Maßnahme · ISO 27001
Informationssicherheitsleitlinie erstellen und vermitteln
Halte fest, was Informationssicherheit für euren Betrieb leisten soll, wer sie verantwortet und wie ihr sie verbessert. Nutze die bearbeitbare Vorlage für die Grundsätze der Geschäftsleitung.
Vorhandene Unterlagen nutzen
Habt ihr bereits eine passende Leitlinie, aktualisiere sie. Ziele und Aufgaben bleiben im vorhandenen Bestand. Verhaltensregeln und Informationsklassen werden in den zuständigen Themenrichtlinien gepflegt und hier verlinkt.
Was du konkret tun musst
- 1
Grundsätze an euren Betrieb anpassen
Kläre mit der Geschäftsleitung, welche Leistungen und Informationen geschützt werden müssen. Halte Geltungsbereich, den Rahmen für Sicherheitsziele, Zuständigkeiten und die Verpflichtung zur Erfüllung anwendbarer Anforderungen und zur Verbesserung fest. Die Leitlinie beschreibt die Ausrichtung. Themenrichtlinien wie "Sicher arbeiten" und "Informationen schützen" enthalten die konkreten Regeln. Verwende die gültigen eigenen Dokumente als Verweise.
- 2
Freigeben und verständlich vermitteln
Lass die Geschäftsleitung die angepasste Fassung genehmigen und stelle sie am führenden Ablageort bereit. Erläutere die relevanten Grundsätze den betroffenen Personen und kläre Fragen. Halte passend zur Aufgabe fest, dass sie die Regeln verstanden haben und einhalten werden. Stelle relevanten externen Interessenten eine geeignete Fassung bereit, ohne vertrauliche Angaben offenzulegen.
- 3
Die Leitlinie aktuell halten
Lege Verantwortliche und einen passenden Prüfzyklus fest. Prüfe zusätzlich bei wesentlichen Änderungen an Geschäft, Anforderungen oder Risiken. Beziehe Erkenntnisse aus Vorfällen, Audits und Managementbewertungen ein. Lass Änderungen genehmigen, prüfe betroffene Themenrichtlinien auf Widersprüche und vermittle die relevanten Änderungen. Nutze dafür die vorhandene Dokumenten- und Aufgabenverwaltung.
Praxisbeispiel
Eine bestehende Leitlinie auf einen neuen Dienst ausrichten
Ein IT-Dienstleister nimmt einen neuen Kundendienst in seinen ISMS-Geltungsbereich auf.
- Geschäftsbezug und Verantwortung
- FestlegungDie Geschäftsleitung passt den Geschäftsbezug an, bestätigt die Zuständigkeiten und genehmigt die neue Fassung. Die betroffenen Teams erhalten die relevanten Änderungen.
- NachweisFreigegebene Dokumentversion und Vermittlung im vorhandenen Team- oder Unterweisungsablauf.
Ergebnis festhalten
- Gültige Leitlinie mit Freigabe, Verantwortlichkeit und erreichbaren Verweisen auf die eigenen Themenregeln.
- Vermittlung und Bestätigung der relevanten Grundsätze im bestehenden Unterweisungsablauf. Die nächste Prüfung ist am Dokument oder als vorhandene Aufgabe festgehalten.
Häufige Fehler bei der Umsetzung
Die Vorlage bleibt unverändert
Ersetze die markierten Felder und prüfe, ob Zuständigkeiten und Verweise tatsächlich funktionieren. Entferne die Bearbeitungshilfe vor der betrieblichen Freigabe.
Regeln werden mehrfach gepflegt
Pflege Geräte- und Meldevorgaben in der Mitarbeiterrichtlinie, Klassen und Handhabung in der Informationsschutz-Richtlinie. Die Leitlinie verweist auf diese führenden Stellen.
Bezug zur Anforderung
Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.
Controls und Standards ansehen
- A.5.1 · Informationssicherheitsrichtlinien
Die Maßnahme führt zur festgelegten, genehmigten, vermittelten und überprüften übergeordneten Leitlinie. Die nötigen Themenrichtlinien und ihre tatsächliche Umsetzung bleiben zusätzlich zu bearbeiten.
Hilfsmittel für deinen nächsten Schritt
- Informationssicherheitsleitlinie als Vorlage
Bearbeitbare DOCX und ODT mit PDF zur Ansicht. Die Bearbeitungshilfe steht direkt hinter dem Deckblatt und erklärt alle Anpassungsfelder.
- Richtlinien in Kopexa bearbeiten und freigeben
Gemeinsame Bearbeitung, Freigabe einer konkreten Version und regelmäßige Aktualitätsprüfung am Dokument organisieren.