyonlarının yürütüldüğü ofis

için almaktadır.

Bu durumda belge, sadece kapsamda belirtilen lokasyonu kapsar. Kapsam dışında kalan şubeler veya ofisler belgeye dahil edilmez.

Tüm Şirketi Kapsamak Zorunlu mu?

Hayır.
ISO 27001, tüm şirketi kapsamak zorunda değildir. Ancak kapsam daraltıldığında şu noktalara dikkat edilir:

• Kapsam dışı bırakılan lokasyonlar açıkça belirtilmelidir

• Bu lokasyonlarda bilgi işlenmediği veya riskin düşük olduğu gerekçelendirilmelidir

• Denetçiler, kapsam dışı alanların gerçekten sistem dışında kaldığını görmek ister

2025 denetimlerinde bu konu özellikle dikkatle incelenmektedir.

Çok Lokasyonlu Firmalarda Uygulama Nasıl Olur?

Birden fazla lokasyonu olan firmalar genellikle üç farklı yol izler:

1. Sadece merkez ofis kapsamda tutulur

2. Merkez + kritik lokasyonlar kapsanır

3. Tüm lokasyonlar tek kapsam altında alınır

Hangi modelin seçileceği, firmanın veri işleme yapısına ve operasyonel dağılımına bağlıdır.

Tek Lokasyon Kapsamının Avantajı ve Riski

Avantajları:

• Süreç daha hızlı ilerler

• Denetim süresi daha kısadır

• Organizasyonel yük azalır

Riskleri:

• Kapsam dışı lokasyonlarda bilgi işleniyorsa sorgulanır

• Müşteri veya ihale tarafı tüm şirketi kapsayan belge isteyebilir

Bu nedenle kapsam seçimi stratejik bir karardır.

2025’te En Sık Yapılan Hata

En sık yapılan hata şudur:
“Belgeyi tek ofis için alalım, sonra bakarız.”

Ancak müşteri sözleşmeleri, ihaleler veya yurt dışı işler söz konusu olduğunda belge kapsamı yeterli olmayabilir. Bu da belgenin ticari etkisini düşürür.

2025’te Genel Eğilim

2025 itibarıyla firmalar:

• Başlangıçta kritik lokasyonları kapsayan

• Sonrasında genişletilebilir

bir kapsam modeliyle ilerlemeyi tercih etmektedir.

ISO 27001 bu esnekliğe izin veren bir standarttır.

ISO 27001 Süreciniz İçin Hızlı Ön Analiz Alın

ISO 27001 belgesinin tek lokasyon mu yoksa tüm şirketi kapsayacak şekilde mi alınmasının sizin için daha doğru olacağını öğrenmek isterseniz ücretsiz ön analiz desteği sunuyoruz.

Gerekli bilgiler:

• Lokasyon sayısı

• Veri işleme yapılan birimler

• Faaliyet alanı

• Çalışan sayısı