Was zu berücksichtigen ist
- Externe und interne Themen (Abschnitt 4.1).
- Anforderungen interessierter Parteien (Abschnitt 4.2).
- Schnittstellen und Abhängigkeiten zu Tätigkeiten, die andere ausführen, etwa Cloud-Anbieter.
Wie man ihn schreibt
- Gehen Sie davon aus, was Kunden oder Aufsichtsbehörden abgedeckt sehen müssen.
- Benennen Sie die Tätigkeiten, Produkte und Dienstleistungen.
- Benennen Sie die Standorte, Teams und Systeme.
- Sagen Sie, was außerhalb liegt und wie die Schnittstellen geschützt sind.
- Bleiben Sie so kurz, dass er auf das Zertifikat passt.
Die Breite wählen
Ein enger Anwendungsbereich ist schneller zertifiziert, beantwortet aber vielleicht nicht, was Kunden fragen. Ein breiter gibt mehr Sicherheit und kostet mehr. Ein auf ein Produkt oder eine Dienstleistung beschränkter Bereich wird akzeptiert, wenn seine Grenzen klar sind und die Maßnahmen ihn schützen.
Häufige Fehler
- Einen Anbieter oder ein Team auszuschließen, ohne die der Dienst nicht läuft, und die Schnittstelle zu ignorieren.
- Ein Anwendungsbereich, der nicht zu dem passt, was der Vertrieb den Kunden sagt.
- Ein Anwendungsbereich, der nach einem Umzug, einer Übernahme oder einem neuen Produkt nicht aktualisiert wird.
Fragen
- Kann ein ISMS nur einen Teil des Unternehmens abdecken?
- Ja, sofern Grenzen, Schnittstellen und Abhängigkeiten festgelegt sind und die Maßnahmen schützen, was im Anwendungsbereich liegt.
- Steht der Anwendungsbereich auf dem Zertifikat?
- Ja, eine Beschreibung des Anwendungsbereichs steht auf dem Zertifikat, damit Kunden prüfen können, dass er die gekaufte Leistung abdeckt.