¶ Informationssicherheitsleitlinie
Beispieldokument: Diese Leitlinie verwendet die fiktive „Muster GmbH“. Unternehmensname, Geschäftstätigkeit, Verantwortlichkeiten, Gültigkeitsdaten, Anforderungen und Freigaben sind vor der Veröffentlichung durch die tatsächlichen Angaben zu ersetzen. Der Text ist weder eine Freigabe noch ein Nachweis für eine erfolgte oder wirksame Umsetzung.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-LT-01 |
| Dokumentenart | Leitlinie |
| Wiki.js-Pfad | /ISMS/01-Fuehrung-und-Steuerung/Informationssicherheitsleitlinie |
| Verantwortlich | Geschäftsführung |
| Dokumentenpflege | ISMS-Beauftragte/r |
| Fachlich geprüft durch | IT-Leitung und Qualitätsmanagement |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf |
| Version | 0.3 |
| Stand | 10.08.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe |
| Schutzklasse | Intern; externe Bereitstellung nach Freigabe möglich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 5.2 und Annex A 5.1 |
| VDA-ISA-Bezug | ISA 6.0.3, Kapitel 1.1 „Information Security Policies“ |
Übersicht zur Informationssicherheitsleitlinie: Führungsverpflichtung, Ziele, Ressourcen, Umsetzung, Nachweise und fortlaufende Verbesserung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ Lesehilfe: Leitlinie und Politik richtig unterscheiden
ISO/IEC 27001 verlangt eine Informationssicherheitspolitik. Die Norm schreibt jedoch weder den deutschen Dokumenttitel noch zwei getrennte Dokumente „Leitlinie“ und „Politik“ vor. Eine Organisation darf die strategische Erklärung und die ausführlichen Sicherheitsregeln in einem Dokument zusammenführen, sofern alle anwendbaren Anforderungen verständlich und gelenkt abgedeckt sind.
Das Muster-Wiki verwendet bewusst zwei Ebenen:
| Ebene | Leitfrage | Inhalt im Muster-Wiki | Typische Freigabe |
|---|---|---|---|
| Informationssicherheitsleitlinie | Wofür steht die Geschäftsführung? | strategische Verpflichtung, Schutzziele, Führungsgrundsätze und Erwartungen | Geschäftsführung |
| Informationssicherheitspolitik | Welche organisationsweiten Mindestregeln gelten? | verbindliche Regeln für Risiken, Menschen, Prozesse, Technik, Lieferanten, Vorfälle und Nachweise | Geschäftsführung |
| Themenrichtlinie | Wie wird ein Sicherheitsgebiet geregelt? | konkrete Vorgaben, beispielsweise zu Zugriff, Klassifizierung, Kryptografie oder Datensicherung | zuständige befugte Rolle |
| Verfahren oder Arbeitsanweisung | Wer tut was, wann und womit? | Rollen, Arbeitsschritte, Eskalationen, Formulare und Systeme | Prozess- oder Verfahrensverantwortliche |
| Nachweis | Wurde die Vorgabe tatsächlich durchgeführt und geprüft? | Freigaben, Protokolle, Systemauszüge, Tests, Kennzahlen und behandelte Abweichungen | nachweisführende Stelle |
Die Leitlinie ersetzt daher weder die ausführliche Politik noch Verfahren oder Nachweise. Sie gibt die Richtung vor, an der nachgeordnete Entscheidungen und Regelungen ausgerichtet werden.
¶ Praxisbaustein: Vom Führungsversprechen zum belastbaren Nachweis
| Führungsversprechen | Erforderliche Konkretisierung | Möglicher Nachweis | Wirksamkeitsfrage |
|---|---|---|---|
| Informationssicherheit ist Führungsaufgabe. | Rollen, Befugnisse, Berichtsweg und Managemententscheidungen festlegen | Rollenmatrix, Beauftragung, Managementprotokoll | Werden wesentliche Risiken tatsächlich durch befugte Stellen entschieden? |
| Angemessene Ressourcen werden bereitgestellt. | Personal, Budget, Werkzeuge, Schulung und Zeitbedarf risikobasiert planen | Ressourcenentscheidung, Budgetfreigabe, Schulungsplan | Reichen Ressourcen aus, um priorisierte Risiken und Maßnahmen fristgerecht zu behandeln? |
| Informationen werden ihrem Schutzbedarf entsprechend geschützt. | Assets erfassen, CIA-Schutzziele bewerten und Maßnahmen ableiten | Asset-Inventar, Schutzbedarfsbewertung, Risikobehandlung | Stimmen Schutzbedarf, produktive Konfiguration und tatsächliche Nutzung überein? |
| Ereignisse werden früh gemeldet und behandelt. | Meldewege, Zuständigkeiten, Triage, Kommunikation und Übungen regeln | Melderegister, Übungsprotokoll, Vorfallakte, Lessons Learned | Funktionierten Meldung, Eskalation und Eindämmung im Test oder Ereignis? |
| Das ISMS wird fortlaufend verbessert. | Ziele, Kennzahlen, Audits, Managementbewertung und Maßnahmenverfolgung verbinden | Zielbericht, Auditbericht, Maßnahmenregister, Retest | Werden Feststellungen bis zur nachgewiesenen Wirksamkeit verfolgt? |
Aussagegrenze: Ein vorhandenes Dokument und eine ausgefüllte Tabelle belegen noch keine Umsetzung. Belastbar wird die Leitlinie erst durch freigegebene Regeln, gelebte Prozesse, geschützte Nachweise und angemessene Wirksamkeitsprüfungen.
