März 5, 2026

Klausel 4.3 Festlegen des Anwendungsbereichs des Informationssicherheitsmanagementsystems

(nach ISO/IEC 27001:2022)

Der Anwendungsbereich des Informationssicherheitsmanagementsystems definiert, welche Teile der Organisation, welche Prozesse, Standorte, Informationswerte und Technologien vom ISMS erfasst werden. Ein klar abgegrenzter und nachvollziehbar begründeter Geltungsbereich ist entscheidend für die Wirksamkeit, Prüfbarkeit und Akzeptanz des ISMS. Diese Klausel stellt sicher, dass der Scope systematisch festgelegt, dokumentiert und regelmäßig überprüft wird.

Zweck der Klausel

Klausel 4.3 soll gewährleisten, dass der Anwendungsbereich des ISMS eindeutig definiert ist und alle relevanten internen und externen Einflussfaktoren berücksichtigt. Ziel ist es, einen realistischen, risikobasierten und auditfähigen Geltungsbereich festzulegen, der die Informationssicherheitsziele der Organisation unterstützt.

Anforderungen und Maßnahmen

1. Berücksichtigung des organisatorischen Kontextes

Bei der Festlegung des Anwendungsbereichs müssen die Ergebnisse aus Klausel 4.1 berücksichtigt werden, insbesondere:

  • interne Strukturen und Geschäftsprozesse
  • externe Rahmenbedingungen und Abhängigkeiten
  • strategische Ausrichtung der Organisation
  • technologische und organisatorische Gegebenheiten

Der Scope muss zum Kontext der Organisation passen.

2. Berücksichtigung interessierter Parteien

Die Anforderungen aus Klausel 4.2 müssen einbezogen werden:

  • gesetzliche und regulatorische Verpflichtungen
  • vertragliche Anforderungen von Kunden oder Partnern
  • Erwartungen von Behörden oder Zertifizierungsstellen
  • interne Management- und Governance-Anforderungen

Bindende Anforderungen dürfen nicht ausgeschlossen werden.

3. Festlegung organisatorischer Grenzen

Der Anwendungsbereich muss organisatorisch klar abgegrenzt sein, zum Beispiel:

  • bestimmte Unternehmensbereiche oder Abteilungen
  • definierte Geschäftsprozesse oder Dienstleistungen
  • Ein- oder Ausschluss von Tochtergesellschaften
  • Zuständigkeiten und Verantwortlichkeiten

Die Abgrenzung muss nachvollziehbar begründet sein.

4. Festlegung räumlicher und technischer Grenzen

Auch räumliche und technische Aspekte sind zu berücksichtigen:

  • Standorte, Niederlassungen oder Rechenzentren
  • IT-Systeme, Anwendungen und Infrastrukturen
  • Cloud-Dienste oder ausgelagerte Services
  • Netzwerke und Kommunikationssysteme

Der Scope muss alle relevanten Informationswerte abdecken.

5. Umgang mit Auslagerungen und Schnittstellen

Auslagerungen und externe Abhängigkeiten müssen berücksichtigt werden:

  • Einbindung ausgelagerter Prozesse oder IT-Dienste
  • Definition von Schnittstellen zu nicht im Scope liegenden Bereichen
  • klare Verantwortlichkeiten
  • Berücksichtigung im Risikomanagement

Auslagerungen entbinden nicht von Verantwortung.

6. Ausschlüsse und deren Begründung

Ausschlüsse aus dem Anwendungsbereich müssen:

  • klar definiert sein
  • sachlich und risikobasiert begründet werden
  • keine bindenden Anforderungen verletzen
  • transparent dokumentiert werden

Unzulässige oder willkürliche Ausschlüsse sind nicht erlaubt.

7. Dokumentation des Anwendungsbereichs

Der Anwendungsbereich muss dokumentiert sein, insbesondere:

  • Beschreibung des Geltungsbereichs
  • enthaltene und ausgeschlossene Bereiche
  • Begründungen für Abgrenzungen
  • Bezug zu Kontext und interessierten Parteien

Die Dokumentation ist ein zentrales Auditdokument.

8. Überprüfung und Aktualisierung des Anwendungsbereichs

Der Scope ist regelmäßig zu überprüfen:

  • bei organisatorischen oder strategischen Änderungen
  • bei neuen gesetzlichen oder vertraglichen Anforderungen
  • bei wesentlichen Änderungen von Prozessen oder Systemen
  • im Rahmen von Managementbewertungen

So bleibt der Anwendungsbereich aktuell und wirksam.

Zusammenfassung

Klausel 4.3 fordert, dass Organisationen den Anwendungsbereich ihres Informationssicherheitsmanagementsystems klar, nachvollziehbar und risikobasiert festlegen. Durch die Berücksichtigung des organisatorischen Kontextes, der Anforderungen interessierter Parteien sowie organisatorischer, räumlicher und technischer Grenzen wird sichergestellt, dass das ISMS vollständig, wirksam und auditfähig ist. Der definierte Anwendungsbereich bildet die Grundlage für alle weiteren Anforderungen der ISO/IEC 27001:2022.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 4.3 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 4.3 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Zeigen Sie mir Ihren dokumentierten Anwendungsbereich.“
Ein freigegebenes Dokument mit Version und Datum. Eine Folie aus einer Präsentation oder ein Satz auf der Website reicht nicht – die Norm verlangt dokumentierte Information.
„Warum ist dieser Standort nicht enthalten?“
Ausschlüsse sind erlaubt – unbegründete nicht. Nicht die Aufzählung ist die Hürde, sondern die nachvollziehbare Herleitung, warum etwas draußen bleibt.
„Welche Schnittstellen und Abhängigkeiten haben Sie berücksichtigt?“
Klausel 4.3 c) verlangt genau das: Schnittstellen zu ausgelagerten Prozessen und Dritten. Genau hier fällt der Scope im Audit am häufigsten auf.
„Wie hängt Ihr Anwendungsbereich mit 4.1 und 4.2 zusammen?“
Der Scope muss aus Kontext und den Anforderungen interessierter Parteien hergeleitet sein – nicht unverbunden daneben stehen.
Das Dokument dazu

4.3-1 Anwendungsbereich des ISMS

Standorte, Organisationseinheiten und Prozesse · Ein- und Ausschlüsse mit Begründung · Schnittstellen zu Dritten · Bezug zu 4.1 und 4.2. In der ISMS-Plattform entsteht es aus Ihren Angaben – gemeinsam mit 4.1-2 Kontext der Organisation, 4.2-1 Interessierte Parteien und 4.4-1 Das ISMS und seine Prozesse.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick