Die ISO 27001 ist ein internationaler Standard, der die Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) festlegt. Ein ISMS ist eine Sammlung von Richtlinien, Verfahren und Kontrollen, die entwickelt wurden, um die Informationswerte einer Organisation zu schützen.

Was ist ISO 27001:2022 Klausel 4.3?

Klausel 4.3 des ISO-27001-Standards trägt den Titel "Bestimmung des Anwendungsbereichs des ISMS". Sie verlangt von Organisationen, den Umfang ihres Informationssicherheits-Managementsystems (ISMS) festzulegen.

Der Umfang des ISMS definiert, welche Informationswerte und Aktivitäten vom System abgedeckt sind. Dies ist ein wichtiger und notwendiger Bestandteil beim Aufbau des ISMS, da grundsätzlich nicht alle Bereiche und Tätigkeitsfelder eines Unternehmens bei der ISO 27001-Zertifizierung berücksichtig werden müssen.

Die Organisation muss die Grenzen und Anwendbarkeit des Informationssicherheits-Managementsystems festlegen, um seinen Umfang zu bestimmen. Bei der Festlegung dieses Umfangs muss die Organisation Folgendes berücksichtigen:

a) die externen und internen Angelegenheiten, auf die in ISO 27001:2022 Klausel 4.1 Verständnis der Organisation und ihres Kontexts Bezug genommen wird

b) die Anforderungen, auf die in ISO 27001:2022 Klausel 4.2 Verständnis der Bedürfnisse und Erwartungen interessierter Parteien Bezug genommen wird

c) Schnittstellen und Abhängigkeiten zwischen den Aktivitäten, die von der Organisation und denen durchgeführt werden, die von anderen Organisationen durchgeführt werden.

ISO 27001:2022 Klausel 4.3 Bestimmung des Umfangs des Informationssicherheits-Managementsystems

Der Umfang des ISMS sollte auf der Grundlage der folgenden Faktoren festgelegt werden:

• Die Risikobereitschaft der Organisation: Die Risikobereitschaft der Organisation ist die Menge an Risiko, die die Organisation bereit ist zu akzeptieren. Der Umfang des ISMS sollte damit in Einklang stehen.
• Die geschäftlichen Bedürfnisse der Organisation: Der Umfang des ISMS sollte die Informationswerte und Aktivitäten abdecken, die für das Geschäft der Organisation entscheidend sind.
• Die rechtlichen und regulatorischen Anforderungen der Organisation: Der Umfang des ISMS sollte die Informationswerte und Aktivitäten umfassen, die rechtlichen und regulatorischen Anforderungen unterliegen.

Sobald der Umfang des ISMS festgelegt wurde, sollte er an folgenden Stellen dokumentiert werden:

• Ihrer Erklärung zur Anwendbarkeit (SoA). Die SoA sollte auf dem neuesten Stand gehalten werden, wenn sich die Organisation ändert. Diese Erklärung definiert, welche spezifischen Kontrollen Sie gemäß dem Umfang implementieren möchten – das Dokument ist ein sich ständig veränderndes Dokument, das sich bei der Erstellung des ISMS weiterentwickelt.
• Einer Umfangsrichtlinie, die im Hinblick auf das Geschäft detaillierte Angaben darüber macht, was im Umfang enthalten sein wird. Dies umfasst die folgenden Bereiche:
  • Aktivitäten
  • Produkte
  • Dienstleistungen
  • SchnittstellenGrenzen (sowohl digitale als auch physische)
• Zusätzlich dazu sollten Sie auch angeben, ob es Ausnahmen gibt, die sowohl in der SoA als auch in der Umfangsrichtlinie festgelegt werden können.

Warum ist es wichtig, den Umfang Ihres ISMS festzulegen?

Die Definition des Umfangs Ihres Informationssicherheits-Managementsystems (ISMS) ist von höchster Bedeutung, da sie den Anwendungsbereich des Standards festlegt.

Nicht alle Informationswerte und Aktivitäten fallen unter diesen Standard. Durch die Festlegung Ihres ISMS-Umfangs stellen Sie sicher, dass das System nur für die Informationswerte und Aktivitäten implementiert wird, die für Ihre Organisation wichtig sind.

Darüber hinaus sollte der Umfang mit der Risikobereitschaft Ihrer Organisation, auch als Risikotoleranz bekannt, abgestimmt sein. Dies spiegelt das Risikolevel wider, mit dem Ihre Organisation sich wohlfühlt.

Indem Sie Ihren ISMS-Umfang mit Ihrer Risikobereitschaft abstimmen, gewährleisten Sie, dass das System die mit Ihren wertvollen Informationswerten verbundenen Risiken effektiv managt.

