ISMS-Scope festlegen: eng genug zum Starten, vollständig genug fürs Audit

Beginnen Sie bei der Leistung, nicht beim Organigramm

Ein sinnvoller Scope beschreibt zuerst, welche Produkte oder Services geschützt werden. Daraus folgen die notwendigen Prozesse, Informationen, Anwendungen, Systeme, Lieferanten und Standorte.

Eine rein organisatorische Abgrenzung übersieht häufig gemeinsam genutzte Plattformen und zentrale Dienstleister. Genau diese Schnittstellen werden später im Audit zu Rückfragen führen.

Jede Grenze braucht eine Begründung

Ausgeschlossene Bereiche sind nicht automatisch unproblematisch. Wenn ein ausgeschlossener Dienst den Scope beeinflusst, muss die Abhängigkeit gesteuert werden. Dokumentieren Sie deshalb nicht nur, was enthalten ist, sondern auch die relevanten Übergaben nach außen.

• Leistungen und Kundenversprechen
• Organisationseinheiten und Rollen
• Standorte und Arbeitsmodelle
• Informationsarten, Anwendungen und Infrastruktur
• Externe Dienste und konzerninterne Abhängigkeiten

Das kostenlose Scope-Canvas liefert den ersten Entwurf

Nutzen Sie das Canvas aus der Vorlagenbibliothek für einen moderierten 60-Minuten-Termin. Das Ergebnis ist noch keine freigegebene Scope-Erklärung, aber eine belastbare Arbeitsgrundlage für Kontextanalyse und Asset-Inventar.