Kontext der Organisation
Die systematische Ermittlung der internen und externen Themen sowie der Anforderungen interessierter Parteien, die für ein Informationssicherheits-Managementsystem relevant sind, und die daraus abgeleitete Festlegung seines Anwendungsbereichs.
Der Kontext der Organisation bildet den Einstiegspunkt jedes Managementsystems nach der einheitlichen Struktur der ISO-Managementnormen (Harmonized Structure, früher Annex SL) und ist in ISO/IEC 27001 in Kapitel 4 geregelt. Die Organisation muss zunächst die externen und internen Themen bestimmen, die ihre Fähigkeit beeinflussen, die beabsichtigten Ergebnisse ihres Informationssicherheits-Managementsystems zu erreichen. Externe Themen sind beispielsweise die Bedrohungslage, technologische Entwicklungen, Marktanforderungen sowie regulatorische Vorgaben wie die NIS2-Richtlinie, DORA oder die DSGVO. Interne Themen umfassen unter anderem die Organisationsstruktur, Governance-Modelle, Ressourcen und Kompetenzen, die Unternehmenskultur, bestehende IT-Architekturen sowie strategische Ziele.
Der zweite Baustein ist nach ISO/IEC 27001 Abschnitt 4.2 die Ermittlung der interessierten Parteien und ihrer Anforderungen. Dazu zählen Kundinnen und Kunden, Beschäftigte und Arbeitnehmervertretungen, Eigentümer und Investoren, Aufsichts- und Zertifizierungsstellen, Versicherer, Dienstleister und Lieferanten sowie Behörden. Für jede relevante Partei wird festgehalten, welche Anforderungen sie an die Informationssicherheit stellt und welche dieser Anforderungen die Organisation über ihr ISMS adressieren will – etwa vertragliche Sicherheitszusagen, gesetzliche Melde- und Nachweispflichten oder Prüfrechte aus Auftragsverarbeitungsverträgen. Die Ausgabe von 2022 verlangt zusätzlich ausdrücklich zu bestimmen, welche dieser Anforderungen über das ISMS erfüllt werden.
Aus Kontext und Anforderungen leitet die Organisation nach Abschnitt 4.3 den Anwendungsbereich des ISMS ab, der als dokumentierte Information vorliegen muss; Abschnitt 4.4 verlangt anschließend Einführung, Aufrechterhaltung und fortlaufende Verbesserung des Systems. Der Kontext ist damit kein einmaliges Dokument, sondern eine Grundlage, die bei Änderungen von Geschäftsmodell, Standorten, Technologien oder Rechtslage – und regelmäßig im Rahmen der Managementbewertung – überprüft werden sollte. Auch andere Rahmenwerke verlangen eine vergleichbare Analyse: Der BSI-Standard 200-1 fordert die Bestimmung des Geltungsbereichs und der Rahmenbedingungen der Informationssicherheit, und ISO 9001 sowie ISO 22301 verwenden dieselbe Kapitelstruktur, was eine integrierte Betrachtung in Unternehmen mit mehreren Managementsystemen erleichtert.
Rechtliche Grundlage
ISO/IEC 27001:2022 Kapitel 4 (4.1 bis 4.4), ISO/IEC 27003 (Leitfaden), BSI-Standard 200-1
Praxisbeispiel
Ein mittelständischer IT-Dienstleister mit 200 Beschäftigten bereitet die Erstzertifizierung nach ISO/IEC 27001 vor. Der Informationssicherheitsbeauftragte führt zwei Workshops mit Geschäftsführung, IT-Leitung, Vertrieb und Datenschutzbeauftragter durch und dokumentiert das Ergebnis in einer Kontextanalyse: extern die Einstufung als wichtige Einrichtung nach dem deutschen NIS2-Umsetzungsgesetz, die Abhängigkeit von zwei Cloud-Providern und die zunehmende Zahl von Ransomware-Angriffen in der Branche; intern die verteilten Standorte, ein knappes Sicherheitsbudget und die geplante Migration in die Cloud. In einer zweiten Tabelle werden interessierte Parteien mit ihren Anforderungen erfasst – Großkunden mit vertraglich zugesicherten Wiederanlaufzeiten, der Betriebsrat mit Anforderungen an die Protokollierung, die Aufsichtsbehörde mit Melde- und Nachweispflichten. Auf dieser Basis wird der Anwendungsbereich auf Rechenzentrumsbetrieb und Managed Services an zwei Standorten festgelegt und in der jährlichen Managementbewertung erneut geprüft.
Häufige Fragen
So unterstützt preeco Sie
Erfahren Sie, wie unsere Software Sie bei diesem Thema unterstützt.
Mehr erfahren