IT-Sicherheitsleitlinie: Inhalt, Aufbau und Checkliste

Andere Namen sind Leitlinie zur Informationssicherheit, Sicherheitspolitik oder auf Englisch Information Security Policy. Viele sprechen auch von der IT-Sicherheitsrichtlinie. Genau genommen ist eine Richtlinie aber etwas anderes, wie der nächste Abschnitt zeigt.

Leitlinie, Richtlinie, Sicherheitskonzept: der Unterschied

Die Dokumente eines ISMS bauen aufeinander auf. Oben steht die Leitlinie. Darunter folgen Regeln und Pläne, die immer konkreter werden.

• Leitlinie: wenige Seiten, strategisch und langfristig gültig. Sie sagt, warum und mit welchem Ziel Sie Informationssicherheit betreiben.
• Richtlinien (Policies): verbindliche Regeln für einzelne Themen. Beispiele sind Passwort-, Backup-, Mobile-Device- oder Zugriffsrichtlinien. Sie sagen, was zu tun ist.
• Sicherheitskonzept: beschreibt für einen konkreten Bereich, welche Maßnahmen gegen welche Risiken greifen. Mehr dazu im Eintrag IT-Sicherheitskonzept.
• Arbeitsanweisungen: zeigen Schritt für Schritt, wie eine Aufgabe erledigt wird.

Die Leitlinie ändert sich selten. Richtlinien und Konzepte passen Sie dagegen regelmäßig an neue Systeme und Risiken an.

Typische Inhalte einer IT-Sicherheitsleitlinie

Eine gute Leitlinie ist kurz und für alle Beschäftigten verständlich. Diese Punkte gehören fast immer hinein:

• Geltungsbereich: Für welche Standorte, Bereiche, Systeme und Personen gilt die Leitlinie?
• Stellenwert: Warum ist Informationssicherheit für Ihr Geschäft wichtig? Welche Abhängigkeit von IT besteht?
• Sicherheitsziele: Welche Ziele verfolgen Sie? Grundlage sind meist die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit.
• Organisation und Verantwortung: Welche Rolle hat die Geschäftsleitung? Wer ist Sicherheitsbeauftragter oder CISO? Welche Pflichten haben Führungskräfte und Beschäftigte?
• Rahmenbedingungen: Welche Gesetze, Verträge und Normen müssen Sie einhalten?
• Verbesserung: Die Leitung sagt zu, die Sicherheit laufend zu prüfen und zu verbessern.
• Konsequenzen: Was folgt, wenn jemand gegen Sicherheitsregeln verstößt?

Am Ende stehen Datum, Version und die Unterschrift der Geschäftsleitung.

Die Leitlinie in ISO/IEC 27001

ISO/IEC 27001 regelt die Leitlinie in Abschnitt 5.2 „Informationssicherheitspolitik“. Die oberste Leitung muss sie festlegen. Die Norm nennt dafür einige Anforderungen:

• Sie passt zum Zweck der Organisation.
• Sie enthält Informationssicherheitsziele oder gibt den Rahmen vor, um solche Ziele festzulegen.
• Sie enthält die Verpflichtung, zutreffende Anforderungen an die Informationssicherheit zu erfüllen.
• Sie enthält die Verpflichtung, das ISMS fortlaufend zu verbessern.

Außerdem muss die Leitlinie als dokumentierte Information vorliegen. Sie wird in der Organisation bekannt gemacht. Interessierten Parteien steht sie zur Verfügung, soweit das angemessen ist. Ohne Leitlinie ist keine Zertifizierung nach ISO 27001 möglich.

Die Leitlinie im BSI IT-Grundschutz

Auch der BSI IT-Grundschutz sieht eine „Leitlinie zur Informationssicherheit“ vor. BSI-Standard 200-1 beschreibt sie als Teil des Managementsystems. BSI-Standard 200-2 macht sie zu einem der ersten Schritte im Sicherheitsprozess. Die Leitung übernimmt damit sichtbar die Verantwortung für die Informationssicherheit.

Erst danach folgen die Organisation des Sicherheitsprozesses und die Sicherheitskonzeption. Die Leitlinie gibt also den Rahmen vor, in dem das Sicherheitskonzept entsteht.

NIS2: Die Geschäftsleitung ist in der Pflicht

Die NIS2-Richtlinie verlangt in Artikel 20, dass die Leitungsorgane die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. In Deutschland setzt § 38 BSIG das um. Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.

Eine Leitlinie mit Unterschrift der Geschäftsleitung ist dafür ein guter Ausgangspunkt. Sie zeigt, dass die Leitung Ziele und Verantwortung festgelegt hat. Allein reicht sie als Nachweis aber nicht aus.

So erstellen Sie eine IT-Sicherheitsleitlinie

1. Auftrag klären: Die Geschäftsleitung gibt einer Person den Auftrag. Meist ist das der Sicherheitsbeauftragte.
2. Rahmen erfassen: Sammeln Sie Geschäftsziele, gesetzliche Pflichten und Anforderungen von Kunden.
3. Geltungsbereich festlegen: Bestimmen Sie, welche Bereiche und Standorte dazugehören.
4. Ziele und Rollen formulieren: Schreiben Sie Sicherheitsziele und Verantwortlichkeiten klar und knapp auf.
5. Abstimmen: Beteiligen Sie Fachbereiche, IT, Datenschutz und gegebenenfalls den Betriebsrat.
6. Verabschieden: Die Geschäftsleitung unterschreibt und setzt die Leitlinie in Kraft.
7. Bekannt machen: Informieren Sie alle Beschäftigten, etwa im Intranet und bei Schulungen.
8. Regelmäßig prüfen: Prüfen Sie die Leitlinie bei größeren Änderungen und bei der Managementbewertung.

Ein externer Informationssicherheitsbeauftragter kann den Entwurf übernehmen, wenn intern niemand dafür Zeit hat.

Checkliste für Ihre Leitlinie

• Ist der Geltungsbereich eindeutig beschrieben?
• Erklärt die Leitlinie, warum Informationssicherheit für Ihr Unternehmen zählt?
• Sind Sicherheitsziele genannt oder ist der Rahmen dafür festgelegt?
• Sind Rollen und Verantwortlichkeiten benannt?
• Enthält sie die Verpflichtung, Anforderungen zu erfüllen und sich fortlaufend zu verbessern?
• Sind Folgen bei Verstößen geregelt?
• Hat die Geschäftsleitung unterschrieben?
• Kennen alle Beschäftigten die Leitlinie?
• Gibt es Version, Datum und einen Termin für die nächste Prüfung?

Die Leitlinie ist ein Baustein eines Informationssicherheits-Managementsystems (ISMS). Wie Sie daraus Risiken ableiten, beschreibt der Eintrag IT-Risikomanagement.

Häufige Fragen

Wie lang sollte eine IT-Sicherheitsleitlinie sein?

Eine feste Vorgabe gibt es nicht. In der Praxis reichen oft wenige Seiten. Details gehören in Richtlinien und Konzepte, nicht in die Leitlinie.

Wer muss die Leitlinie unterschreiben?

Die Geschäftsleitung, also die oberste Leitung der Organisation. Nur so wird deutlich, dass die Leitung die Verantwortung trägt. Das verlangen ISO 27001 und der BSI IT-Grundschutz.

Brauchen auch kleine Unternehmen eine Leitlinie?

Ja, wenn Sie ein ISMS aufbauen, eine Zertifizierung planen oder unter NIS2 fallen. Auch ohne Pflicht hilft sie, Ziele und Zuständigkeiten zu klären. Unsere ISMS-Beratung unterstützt Sie beim Aufbau.