Wie man den Umfang des ISMS einrichtet

Hier sind die wichtigsten Schritte zur Erstellung eines effektiven Umfangs für Ihr ISMS gemäß ISO 27001:

Legen Sie die Grundlagen fest. Bevor Sie mit der Festlegung Ihres Umfangs beginnen können, stellen Sie sicher, dass Sie die Arbeiten für Klausel 4.1 und Klausel 4.2 erledigt haben. Klausel 4.3 erfordert eine erhebliche Entscheidungsfindung von der obersten Führungsebene, daher stellen Sie sicher, dass sie von Anfang an stark eingebunden ist.

Kartieren Sie den Umfang. Sobald Sie Ihr Risikoverhalten und Ihre Risikotoleranz verstehen, können Sie damit beginnen, den Umfang Ihres ISMS zu kartieren. Dies bedeutet, die Informationswerte und Aktivitäten zu identifizieren, die Sie schützen müssen.

Berücksichtigen Sie Ihre Interessengruppen. Ihre Interessensgruppen sind die Personen, die ein hohes Interesse an der Informationssicherheit Ihrer Organisation haben. Zu diesen Interessengruppen können Kunden, Mitarbeiter, Partner und Regulierungsbehörden gehören. Sie müssen deren Bedürfnisse und Erwartungen berücksichtigen, wenn Sie Ihren Umfang festlegen – dies hängt mit der Liste der Interessengruppen gemäß Klausel 4.2 zusammen.

Konzentrieren Sie sich auf das Wesentliche. Nicht alle Informationswerte und Aktivitäten sind gleich wichtig. Bei der Festlegung Ihres Umfangs konzentrieren Sie sich auf die wesentlichen Werte und Aktivitäten, die geschützt werden müssen.

Seien Sie realistisch. Es ist wichtig, realistisch zu sein, wenn Sie Ihren Umfang festlegen. Sie müssen in der Lage sein, die implementierten und aufgestellten Kontrollen umzusetzen und aufrechtzuerhalten.

Überprüfen und aktualisieren Sie regelmäßig. Die Informationssicherheitslandschaft Ihrer Organisation ändert sich ständig. Daher müssen Sie Ihren ISMS-Umfang regelmäßig überprüfen und aktualisieren.

Einige der Dinge, die Sie bei der Definition des Umfangs Ihres ISMS beachten sollten:

Der Umfang sollte:

• Umfassend genug sein, um alle wichtigen Informationswerte und Aktivitäten Ihrer Organisation abzudecken.
• Spezifisch genug sein, um Unklarheiten zu vermeiden.
• Flexibel genug sein, um Änderungen im Geschäftsbetrieb Ihrer Organisation zuzulassen.

3 Tipps zur Bestimmung des Umfangs Ihres ISMS

• Beziehen Sie wichtige Interessengruppen in den Prozess ein. Der Umfang Ihres ISMS sollte den Bedürfnissen Ihrer Organisation entsprechen. Indem Sie wichtige Interessengruppen in den Prozess einbeziehen, können Sie sicherstellen, dass der Umfang für Ihre Organisation angemessen ist.
• Berücksichtigen Sie die Risikobereitschaft Ihrer Organisation. Wie bereits erwähnt, sollte der Umfang Ihres ISMS mit der Risikobereitschaft Ihrer Organisation in Einklang stehen. Dies bedeutet, die Menge an Risiko zu berücksichtigen, die Ihre Organisation bereit ist zu akzeptieren.
• Seien Sie flexibel. Der Umfang Ihres ISMS kann sich im Laufe der Zeit ändern. Wenn sich Ihre Organisation verändert, müssen Sie möglicherweise den Umfang Ihres ISMS anpassen, um sicherzustellen, dass er weiterhin wirksam ist.

Die Vorteile der Definition des Umfangs Ihres ISMS:

• Sie gewährleistet, dass das ISMS wirksam ist und die Informationswerte Ihrer Organisation schützt.
• Sie hilft dabei, die Informationswerte und Aktivitäten zu identifizieren, die für Ihre Organisation am wichtigsten sind.
• Sie trägt dazu bei, die Ressourcen zu priorisieren, die benötigt werden, um die Informationswerte Ihrer Organisation zu schützen.

Die Bestimmung des Umfangs Ihres ISMS nach ISO 27001 ist ein wichtiger und obligatorischer Schritt bei der Umsetzung des Standards. Indem Sie die oben beschriebenen Schritte befolgen, können Sie sicherstellen, dass der Umfang Ihres ISMS für Ihre Organisation angemessen ist.