¶ ISO 27001 Kapitel 4 – Kontext der Organisation
Muster-Wiki / Entwurf: Zusammenfassung in eigenen Worten; maßgeblich bleibt die lizenzierte Norm.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokument-ID | ISMS-ISO-04 |
| Wiki.js-Pfad | /ISMS/10-ISO-27001-2022/04-Kontext-der-Organisation |
| Version / Stand | 1.0 / 09.08.2026 |
| Status / Freigabe | Entwurf / Ausstehend |
| Verantwortlich | Geschäftsführung und ISMS-Beauftragte/r |
¶ Zweck des Kapitels
Kapitel 4 schafft die fachliche Grundlage des ISMS. Bevor Risiken bewertet oder Maßnahmen ausgewählt werden, muss klar sein, welche Organisation betrachtet wird, welche internen und externen Einflussfaktoren bestehen, welche Parteien Anforderungen stellen und welche Standorte, Prozesse, Informationen und Systeme zum Geltungsbereich gehören.
¶ Unterkapitel und Arbeitsergebnisse
| Abschnitt | Arbeitsauftrag | Erwartetes Ergebnis im Wiki |
|---|---|---|
| 4.1 Organisation und Kontext verstehen | Strategische, rechtliche, technologische, personelle, marktbezogene und physische Einflussfaktoren bewerten | dokumentierte Kontextanalyse mit Verantwortlichen, Bewertung und Reviewtermin |
| 4.2 Anforderungen interessierter Parteien verstehen | Parteien, Erwartungen sowie verbindliche Anforderungen bestimmen | Parteienregister und Verknüpfung zum Rechts- und Vertragskataster |
| 4.3 Geltungsbereich festlegen | organisatorische, räumliche, technische und prozessuale Grenzen begründen | freigegebene Scope-Erklärung mit Schnittstellen und Ausschlüssen |
| 4.4 ISMS aufbauen und verbessern | Prozesse, Wechselwirkungen, Rollen und Steuerungsmechanismen festlegen | Prozesslandkarte, Dokumentenstruktur und Regelkreis des ISMS |
¶ Klimawandel-Ergänzung
Durch Amd 1:2024 ist in 4.1 ausdrücklich zu bestimmen, ob Klimawandel für das ISMS relevant ist. Das bedeutet keine automatische Klimarisikoanalyse für jede Organisation. Zu prüfen sind jedoch mögliche Auswirkungen auf Informationssicherheit, etwa Extremwetter an Standorten, Energie- und Kühlungsrisiken, Lieferkettenunterbrechungen, Verfügbarkeitsanforderungen von Kunden oder regulatorische Erwartungen. Unter 4.2 ist zusätzlich zu berücksichtigen, ob interessierte Parteien klimabezogene Anforderungen stellen.
¶ Empfohlener Ablauf
- Organisation, Geschäftsmodell und kritische Leistungen beschreiben.
- Interne und externe Themen mit Quellen und Bewertung erfassen.
- Interessierte Parteien und verbindliche Anforderungen zuordnen.
- Standorte, Prozesse, Systeme, Lieferanten und Schnittstellen bestimmen.
- Scope formulieren und Abgrenzungen nachvollziehbar begründen.
- Ergebnisse mindestens jährlich und bei wesentlichen Änderungen überprüfen.
¶ Typische Nachweise
- Kontext und interessierte Parteien
- Geltungsbereich und Standorte
- Prozesslandkarte
- Rechts- und Vertragskataster
- Scope-Freigabe, Standortliste, Schnittstellenübersicht und Protokoll des jährlichen Reviews
¶ Auditfragen
- Sind Kontext, Parteien und Scope konsistent miteinander?
- Sind ausgelagerte Leistungen und Cloud-Dienste an den Scope-Grenzen berücksichtigt?
- Kann die Organisation begründen, warum ein Standort oder Prozess ein- oder ausgeschlossen ist?
- Ist die Relevanz des Klimawandels geprüft und dokumentiert?
- Sind Änderungen aus Kontext und Parteien in Risiken, Ziele oder Maßnahmen überführt worden?
¶ Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | Arbeitsseite zu Kapitel 4 einschließlich Amd 1:2024 erstellt | Ausstehend |