Anwendungsbereich des ISMS (NK4 NA 4.3)

Der Bereich, für den das ISMS zuständig ist. I.d.R. die gesamte Organisation.
Der Anwendungsbereich kann frei definiert werden, es muss jedoch folgendes beachtet werden:

• Es macht keinen Sinn, Bereiche auszulassen, die mit Sicherheitsanforderungen einer maßgeblichen Partei belegt sind
• Es dürfen keine Bereiche ausgegrenzt werden, die die Sicherheit insgesamt beeinflussen (wie bspw. Auslassen genutzter Cloud Services)
• Es sollte nicht versucht werden, den Anwendungsbereich klein zu schneiden, um schnell eine Zertifizierung zu erreichen -> "marginalisieren"
• Grenzen sollen präzise definiert sein, durch Angabe der Schnittstellen zwischen Bereichen und Abläufen, die vom ISMS "verwaltet" werden und solchen, die außerhalb liegen - bspw. bei anderen Organisationen bzw. Parteien (bspw. Dienstleister, Lieferanten usw.)
  

Werden Komponenten bewusst ausgelassen, sind diese schriftlich zu dokumentieren und zu begründen.

Die Festlegung des Anwendungsbereichs und seiner Grenzen muss ebenfalls schriftlich erfolgen.

TODO