Der Geltungsbereich ist die Antwort auf die Frage: Was genau ist hier eigentlich zertifiziert? Er steht auf dem Zertifikat, und er ist das Erste, worauf ein prüfender Kunde schaut.
Was hineingehört
Drei Angaben sind üblich und in den meisten Fällen ausreichend:
- Die Tätigkeit — was das Unternehmen tut. Entwicklung, Fertigung, Handel, Instandhaltung, Beratung.
- Der Gegenstand — welche Produkte oder Dienstleistungen. So konkret, dass ein Außenstehender es einordnen kann.
- Die Standorte — welche Betriebsstätten einbezogen sind.
Bei Informationssicherheits-Managementsystemen kommt häufig die Nennung der Systeme oder Prozesse hinzu, weil dort der Umfang wesentlich enger geschnitten sein kann als das Unternehmen. Der Geltungsbereich bestimmt dort zugleich, welche Maßnahmen in der Erklärung zur Anwendbarkeit zu bewerten sind.
Geltungsbereich und Anwendungsbereich
Die beiden Begriffe werden weitgehend gleichbedeutend benutzt, kommen aber aus unterschiedlichen Richtungen. Die Norm spricht in Kapitel 4.3 vom Anwendungsbereich des Managementsystems und verlangt, ihn als dokumentierte Information verfügbar zu halten. Sie knüpft ihn ausdrücklich an den Kontext der Organisation und an die Anforderungen interessierter Parteien — die Grenze wird also begründet, nicht nur gezogen. Geltungsbereich ist der Begriff, der auf dem Zertifikat und in der Sprache der Zertifizierungsstellen auftaucht.
Praktisch beschreiben beide dieselbe Grenze. Wichtig ist nur, dass die Fassungen übereinstimmen: Was Sie in Kapitel 4.3 dokumentiert haben, muss mit dem Text auf dem Zertifikat zusammenpassen. Abweichungen entstehen typischerweise dann, wenn die Zertifizierungsstelle den Text für das Zertifikat kürzt und niemand die interne Fassung nachzieht.
Warum die Formulierung so wichtig ist
Ein Beispiel aus der Praxis: Ein IT-Dienstleister lässt sich nach ISO 27001 zertifizieren und wählt als Geltungsbereich „Betrieb der Rechenzentrumsinfrastruktur am Standort A“. Ein Kunde, der die Sicherheit seiner Auftragsverarbeitung nachgewiesen haben will, findet in diesem Zertifikat nichts, was seine Prozesse abdeckt — die laufen nämlich im Support und in der Anwendungsentwicklung.
Das Zertifikat ist korrekt, das Geld ist ausgegeben, und der Nachweiszweck ist verfehlt.
Umgekehrt gilt: Ein zu weit gefasster Geltungsbereich treibt Audittage, Umsetzungsaufwand und Kosten in Bereiche, die niemand geprüft sehen will.
Ausschlüsse
Die Kapitel 4 bis 10 der Managementsystemnormen sind vollständig zu erfüllen. Ausgeschlossen werden können nur einzelne Anforderungen aus dem Betriebskapitel, die auf die Organisation nicht zutreffen — klassischerweise die Entwicklung bei einem Unternehmen, das ausschließlich nach Kundenvorgabe fertigt.
Jeder Ausschluss muss begründet sein und darf die Fähigkeit, konforme Produkte zu liefern, nicht beeinträchtigen. Wer die Entwicklung ausschließt und trotzdem entwickelt, hat im Audit ein Problem.
Der Geltungsbereich im laufenden Betrieb
Er ist keine Einmalentscheidung. Neue Standorte, neue Geschäftsfelder, Verlagerungen und Ausgliederungen wirken sich aus und sind der Zertifizierungsstelle zu melden. Wer ein zweites Werk eröffnet und weiter mit dem alten Zertifikat wirbt, wirbt falsch — und riskiert bei der nächsten Überwachung eine Feststellung zur Verwendung des Zertifizierungszeichens. Im Wiederholungsfall reichen die Regelwerke bis zum Entzug des Zertifikats.
Zwei weitere Fehler kosten regelmäßig Zeit: Ein Prozess wird ausgelagert und niemand regelt seine Steuerung, obwohl er im Geltungsbereich bleibt. Und der Geltungsbereich wird an der Rechtsform statt an der Tätigkeit ausgerichtet — bei verbundenen Gesellschaften am selben Standort muss klar sein, welche juristische Person das Zertifikat trägt und welche nicht.