Der Geltungsbereich ist die kürzeste Stelle im ganzen ISMS und die teuerste. Ein Satz, meistens zwei Zeilen lang. Er entscheidet über den Aufwand und darüber, ob das Zertifikat am Ende die Frage beantwortet, wegen der du es überhaupt machst.
Die meisten Betriebe behandeln ihn als Formalie am Projektanfang. Man schreibt hin, was plausibel klingt, hakt Kapitel 4.3 ab und geht zum interessanten Teil über, zu den Massnahmen. Neun Monate später erklärt dann jemand einem Auditor, warum die Produktion doch nicht dazugehört.
Der ISO 27001 Geltungsbereich liest sich wie eine technische Abgrenzung. Er funktioniert wie ein Versprechen. Es steht auf dem Zertifikat, und dein Kunde liest es.
Was ist der Geltungsbereich bei ISO 27001?
Der Geltungsbereich beschreibt die Grenzen und die Anwendbarkeit des ISMS: welche Standorte, welche Organisationseinheiten, welche Dienstleistungen und welche Systeme es abdeckt. ISO/IEC 27001 verlangt ihn in Kapitel 4.3 als dokumentierte Information, und zwar unter ausdrücklicher Berücksichtigung der Schnittstellen und Abhängigkeiten zu Tätigkeiten, die andere Organisationen für dich erbringen.
Das ist die formale Antwort. Die nützlichere lautet: Der Geltungsbereich ist die Entscheidung, welchen Teil deines Betriebs du unter ein geführtes System stellst und für welchen Teil du das ausdrücklich nicht behauptest.
Beides sind Aussagen. Die zweite wird gerne übersehen.
Warum ein Satz über Monate entscheidet
Alles, was im Geltungsbereich liegt, muss mit. Risiken erfasst, Massnahmen beschlossen, Nachweise erzeugt, Leute geschult, Abweichungen bearbeitet. Und zwar laufend, weil ein Auditor sehen will, dass das System läuft und nicht nur existiert.
Deshalb ist der Zuschnitt der grösste einzelne Hebel auf Kosten und Zeitplan. Wir haben an anderer Stelle beschrieben, warum sich die Dauer einer ISO-27001-Zertifizierung nicht kaufen lässt und woraus sich die Kosten für ein KMU zusammensetzen. In beiden Fällen sitzt derselbe Treiber im Hintergrund: wie breit du die Grenze gezogen hast.
Halte einmal zwei Varianten desselben Betriebs nebeneinander. In der ersten deckt das ISMS die ganze Gruppe ab, zwei Auslandstandorte und die Fertigung eingeschlossen. In der zweiten deckt es die Entwicklung und den Betrieb der Plattform an einem Standort ab, weil genau danach die Kunden fragen. Gleiche Norm, gleiche Zertifizierungsstelle. Zwei Projekte, die sich um ein Vielfaches unterscheiden, und festgelegt hat diesen Unterschied eine Sitzung am Anfang.
Diese Sitzung fühlt sich unwichtig an. Sie hat keine Technik und kein Budget, sie hat nur eine Frage, auf die kaum jemand gerne eine verbindliche Antwort gibt.
Die zwei Arten, ihn falsch zu schneiden
Zu gross
Der häufigere Fehler, und er kommt aus einem ehrenwerten Impuls. Wenn wir das schon machen, machen wir es richtig, also alles.
Was dann passiert, ist berechenbar. Jede zusätzliche Einheit bringt eigene Systeme mit, eigene Zuständigkeiten und Leute, die den Aufwand nicht bestellt haben. Der Standort im Ausland hat andere Arbeitsverträge. Die Fertigung hat Maschinen, die niemand patchen darf, ohne den Hersteller zu fragen. Der Vertrieb hat ein CRM, das seit Jahren jemand anders betreibt. Jede dieser Stellen ist lösbar, und jede kostet Wochen.
Das Ergebnis ist selten ein gescheitertes Projekt. Es ist ein Projekt, das nicht aufhört. Nach zwölf Monaten ist das Budget aufgebraucht und das Zertifikat immer noch nicht da. In unserer Erfahrung ist das der häufigste Grund, warum ISMS-Vorhaben im KMU versanden, nicht mangelnde Technik.
Zu klein
Der seltenere Fehler, dafür der teurere. Man schneidet den Geltungsbereich so eng, dass er bequem zu betreiben ist, aber die Frage nicht mehr beantwortet, die der Kunde gestellt hat.