¶ 1. Erklärung der Geschäftsführung
Informationen, Daten, Wissen, IT-Systeme, Produktionsmittel und Geschäftsprozesse sind wesentliche Werte der Muster GmbH. Ihr angemessener Schutz ist Voraussetzung für eine zuverlässige Leistungserbringung, das Vertrauen unserer Kunden und Geschäftspartner sowie den nachhaltigen Erfolg des Unternehmens.
Die Geschäftsführung verpflichtet sich, ein angemessenes Informationssicherheitsmanagementsystem (ISMS) einzurichten, wirksam zu betreiben und fortlaufend zu verbessern. Informationssicherheit wird als Führungsaufgabe und als gemeinschaftliche Verantwortung aller Beschäftigten verstanden.
Die Geschäftsführung unterstützt die Ziele dieser Leitlinie, stellt angemessene Ressourcen bereit und erwartet von allen Personen im Geltungsbereich ein sicherheitsbewusstes und regelkonformes Verhalten.
¶ 2. Zweck und Zielsetzung
Diese Leitlinie legt die übergeordneten Grundsätze und Ziele der Informationssicherheit fest. Sie bildet den Rahmen für:
- Informationssicherheitsziele,
- Risikobewertungen und Risikobehandlungen,
- themenbezogene Richtlinien und Verfahren,
- technische und organisatorische Sicherheitsmaßnahmen,
- Schulungen und Sensibilisierungen,
- interne Audits und Managementbewertungen,
- TISAX-Selbsteinschätzungen und Assessments.
Die Informationssicherheitsmaßnahmen werden risikobasiert und unter Berücksichtigung gesetzlicher, behördlicher, vertraglicher, kundenspezifischer sowie normativer Anforderungen festgelegt.
¶ 3. Geltungsbereich
Die Leitlinie gilt für:
- alle Beschäftigten und Führungskräfte,
- Geschäftsführung und interne Gremien,
- Leiharbeitskräfte, Praktikantinnen und Praktikanten,
- externe Personen und Dienstleister mit Zugriff auf Informationen, Systeme oder Standorte,
- alle in den ISMS-Geltungsbereich einbezogenen Prozesse, Standorte, Informationen, Anwendungen, IT-/OT-Systeme und Betriebsmittel,
- mobiles Arbeiten und freigegebene externe Verarbeitungsumgebungen.
Der verbindliche organisatorische und räumliche Umfang ist unter Geltungsbereich und Standorte beschrieben.
¶ 4. Schutzziele
Die Muster GmbH schützt Informationen und unterstützende Werte nach ihrem jeweiligen Schutzbedarf. Im Mittelpunkt stehen:
| Schutzziel | Bedeutung |
|---|---|
| Vertraulichkeit | Informationen sind nur für berechtigte Personen und Systeme zugänglich. |
| Integrität | Informationen und Systeme sind richtig, vollständig und vor unberechtigter Veränderung geschützt. |
| Verfügbarkeit | Informationen, Systeme und Leistungen stehen im erforderlichen Umfang und Zeitraum zur Verfügung. |
| Authentizität | Identitäten, Informationen und Kommunikationspartner sind verlässlich zuordenbar. |
| Nachvollziehbarkeit | Sicherheitsrelevante Handlungen und Entscheidungen können angemessen belegt werden. |
Bei personenbezogenen Daten, Geschäftsgeheimnissen, Kundeninformationen und Prototypen werden zusätzliche rechtliche, vertragliche und kundenspezifische Schutzanforderungen berücksichtigt.
