Sicherheitsrichtlinie: Eine Sicherheitsrichtlinie ist das von der Geschäftsleitung verabschiedete, übergeordnete Dokument, das Ziele, Grundsätze und Verantwortlichkeiten der Informationssicherheit im Unternehmen verbindlich festlegt.
Die Sicherheitsrichtlinie – auch Informationssicherheitsleitlinie genannt – bildet die oberste Ebene der ISMS-Dokumentation. Sie definiert grundsätzliche Ziele wie den Schutz von Vertraulichkeit, Integrität und Verfügbarkeit, benennt Verantwortlichkeiten und gibt den Rahmen vor, innerhalb dessen konkretere Themenrichtlinien wirken und aufeinander abgestimmt bleiben.
| Ebene | Beispiel | Zweck |
|---|---|---|
| Leitlinie | Sicherheitsrichtlinie / Informationssicherheitsleitlinie | Grundsätzliche Ziele und Verantwortlichkeiten |
| Themenrichtlinien | Passwortrichtlinie, Clean Desk Policy | Konkrete Vorgaben für einen Teilbereich |
| Arbeitsanweisungen | Schritt-für-Schritt-Vorgaben | Praktische Umsetzung im Alltag |
Damit die Sicherheitsrichtlinie mehr ist als ein abgelegtes Dokument, muss sie allen Mitarbeitenden bekannt gemacht und regelmäßig – üblicherweise im Rahmen der jährlichen Managementbewertung – auf Aktualität geprüft werden. Änderungen bei Bedrohungslage, Technologieeinsatz oder Unternehmensstruktur, etwa neue Cloud-Dienste oder Homeoffice-Regelungen, sollten sich zeitnah in der Richtlinie widerspiegeln, statt erst bei der nächsten turnusmäßigen Überarbeitung nachgezogen zu werden.
In kleineren Unternehmen genügt oft ein kompaktes, wenige Seiten umfassendes Dokument, solange es die wesentlichen Ziele, Zuständigkeiten und den Bezug zu den Themenrichtlinien klar benennt – entscheidend ist nicht der Umfang, sondern dass die Richtlinie tatsächlich gelesen, verstanden und im Alltag angewendet wird.
Mit der Revision ISO 27001:2022 wurden die früheren Controls 5.1.1 (Richtlinien für Informationssicherheit) und 5.1.2 (Überprüfung der Richtlinien) aus der Fassung von 2013 in dem einzelnen Control 5.1 zusammengeführt und die Anforderungen an Inhalt und Kommunikation der Richtlinie zugleich konkretisiert. Neu ist auch der ausdrückliche Bezug zu Schulungs- und Sensibilisierungsprogrammen: Die Richtlinie soll nicht nur existieren, sondern aktiv in Awareness-Maßnahmen einfließen, damit ihr Inhalt tatsächlich im Arbeitsalltag ankommt und nicht nur formal dokumentiert bleibt. Für Unternehmen, die bereits vor 2022 zertifiziert waren, war die Zusammenlegung im Übergangsaudit meist unproblematisch, sofern beide ursprünglichen Inhalte – Festlegung und regelmäßige Überprüfung – weiterhin in einem gemeinsamen Dokument abgedeckt blieben.
Relevanz für die Zertifizierung
ISO 27001 Anhang A.5.1 fordert die Sicherheitsrichtlinie explizit; ein Ausschluss im Statement of Applicability ist für praktisch kein Unternehmen begründbar. Im Stufe-2-Audit bei KCERT prüft der Auditor nicht nur, ob das Dokument existiert und von der Geschäftsleitung verabschiedet wurde, sondern auch stichprobenartig, ob Mitarbeitende die wesentlichen Inhalte kennen. Eine Sicherheitsrichtlinie, die nur auf dem Papier existiert, aber im Alltag niemand kennt, gilt als klassischer Schwachpunkt und führt regelmäßig zu Feststellungen, selbst wenn das Dokument formal einwandfrei formuliert ist.
Häufige Fragen zu Sicherheitsrichtlinie
Ja. Anhang A.5.1 der ISO 27001:2022 fordert explizit Richtlinien für Informationssicherheit, die von der Geschäftsleitung verabschiedet, kommuniziert und regelmäßig überprüft werden. Ein Ausschluss im Statement of Applicability ist praktisch nicht vertretbar und würde im Stufe-2-Audit unweigerlich zu Rückfragen führen. Bereits die Vorgängerfassung von 2013 verlangte dasselbe in zwei getrennten Controls, sodass die inhaltliche Pflicht seit der ersten ISO-27001-Fassung im Kern unverändert besteht.
Ausdrücklich die oberste Leitung des Unternehmens, nicht nur die IT-Abteilung. Diese sichtbare Verpflichtung des Top-Managements ist Teil der Führungsanforderungen in Kapitel 5 der ISO 27001 und wird im Audit gezielt nach Nachweisen wie Unterschrift, Freigabedatum oder Protokoll einer Geschäftsleitungssitzung gefragt.
Die Sicherheitsrichtlinie ist das übergeordnete Rahmendokument mit grundsätzlichen Zielen und Verantwortlichkeiten. Das Berechtigungskonzept ist eine konkrete, operative Umsetzung eines Teilbereichs davon – es regelt speziell, wer Zugriff auf welche Systeme und Daten erhält und wie dieser Zugriff kontrolliert wird. Beide Dokumente sollten aufeinander verweisen: Ändert sich die grundsätzliche Ausrichtung in der Sicherheitsrichtlinie, etwa durch neue Cloud-Dienste, muss das Berechtigungskonzept zeitnah entsprechend angepasst werden.