ISO 27001 für IT-Unternehmen: Anforderungen und Geltungsbereich
Den Geltungsbereich eines IT-ISMS bestimmen
ISO/IEC 27001 bezieht sich auf das Informationssicherheitsmanagement eines Unternehmens innerhalb eines festgelegten Geltungsbereichs. Dieser Bereich muss verständlich beschreiben, welche Dienstleistungen, organisatorischen Einheiten und Standorte er umfasst. Ein Zertifikat für einen Teilbereich ist kein pauschaler Nachweis für sämtliche Unternehmensleistungen.
Bei IT-Unternehmen verläuft die Grenze selten entlang einzelner Server. Support, Administration, Personalprozesse und externe Anbieter können für dieselbe Dienstleistung notwendig sein und müssen bei der Abgrenzung berücksichtigt werden.
Von der Leistung zu den beteiligten Prozessen
Für die Beschreibung helfen vier Fragen:
- Welche Leistung wird gegenüber Kunden erbracht?
- Welche Informationen werden dabei verarbeitet?
- Welche internen und externen Prozesse ermöglichen die Leistung?
- Wo liegen Übergaben und geteilte Verantwortlichkeiten?
Ausgelagerte Aufgaben verschwinden nicht aus der Betrachtung. Das Unternehmen muss erkennen können, welche Anforderungen an einen Anbieter gestellt werden und wie dessen Leistung kontrolliert wird.
Ein Beispiel für eine nachvollziehbare Grenze
Ein Softwareunternehmen betrachtet Entwicklung und Betrieb seiner Kundenplattform. Ein externer Cloud-Anbieter betreibt die Infrastruktur. Die Plattformkonfiguration, Benutzerverwaltung und Freigabe neuer Versionen bleiben beim Softwareunternehmen. Der Geltungsbereich sollte diese Aufgaben und Schnittstellen erkennbar machen.
Anforderungen angemessen umsetzen
Die Norm verbindet unter anderem Leitung, Planung, Umsetzung, Bewertung und Verbesserung des Managementsystems. Maßnahmen werden anhand der eigenen Risiken ausgewählt und begründet. Eine kleine Organisation kann dafür einfachere Abläufe nutzen als ein Konzern, muss erforderliche Entscheidungen und Nachweise aber ebenso nachvollziehbar gestalten.
Eine präzise Abgrenzung hilft damit zugleich bei der internen Arbeit und bei der Kommunikation mit Kunden: Sie zeigt, worauf sich der Sicherheitsnachweis tatsächlich bezieht.
Für die Ausgestaltung werden ein nachvollziehbares ISO-27001-Risikomanagement und passende dokumentierte Informationen benötigt. Beide beziehen sich auf den zuvor festgelegten Geltungsbereich.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik