Anwendungsbereich des ISMS (Scope)

Der Anwendungsbereich – im Normtext als Geltungsbereich, in der Praxis meist als Scope bezeichnet – beschreibt die Grenzen und die Anwendbarkeit des Informationssicherheits-Managementsystems (ISMS). ISO/IEC 27001 verlangt in Kapitel 4.3, dass eine Organisation diese Grenzen bestimmt und dabei drei Eingangsgrößen berücksichtigt: die externen und internen Themen aus Kapitel 4.1, die Anforderungen interessierter Parteien aus Kapitel 4.2 sowie die Schnittstellen und Abhängigkeiten zwischen den eigenen Tätigkeiten und denen anderer Organisationen. Der Anwendungsbereich muss als dokumentierte Information verfügbar sein; er ist damit eines der wenigen Dokumente, die die Norm ausdrücklich einfordert.

Typische Beschreibungsdimensionen sind Organisationseinheiten und Rollen, physische Standorte und Rechenzentren, Geschäftsprozesse und Dienstleistungen sowie die dafür genutzten Informationen, Anwendungen und Netze. Ein Scope kann bewusst eng gezogen werden, etwa auf den Betrieb einer SaaS-Plattform an einem Standort. Entscheidend ist dann, die Schnittstellen sauber zu beschreiben: Werden zentrale IT, Personalwesen oder Rechenzentrumsbetrieb von außerhalb des Scopes erbracht, müssen diese Leistungen über Vorgaben, Verträge und Dienstleistersteuerung kontrolliert werden. Wichtig ist die Abgrenzung zum Statement of Applicability: Ausschlüsse betreffen dort einzelne Maßnahmen aus Anhang A, während die Managementsystem-Anforderungen der Kapitel 4 bis 10 nicht ausgeschlossen werden dürfen.

Der Scope ist zugleich der wirtschaftlich sensibelste Teil eines Zertifizierungsprojekts: Er erscheint wortgleich auf dem Zertifikat, bestimmt Auditaufwand und Kosten und entscheidet darüber, ob ein Nachweis gegenüber Kunden tatsächlich die eingekaufte Leistung abdeckt. Zertifizierungsstellen prüfen deshalb, ob eine Scope-Formulierung irreführend ist – etwa wenn kundenrelevante Prozesse künstlich ausgeklammert werden. Im BSI IT-Grundschutz entspricht dem Scope der Informationsverbund nach BSI-Standard 200-2. Für regulatorische Pflichten wie die NIS2-Richtlinie und deren nationale Umsetzung gilt: Verlangt wird kein Zertifikat, wohl aber, dass die Sicherheitsmaßnahmen alle Netz- und Informationssysteme abdecken, die für die betroffenen Dienste genutzt werden. Ein zu enger ISMS-Scope lässt dann eine Lücke zwischen Zertifikat und gesetzlicher Pflicht entstehen. Der Anwendungsbereich ist regelmäßig zu überprüfen, insbesondere nach Zukäufen, Auslagerungen oder neuen Standorten.