Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

ISMS-Kontext und Geltungsbereich festlegen

Relevanten Kontext und Anforderungen ermitteln, den Geltungsbereich mit seinen Schnittstellen festlegen und die zugehörigen Dokumente auf diese führende Beschreibung verweisen lassen.

Verantwortlich: ISMS-Verantwortliche mit der GeschäftsleitungFachlich geprüft am

Vorhandene Unterlagen nutzen

Verwende vorhandene Kontextanalysen, Anforderungs-, Prozess- und Standortbestände. Pflege die ISMS-Grenzen einmal. Zielgruppe und betrachtete Anwendungen oder Dienste bleiben in den einzelnen Dokumenten erkennbar.

Was du konkret tun musst

  1. 1

    Kontext und Anforderungen klären

    Halte die internen und externen Themen fest, die eure Informationssicherheit beeinflussen. Entscheide auch, ob Klimawandel relevant ist. Ermittle die relevanten interessierten Parteien, etwa Kunden oder Behörden, ihre Anforderungen und welche davon im ISMS behandelt werden. Nutze vorhandene Bestände weiter.

  2. 2

    Grenzen und Schnittstellen festlegen

    Beschreibe die erfassten Organisationen, Leistungen, Tätigkeiten und Arbeitsorte in einer konkreten Scope-Aussage. Berücksichtige die Verbindungen zu anderen Bereichen und externen Diensten. Eine ausgelagerte Tätigkeit verschwindet nicht aus der Betrachtung ihrer sicherheitsrelevanten Abhängigkeiten.

  3. 3

    Freigeben und Dokumente verbinden

    Stimme den Inhalt mit den betroffenen Verantwortlichen ab und lass ihn durch die Geschäftsleitung freigeben. Verweise aus Richtlinien und Plänen auf diese Fassung. Prüfe bei relevanten Änderungen auch die betroffenen Verweise; halte die nächste geplante Prüfung im vorhandenen Ablauf fest.

Praxisbeispiel

Ein Softwaredienst nutzt externes Hosting

Fiktives Beispiel: Die Muster GmbH entwickelt und betreibt den Dienst Musterportal. Beschäftigte arbeiten am Standort Kiel und mobil; ein externer Anbieter stellt die Hosting-Infrastruktur.

Gemeinsamer Geltungsbereich
FestlegungDie Scope-Aussage benennt Entwicklung und Betrieb des Dienstes, die Organisation und die erfassten Arbeitsorte. Die Mitarbeiterrichtlinie konkretisiert ihre Zielgruppe, ohne diese Grenzen erneut zu definieren.
NachweisEine führende freigegebene Scope-Beschreibung und die darauf bezogenen Dokumente.
Hosting-Schnittstelle
FestlegungDie Organisation beschreibt, welche Aufgaben beim Hosting-Anbieter liegen, welche Informationen betroffen sind und wovon der Dienst abhängt.
NachweisDer passende Eintrag im vorhandenen Architektur-, Prozess- oder Lieferantenbestand.

Ergebnis festhalten

  • Freigegebener Geltungsbereich mit dem relevanten Kontext, den berücksichtigten Anforderungen sowie Grenzen und Abhängigkeiten.
  • Erreichbare Verweise aus den zugehörigen Dokumenten. Offene Anpassungen und deren Zuständigkeit stehen im vorhandenen Vorgang.

Häufige Fehler bei der Umsetzung

Jede Richtlinie definiert neue ISMS-Grenzen

Pflege die Grenzen an einer Stelle. Ein Dokument beschreibt zusätzlich nur seine eigene Anwendung. Eine unternehmensweit geltende Richtlinie darf ausdrücklich über einen engeren ISMS-Geltungsbereich hinausreichen.

Externe Dienste pauschal ausblenden

Berücksichtige die relevanten Schnittstellen und Abhängigkeiten auch dann, wenn eine andere Organisation die Tätigkeit ausführt.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen

  • ISO/IEC 27001 · 4.1

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Vorlage führt relevante interne und externe Themen sowie die Klima-Relevanzentscheidung. Die Organisation muss ihre tatsächlichen Themen und Auswirkungen ermitteln und behandeln.

    Referenz

  • ISO/IEC 27001 · 4.2

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Vorlage sieht relevante interessierte Parteien, deren relevante Anforderungen und die Entscheidung über die Behandlung im ISMS vor. Die tatsächlichen Pflichten und Entscheidungen bleiben beim Anwender zu ermitteln.

    Referenz

  • ISO/IEC 27001 · 4.3

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Vorlage verbindet eine konkrete Scope-Aussage mit Grenzen, Anwendbarkeit, Schnittstellen und Abhängigkeiten. Die Organisation muss den Inhalt auf Basis ihres Kontexts und ihrer Anforderungen abstimmen und aktuell halten.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen