ISMS · Aufbau
ISMS-Geltungsbereich (Scope) festlegen: So grenzen Sie richtig ab
Lesezeit etwa 6 Minuten · Stand Oktober 2026
Der Geltungsbereich, englisch Scope, legt fest, welche Standorte, Prozesse und Systeme ein ISMS schützt. ISO 27001 Klausel 4.3 verlangt, dabei den internen und externen Kontext, die Anforderungen interessierter Parteien und die Schnittstellen nach außen zu berücksichtigen. Ein zu großer Scope kostet unnötig Aufwand, ein zu kleiner macht das Zertifikat wertlos.
Der Scope ist keine Formalie.
Er entscheidet, wie viel Ihr ISO 27001-Zertifikat am Ende wirklich aussagt.
Was ist der Geltungsbereich eines ISMS?
Der Geltungsbereich beschreibt die Grenzen des Managementsystems: welche Teile der Organisation, welche Standorte und welche Informationswerte es abdeckt. Er ist nach ISO 27001 eine dokumentierte Information und erscheint auf dem Zertifikat. Wer das Zertifikat liest, erkennt daran sofort, wofür die Informationssicherheit tatsächlich nachgewiesen ist.
Der Scope steht am Anfang jedes ISMS, noch vor Risikoanalyse und Maßnahmen. Die Grundlagen dazu erklärt unser Beitrag Was ist ein ISMS. Auch der BSI-Standard 200-2 kennt dasselbe Prinzip unter dem Begriff Informationsverbund.
Wer legt den Geltungsbereich fest?
Die Verantwortung liegt bei der Leitung, die fachliche Arbeit beim ISMS-Team. In der Praxis erarbeiten Informationssicherheitsbeauftragter und Prozessverantwortliche einen Vorschlag, den die Leitung prüft und freigibt. Wichtig ist, die Sicht der interessierten Parteien aus Klausel 4.2 früh einzubeziehen, denn Kunden und Aufsichtsbehörden haben oft klare Erwartungen an den Umfang.
Ein Scope, der am grünen Tisch ohne die Fachbereiche entsteht, geht fast immer an der Realität vorbei. Die Standorte, Prozesse und Systeme kennen die Menschen, die täglich mit ihnen arbeiten.
Was fordert ISO 27001 Klausel 4.3 konkret?
Klausel 4.3 der ISO/IEC 27001 nennt 3 Pflicht-Eingaben für die Abgrenzung. Die Organisation muss den internen und externen Kontext aus Klausel 4.1 berücksichtigen, die Anforderungen interessierter Parteien aus Klausel 4.2 und die Schnittstellen und Abhängigkeiten zu anderen Organisationen. Erst daraus ergibt sich ein belastbarer Scope.
In der Praxis entsteht der Geltungsbereich also nicht am Reißbrett, sondern aus dem, was Kunden, Gesetze und die eigene Wertschöpfung verlangen. Wie Sie diese Schritte in eine Einführung einbetten, zeigt unser Leitfaden ISMS einführen.
| Pflicht-Eingabe | Herkunft in ISO 27001 | Beispiel |
|---|---|---|
| Interne und externe Themen | Klausel 4.1 | Marktlage, Rechtslage, eigene IT-Struktur |
| Anforderungen interessierter Parteien | Klausel 4.2 | Kundenverträge, NIS2, Aufsichtsbehörden |
| Schnittstellen und Abhängigkeiten | Klausel 4.3 | Cloud-Dienste, Konzern-IT, Dienstleister |
Welche Standorte, Prozesse und Systeme gehören hinein?
4 Dimensionen bestimmen den Umfang: die Organisation mit ihren Bereichen und Rollen, die Standorte mit Gebäuden und Räumen, die Prozesse und Dienstleistungen sowie die Informationswerte und Systeme. Je klarer Sie diese 4 Ebenen benennen, desto eindeutiger ist die Grenze des ISMS.
Besonders bei den Informationswerten lohnt sich Sorgfalt, denn sie sind die eigentlichen Schutzobjekte. Wie Sie Assets systematisch erfassen und bewerten, beschreibt unser Beitrag zum Asset-Management im ISMS. Der festgelegte Scope bildet dann den Rahmen für die Risikoanalyse.
Wie reif ist Ihre Informationssicherheit heute?
Bevor Sie den Geltungsbereich festzurren, hilft ein ehrlicher Blick auf den Status quo. Der Reifegrad-Check zeigt in wenigen Minuten, wo Ihr ISMS steht und wo die größten Lücken liegen.
Wie behandeln Sie Schnittstellen nach außen?
Kein ISMS endet an der eigenen Serverraumtür. Cloud-Dienste, Konzern-IT und Dienstleister greifen in geschützte Prozesse ein, deshalb verlangt Klausel 4.3 ausdrücklich, die Schnittstellen und Abhängigkeiten zu dokumentieren. Entscheidend ist, wo Ihre Verantwortung endet und die eines Partners beginnt.
Was außerhalb des Geltungsbereichs liegt, verschwindet nicht einfach. Es wird über Verträge, Lieferantenanforderungen und das Statement of Applicability abgesichert. Welche Controls dabei greifen, hält das Statement of Applicability fest.
Wie formulieren Sie ein gutes Scope-Statement?
Ein gutes Scope-Statement passt in wenige Sätze. Es benennt die Organisation oder den Bereich, die abgedeckten Standorte, die zentralen Prozesse oder Dienstleistungen sowie bei Bedarf die bewussten Ausschlüsse. Je konkreter die Formulierung, desto weniger Diskussion entsteht später im Audit.