¶ 5. Grundsätze der Informationssicherheit
¶ 5.1 Verantwortung und Vorbild
Führungskräfte tragen Verantwortung für die Informationssicherheit in ihren Bereichen. Sie setzen die Vorgaben um, stellen erforderliche Ressourcen bereit und wirken durch ihr Verhalten als Vorbild.
Jede Person im Geltungsbereich ist verpflichtet, die für sie geltenden Sicherheitsregeln zu kennen und einzuhalten.
¶ 5.2 Risikobasierter Schutz
Sicherheitsmaßnahmen orientieren sich an:
- dem Wert und Schutzbedarf der Informationen und Assets,
- den relevanten Bedrohungen und Schwachstellen,
- möglichen Auswirkungen auf Kunden, Beschäftigte und Geschäftsbetrieb,
- gesetzlichen, vertraglichen und kundenspezifischen Anforderungen,
- der Angemessenheit und Wirksamkeit der Maßnahmen.
Risiken werden nachvollziehbar bewertet, behandelt, überwacht und nur durch dazu befugte Stellen akzeptiert.
¶ 5.3 Informationssicherheit in Prozessen und Projekten
Informationssicherheit wird frühzeitig in Geschäftsprozessen, Projekten, Beschaffungen, technischen Änderungen und Entwicklungen berücksichtigt. Sicherheitsanforderungen werden nicht erst nach Inbetriebnahme ergänzt.
¶ 5.4 Minimalprinzip und Aufgabentrennung
Zugriffe und Berechtigungen werden auf das für die jeweilige Aufgabe erforderliche Maß beschränkt. Kritische Tätigkeiten und Entscheidungen werden, soweit angemessen, durch Aufgabentrennung, Freigaben oder zusätzliche Kontrollen abgesichert.
¶ 5.5 Schutz über den gesamten Lebenszyklus
Informationen, Systeme und Betriebsmittel werden von ihrer Entstehung beziehungsweise Beschaffung bis zur Rückgabe, Löschung, Vernichtung oder Außerbetriebnahme geschützt.
¶ 5.6 Sicherheitsbewusstsein
Beschäftigte werden entsprechend ihrer Aufgaben informiert, verpflichtet, geschult und regelmäßig sensibilisiert. Besondere Rollen erhalten die erforderliche Fachkunde und Unterstützung.
¶ 5.7 Meldekultur
Informationssicherheitsereignisse, Schwachstellen, verdächtige Beobachtungen und Regelverstöße sind unverzüglich über die festgelegten Meldewege zu melden. Frühzeitige und gutgläubige Meldungen werden unterstützt.
¶ 5.8 Lieferanten und externe Parteien
Informationssicherheitsanforderungen werden risikobasiert in Auswahl, Beauftragung, Steuerung und Beendigung externer Leistungen einbezogen. Zugriffe und Leistungen externer Parteien werden angemessen vertraglich geregelt und überwacht.
¶ 5.9 Notfallvorsorge und Widerstandsfähigkeit
Kritische Prozesse und Systeme werden identifiziert. Angemessene Vorkehrungen für Störungen, Ausfälle, Sicherheitsvorfälle und Krisen werden geplant, getestet und verbessert.
¶ 5.10 Kontinuierliche Verbesserung
Die Wirksamkeit des ISMS wird durch Kennzahlen, Kontrollen, Tests, Audits, Vorfallauswertungen und Managementbewertungen überwacht. Festgestellte Abweichungen und Verbesserungsmöglichkeiten werden systematisch bearbeitet.
¶ 6. Strategische Informationssicherheitsziele
Die Muster GmbH verfolgt insbesondere folgende Ziele:
| Ziel | Grundsätzliche Ausrichtung |
|---|---|
| Schutz vertraulicher Informationen | Unberechtigte Offenlegung von Kunden-, Unternehmens- und Personaldaten verhindern |
| Sichere und zuverlässige Leistungserbringung | Kritische Prozesse und Systeme angemessen verfügbar halten |
| Beherrschung von Informationssicherheitsrisiken | Risiken regelmäßig bewerten und Maßnahmen nachvollziehbar steuern |
| Regelkonformität | Rechtliche, vertragliche, Kunden- und ISMS-Anforderungen einhalten |
| Sicherheitsbewusstsein | Beschäftigte für ihre Verantwortung befähigen und sensibilisieren |
| Wirksame Reaktion | Sicherheitsereignisse früh erkennen, melden, behandeln und auswerten |
| Sichere Lieferkette | Risiken aus Dienstleistern und Lieferanten angemessen steuern |
| Fortlaufende Verbesserung | ISMS und Sicherheitsmaßnahmen messbar weiterentwickeln |
Aus dieser Leitlinie werden messbare, terminierte und verantwortete Informationssicherheitsziele abgeleitet. Zielabweichungen bleiben bis zur Bewertung und wirksamen Behandlung sichtbar.