Der Klassiker: Ein Zulieferer zertifiziert seine interne IT-Abteilung. Sauber gemacht, Zertifikat hängt im Empfang. Dann kommt der Grosskunde und will wissen, ob die Anlage, die er bestellt hat, und die Fernwartung dazu unter das ISMS fallen. Fallen sie nicht. Das Zertifikat ist gültig, korrekt und für diesen Zweck wertlos.
Danach folgt die Erweiterung, und die kostet mehr als der breitere Schnitt am Anfang gekostet hätte. Das Audit ist dabei der kleinere Posten. Teuer wird, dass du den Aufbau ein zweites Mal durch die Organisation trägst, diesmal gegen die Erwartung, dass man doch schon fertig sei.
Wer den Zuschnitt vorgibt, wenn nicht du
Zwischen diesen beiden Fehlern liegt kein Optimum, das man ausrechnen könnte. Es gibt nur eine Quelle, aus der die richtige Grenze kommt: die Anforderung, wegen der ihr das Ganze macht.
Bei den meisten KMU ist das ein Kunde oder eine Ausschreibung. Dann ist die Grenze das, worauf sich der Kunde verlässt, plus alles, was diese Leistung trägt. Nicht mehr und nicht weniger.
Wer unter das Informationssicherheitsgesetz fällt, hat weniger Spielraum. Dort ergibt sich der Zuschnitt aus der Leistung, für die die Pflicht gilt. Was intern bequem wäre, spielt da keine Rolle. Ob dein Betrieb überhaupt betroffen ist, haben wir in der Einordnung zur ISG-ISMS-Pflicht durchgespielt, und die Antwort ist häufiger nein, als der Markt es dir erzählt.
Erweitern kannst du später. Ein Geltungsbereich darf wachsen, das ist vorgesehen und bei den meisten Betrieben auch der realistische Weg. Nur sollte das eine geplante zweite Etappe sein und keine Reparatur, die nötig wurde, weil beim ersten Mal niemand gefragt hat, wofür das Zertifikat eigentlich gebraucht wird.
Geltungsbereich und Anwendbarkeitserklärung sind nicht dasselbe
In Gesprächen verwechseln die meisten diese beiden Dokumente, und aus der Verwechslung entstehen falsche Erwartungen an den Aufwand.
Der Geltungsbereich aus Kapitel 4.3 beantwortet die Frage: Welcher Teil des Unternehmens ist gemeint? Die Anwendbarkeitserklärung aus Kapitel 6.1.3 beantwortet eine andere Frage: Welche Massnahmen setzt ihr innerhalb dieses Teils ein? Sie listet die notwendigen Massnahmen, hält fest, ob sie umgesetzt sind, und begründet, warum einzelne Massnahmen aus Anhang A bei euch nicht anwendbar sind.
Der Unterschied ist praktisch relevant, weil er die Reihenfolge festlegt. Die Anwendbarkeitserklärung lässt sich nicht sinnvoll schreiben, solange die Grenze wackelt. Wer beim Geltungsbereich noch diskutiert, ob die Fertigung dazugehört, kann nicht seriös beurteilen, welche Massnahmen notwendig sind. Genau deshalb kippen Projekte, die beide Dokumente parallel bearbeiten.
Und eine Abgrenzung, die im Audit regelmässig für Diskussionen sorgt: Eine Massnahme aus Anhang A als nicht anwendbar zu begründen ist erlaubt und normal. Einen ganzen Unternehmensteil still aus dem Geltungsbereich verschwinden zu lassen, weil er unbequem ist, ist etwas anderes. Das Erste ist eine dokumentierte Entscheidung. Das Zweite merkt spätestens der Kunde, der das Zertifikat liest.
Der schwierige Teil sind die Schnittstellen
Kapitel 4.3 verlangt ausdrücklich, dass du die Schnittstellen und Abhängigkeiten zu dem berücksichtigst, was andere Organisationen für dich tun. Das ist der Punkt, an dem die meisten Entwürfe zerfallen.
Du kannst eine kleine Grenze ziehen. Du kannst eine Abhängigkeit nicht wegziehen. Wenn dein Kernsystem bei einem Anbieter läuft, dein Rechenzentrum jemand anders betreibt und ein Dienstleister die Clients verwaltet, dann liegen diese Leistungen ausserhalb deiner Grenze und tragen trotzdem deinen Geltungsbereich. Also musst du beschreiben, wie du sie steuerst: was vertraglich vereinbart ist und wer beim Anbieter was darf.
Das ist die unspektakuläre Arbeit hinter dem Thema. Keine Zertifizierungssoftware löst sie. Sie besteht aus der Frage, wer bei euch eigentlich weiss, welche Dienstleister an welchen Daten hängen. Wer diese Übersicht nicht hat, schreibt den Geltungsbereich raten. Deshalb kommt in vielen Mandaten zuerst das Asset-Inventar und erst dann die Grenze.