Ein Beispiel: Das ISMS umfasst die Entwicklung und den Betrieb der Softwareplattform am Standort Köln, einschließlich der zugehörigen IT-Dienste, ausgenommen das physische Rechenzentrum des Cloud-Anbieters. Solche Ausschlüsse sind erlaubt, sie müssen nur benannt und über die Schnittstellen abgesichert sein.
Welche Fehler bei der Scope-Definition sind typisch?
2 Fehler dominieren. Ein zu großer Scope bläht Aufwand und Nachweispflichten auf, ohne dass es dem Schutz dient. Ein zu kleiner Scope klammert kritische Systeme bewusst aus, um schneller durch das Audit zu kommen. Dieses Vorgehen fällt auf, denn Auditoren und Kunden erkennen einen ausgehöhlten Geltungsbereich schnell.
Die dritte Falle sind unklare Grenzen, bei denen niemand sagen kann, ob ein System nun dazugehört oder nicht. Die folgende Übersicht zeigt die häufigsten Muster und ihre Folgen.
| Fehler | Typisches Symptom | Folge |
|---|---|---|
| Scope zu groß | monatelange Dokumentation ohne Fokus | Projekt verzettelt sich, Kosten steigen |
| Scope zu klein | wichtige Systeme liegen außerhalb | Zertifikat verliert Aussagekraft |
| Unklare Grenzen | Streit über Zugehörigkeit im Audit | Abweichungen und Nacharbeit |
Wie hängt der Geltungsbereich mit SoA und Risikoanalyse zusammen?
Der Geltungsbereich ist der Rahmen, alles Weitere hängt daran. Die Risikoanalyse betrachtet nur, was im Scope liegt. Das Statement of Applicability begründet die Controls für genau diesen Bereich. Ändert sich der Scope, müssen beide nachgezogen werden.
Weil diese Abhängigkeit schnell unübersichtlich wird, lohnt eine zentrale Datenbasis. In VANTARIS definieren Sie den Geltungsbereich einmal und er verknüpft sich automatisch mit Asset-Inventar, Risikoregister und Maßnahmen. Das macht Änderungen nachvollziehbar und Audits vorhersehbar.
Unsicher, wo Sie die Grenze ziehen sollen?
Den richtigen Geltungsbereich festzulegen ist Erfahrungssache. Im Strategiegespräch schauen wir gemeinsam auf Ihre Struktur und finden den Scope, der Aufwand und Aussagekraft in Balance bringt.
Häufige Fragen zum ISMS-Geltungsbereich
Muss der Geltungsbereich das ganze Unternehmen umfassen?
Nein. Eine Organisation darf bewusst einen Teilbereich zertifizieren, etwa einen Standort oder ein Geschäftsfeld. Entscheidend ist, dass die Grenzen und die Schnittstellen nach außen klar dokumentiert sind. Ein kleiner, sauber abgegrenzter Scope ist mehr wert als ein großer, der nur auf dem Papier existiert.
Wo wird der Geltungsbereich dokumentiert?
Der Scope ist nach ISO 27001 eine dokumentierte Information, meist als kurzes Scope-Statement in der ISMS-Dokumentation. Auf dem ausgestellten Zertifikat erscheint er als Geltungsbereich und ist damit öffentlich sichtbar. Kunden und Auditoren lesen daran ab, was tatsächlich abgedeckt ist.
Kann man den Geltungsbereich später erweitern?
Ja. Der Scope ist nicht in Stein gemeißelt. Mit wachsender Organisation oder neuen Anforderungen wird er im Rahmen der Managementbewertung angepasst. Eine Erweiterung bestätigt die Zertifizierungsstelle im nächsten Überwachungs- oder Rezertifizierungsaudit. Wichtig ist, Änderungen sauber zu dokumentieren.
Was bedeutet scoping out und warum ist es riskant?
Scoping out meint das bewusste Ausklammern kritischer Systeme, um schneller durch das Audit zu kommen. Kurzfristig spart das Aufwand, langfristig untergräbt es den Wert des Zertifikats. Auditoren und erfahrene Kunden erkennen ausgehöhlte Geltungsbereiche und ziehen daraus ihre Schlüsse.
Wie hängt der Geltungsbereich mit dem Statement of Applicability zusammen?
Der Geltungsbereich legt fest, worauf sich das ISMS bezieht. Das Statement of Applicability dokumentiert anschließend, welche Annex-A-Controls in diesem Bereich anwendbar sind und welche begründet ausgeschlossen werden. Der Scope steckt also den Rahmen ab, die SoA füllt ihn mit Controls.
Gilt der Geltungsbereich auch für NIS2 oder TISAX?
Das Grundprinzip der klaren Abgrenzung gilt überall. Bei NIS2 richtet sich der Umfang nach der betroffenen Einrichtung und ihren Diensten, bei TISAX nach dem zu schützenden Standort oder Prozess. Eine saubere Scope-Definition im ISMS lässt sich deshalb für mehrere Normen gemeinsam nutzen.
Das könnte Sie auch interessieren
Fakten und Quellen zum ISMS-Geltungsbereich auf einen Blick
| Punkt | Fakt |
|---|---|
| Norm-Grundlage | ISO/IEC 27001:2022, Klausel 4.3 (Festlegung des Anwendungsbereichs) |
| Pflicht-Eingaben | Kontext (4.1), Anforderungen interessierter Parteien (4.2), Schnittstellen und Abhängigkeiten (4.3) |
| Form | dokumentierte Information, erscheint auf dem Zertifikat |
| 4 Dimensionen | Organisation, Standorte, Prozesse, Informationswerte und Systeme |
| Typische Fehler | Scope zu groß, Scope zu klein, unklare Grenzen |
| Quellen | ISO/IEC 27001:2022, BSI-Standard 200-2 (Informationsverbund) |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.