Geltungsbereich des risikoorientierten ISMS ist der Betrieb der Sub-CA: Zu den Kernaufgaben des Betriebs gehören: Registrierung und Verwaltung von Endnutzern der SM-Sub-CA;  Ausstellen und Sperren von Endnutzer-Zertifikaten;  Suspendieren von SMGW-Zertifikaten;  Bereitstellen einer Webservice-Schnittstelle zur Beantragung von Folgezertifikaten;  Bereitstellen von Verzeichnissen und der Sperrliste der SM-Sub-CA