Und ja, an dieser Stelle wird ein Projekt kurz langsamer. Dafür hört später das Nachverhandeln auf.
Was auf dem Zertifikat steht, ist nicht dein Text
Zertifizierungsstellen arbeiten nach ISO/IEC 17021-1, und viele lernen diese Regel erst im Audit kennen. Deren Kapitel 8.2 verlangt, dass die Zertifizierungsunterlagen den Geltungsbereich nach Art der Tätigkeiten, Produkte und Dienstleistungen je Standort ausweisen, und zwar ohne irreführend oder mehrdeutig zu sein.
Im Klartext: Eine elegante Formulierung, die vieles offen lässt, überlebt das Verfahren nicht. Die Zertifizierungsstelle wird nachfragen, bis die Zeile eindeutig ist. Genau darauf beruht der Wert des Zertifikats für deinen Kunden. Ein Papier, dessen Geltungsbereich beliebig gelesen werden kann, sagt ihm nichts.
Praktisch heisst das, du schreibst die Zeile besser früh so, wie sie am Ende dastehen soll. Wie das Verfahren darum herum abläuft, haben wir im Beitrag zum Ablauf der ISO-27001-Zertifizierung beschrieben.
Die Probe, die eine Stunde dauert
Nimm die Zeile, die auf dem Zertifikat stehen würde. Ein Satz, keine Präsentation.
Dann leg sie zwei Leuten vor. Der ersten Person im Betrieb, die den beschriebenen Teil verantwortet: Kannst du das führen, laufend, mit den Leuten, die du hast? Und der Person, die deinen grössten Kunden durch den Beschaffungsprozess begleitet: Beantwortet dieser Satz das, was dort gefragt wird?
Zwei klare Ja bedeuten, dass der Zuschnitt sitzt. Ein Zögern beim ersten bedeutet, du hast zu gross geschnitten. Ein Zögern beim zweiten bedeutet, du baust etwas, das später erweitert werden muss.
Diese Probe ersetzt keine Risikobeurteilung. Sie verhindert nur den Fehler, der am meisten kostet, und sie kostet dich eine Stunde.
Wenn ihr an diesem Punkt steht und die Antwort nicht klar ist, ist das genau der Moment für ein Gespräch. Wir machen das als Begleitung beim ISMS-Aufbau nach ISO 27001, oft beginnend mit dieser einen Sitzung. Ein Erstgespräch ist unverbindlich.
Wo die Grenze hingehört
Am Ende steht im Geltungsbereich, für welchen Teil deines Unternehmens ihr die Verantwortung schriftlich übernehmt, laufend und überprüfbar, vor einem Auditor und vor einem Kunden. Alles andere im Projekt folgt daraus. Deshalb gehört diese Entscheidung an den Anfang und an den Tisch, an dem auch über Kunden gesprochen wird. Sie gehört nicht in das Dokument, das jemand am Freitagnachmittag noch schnell fertig schreibt.
Wenn dein grösster Kunde morgen nach eurem Zertifikat fragt und jemand die Zeile darauf laut vorliest, beantwortet sie seine Frage?
Häufige Fragen
Muss der Geltungsbereich das ganze Unternehmen umfassen?
Nein. Du darfst einen Standort, eine Geschäftseinheit oder eine einzelne Dienstleistung zertifizieren, und für viele KMU ist genau das die vernünftige Reihenfolge. Die Grenze muss begründet und beschrieben sein. Nur sollte sie das abdecken, worauf sich der Kunde verlässt, der nach dem Zertifikat fragt.
Was gehört in den Geltungsbereich eines ISMS?
ISO/IEC 27001 verlangt in Kapitel 4.3 die Grenzen und die Anwendbarkeit des ISMS: Standorte, Organisationseinheiten, Dienstleistungen und Systeme. Ausdrücklich dazu gehören die Schnittstellen und Abhängigkeiten zu dem, was andere Organisationen für dich erbringen, etwa Cloud-Anbieter, Rechenzentrum oder der Dienstleister, der eure Clients verwaltet.
Was ist der Unterschied zwischen Geltungsbereich und Anwendbarkeitserklärung?
Der Geltungsbereich aus Kapitel 4.3 sagt, welcher Teil des Unternehmens gemeint ist. Die Anwendbarkeitserklärung aus Kapitel 6.1.3 sagt, welche Massnahmen innerhalb dieses Teils gelten, ob sie umgesetzt sind und warum einzelne Massnahmen aus Anhang A nicht anwendbar sind. Der Geltungsbereich kommt zuerst.
