Der Kontext der Organisation beschreibt, was Ihr ISMS beeinflusst: interne und externe Themen, die interessierten Parteien mit ihren Anforderungen und daraus abgeleitet der Geltungsbereich (ISO/IEC 27001, Kapitel 4.1–4.3). Dieser Artikel richtet sich an ISMS-Verantwortliche, die den Kontext pflegen, und an die oberste Leitung, die den Geltungsbereich freigibt.

Bevor Sie beginnen

  • Sie finden alles unter ISMS-Steuerung › Kontext mit den Reitern Geltungsbereich, Themen, Interessierte Parteien (Stakeholder) und Kommunikation.
  • Themen und Parteien pflegen Personen mit dem Recht „Kontext: Pflegen“, standardmässig die ISMS-Verantwortlichen. Den Geltungsbereich freigeben darf eine andere Person mit dem Recht „Geltungsbereich freigeben“, standardmässig die Oberste Leitung.
  • Der Kontext ist in allen Paketen enthalten.

Themen erfassen

  1. Öffnen Sie Kontext › Themen und klicken Sie auf Thema erfassen.
  2. Wählen Sie die Art (Intern oder Extern) und benennen Sie das Thema, zum Beispiel „Revidiertes Datenschutzgesetz (revDSG)“ oder „Kritische Systeme hängen an einer Person“.
  3. Beschreiben Sie unter Auswirkung auf das ISMS, wie das Thema beeinflusst, ob Ihr ISMS seine Ziele erreicht. Das Feld ist Pflicht; daraus ergeben sich Risiken und Chancen.
  4. Klicken Sie auf Speichern.

Auf derselben Seite beurteilen Sie, ob der Klimawandel für Ihre Organisation relevant ist (ISO/IEC 27001:2022/Amd 1:2024): Ja, relevant oder Nein, nicht relevant, jeweils mit Begründung. Ist er relevant, erfassen Sie die Auswirkungen als Thema und setzen das Häkchen Betrifft den Klimawandel.

Ist ein Thema nicht mehr relevant, öffnen Sie es und setzen Nicht mehr relevant (archivieren).

Interessierte Parteien erfassen

  1. Öffnen Sie Kontext › Interessierte Parteien (Stakeholder) und klicken Sie auf Partei erfassen.
  2. Benennen Sie die Partei, etwa „Kunden im Gesundheitswesen“, und wählen Sie, falls eingerichtet, eine Kategorie.
  3. Halten Sie unter Anforderungen fest, was die Partei von Ihrer Informationssicherheit erwartet (ISO/IEC 27001, 4.2 b), zum Beispiel „Meldung von Vorfällen innert 24 h“.
  4. Beschreiben Sie unter Berücksichtigung im ISMS, wie das ISMS die Anforderungen erfüllt oder warum sie ausserhalb des ISMS liegen (4.2 c). Beide Felder sind Pflicht.
  5. Klicken Sie auf Speichern.

Kategorien sind freiwillig; Sie richten sie unter ISMS-Einstellungen › Organisation & Rollen › Interessierte Parteien ein (der Hinweis oben auf der Seite der Parteien führt direkt dorthin). Eine Partei, die nicht (mehr) relevant ist, archivieren Sie mit Begründung über Nicht (mehr) relevant – archivieren. Sie bleibt als Nachweis Ihrer Prüfung erhalten.

Chancen und Kommunikation

Bei Themen und Parteien halten Sie mit Chance festhalten optional eine Chance fest und verknüpfen sie mit einer Massnahme oder einem Ziel; erst dann gilt sie als geplant (6.1.1). Bei Parteien legen Sie mit Kommunikation festlegen fest, worüber, wann und wie Sie kommunizieren und wer zuständig ist, oder Sie wählen Keine Kommunikation nötig mit Begründung (7.4). Die Übersicht zeigt der Reiter Kommunikation als Kommunikationsmatrix.

Geltungsbereich festlegen und freigeben

  1. Öffnen Sie Kontext › Geltungsbereich und klicken Sie auf Geltungsbereich festlegen (später Neue Fassung erstellen).
  2. Beschreiben Sie den Geltungsbereich und ergänzen Sie Grenzen, Schnittstellen und Abhängigkeiten sowie Ausschlüsse mit Begründung.
  3. Speichern Sie. Eine andere Person mit dem Recht „Geltungsbereich freigeben“ erhält eine Pendenz.
  4. Die freigebende Person wählt Freigeben oder Zurückweisen mit Begründung. Nach einer Zurückweisung überarbeitet die erstellende Person den Entwurf; danach liegt er wieder zur Freigabe vor.

Wer den Entwurf erstellt hat, gibt ihn nie selbst frei (Vier-Augen-Prinzip), siehe Freigaben regeln mit dem Vier-Augen-Prinzip. Freigegebene Fassungen lassen sich nicht ändern; Änderungen verlangen eine neue Fassung. Frühere Fassungen bleiben als Nachweis erhalten.

Was danach passiert

  • Die gültige Fassung des Geltungsbereichs ersetzt die bisherige; die Managementbewertung zeigt ab dann diese Fassung.
  • Geänderte Themen und Parteien und die Beurteilung zum Klimawandel fliessen in die nächste Managementbewertung ein, siehe Managementbewertung vorbereiten und durchführen.

Häufige Fragen

Muss ich Kategorien für Parteien verwenden?

Nein. Standardmässig erfassen Sie Parteien ohne Kategorien. Wer viele Parteien gliedern will, richtet eigene Kategorien ein.

Warum zeigt ein Thema „Auswirkung fehlt“?

Das Thema wurde ohne Auswirkung auf das ISMS erfasst. Ergänzen Sie die Auswirkung; erst dann lässt es sich wieder speichern.

Wir haben den Geltungsbereich schon ausserhalb von Varmo freigegeben.

Übernehmen Sie die bestehende Freigabe in der Einrichtung, siehe Die Einrichtung Schritt für Schritt.