¶ 7. Einhaltung von Anforderungen
Die Muster GmbH ermittelt und berücksichtigt die anwendbaren:
- gesetzlichen und behördlichen Anforderungen,
- vertraglichen Verpflichtungen,
- Kundenanforderungen,
- Anforderungen an Datenschutz und Geschäftsgeheimnisse,
- Anforderungen aus ISO/IEC 27001 und dem aktuellen Statement of Applicability,
- für die gewählten TISAX-Bewertungsziele anwendbaren VDA-ISA-Anforderungen,
- internen Richtlinien und Freigabeentscheidungen.
Die relevanten Anforderungen werden im Rechts- und Vertragskataster und im ISO-TISAX-Mapping nachverfolgt.
¶ 8. Rollen und Verantwortlichkeiten
| Rolle | Grundsätzliche Verantwortung |
|---|---|
| Geschäftsführung | ISMS beauftragen, Leitlinie und Ziele freigeben, Ressourcen bereitstellen und Wirksamkeit bewerten |
| ISMS-Beauftragte/r | ISMS koordinieren, berichten, Dokumentation pflegen und Verbesserungen nachverfolgen |
| Führungskräfte | Anforderungen im eigenen Bereich umsetzen und Einhaltung überwachen |
| Informations-/Asset-Verantwortliche | Schutzbedarf, Zugriffe, Risiken und Lebenszyklus ihrer Assets steuern |
| IT-Leitung und IT-Betrieb | Sicheren und zuverlässigen Betrieb der Informationsverarbeitung gewährleisten |
| Personalwesen | Sicherheitsanforderungen im Beschäftigungszyklus berücksichtigen |
| Einkauf und Service Owner | Informationssicherheit bei Lieferanten und Dienstleistern steuern |
| Beschäftigte und externe Personen | Vorgaben einhalten, Informationen schützen und Ereignisse melden |
Die detaillierte Zuordnung erfolgt unter Rollen und Verantwortlichkeiten.
¶ 9. Verantwortung aller Beschäftigten
Alle Beschäftigten und sonstigen verpflichteten Personen müssen insbesondere:
- Informationen entsprechend ihrer Klassifizierung behandeln,
- ausschließlich freigegebene Systeme, Geräte und Kommunikationswege verwenden,
- Zugangsdaten und Authentisierungsmittel schützen,
- Berechtigungen nicht unbefugt weitergeben oder nutzen,
- Vorgaben für mobiles Arbeiten und den Umgang mit Datenträgern beachten,
- Arbeitsplätze, Unterlagen und Systeme gegen unbefugte Nutzung schützen,
- verdächtige Nachrichten, Sicherheitsereignisse und Verluste unverzüglich melden,
- an vorgeschriebenen Schulungen und Unterweisungen teilnehmen,
- bei Untersuchungen, Audits und Verbesserungsmaßnahmen angemessen mitwirken.
Unkenntnis ersetzt nicht die Pflicht, sich über die für die eigene Tätigkeit geltenden Regelungen zu informieren.
¶ 10. Informationssicherheitsereignisse
Sicherheitsereignisse und Verdachtsfälle werden nach festgelegten Verfahren behandelt. Dazu gehören beispielsweise:
- Verlust von Geräten, Datenträgern oder Unterlagen,
- Fehlversand oder unberechtigte Offenlegung von Informationen,
- verdächtige E-Mails, Schadsoftware oder ungewöhnliches Systemverhalten,
- unberechtigte Zutritts- oder Zugriffsversuche,
- Ausfälle kritischer Systeme oder Prozesse,
- mögliche Datenschutzverletzungen,
- Verstöße gegen Kunden- oder Prototypenschutzanforderungen.
Meldungen erfolgen über den Meldeweg für Sicherheitsvorfälle. Personen sollen bei einem Verdacht nicht eigenmächtig Beweismittel löschen oder Untersuchungen behindern.
¶ 11. Verstöße und Ausnahmen
Verstöße gegen Informationssicherheitsvorgaben können zu erheblichen Schäden für das Unternehmen, Beschäftigte, Kunden und Geschäftspartner führen. Sie werden unter Beachtung der gesetzlichen, arbeitsrechtlichen und vertraglichen Rahmenbedingungen bewertet und behandelt.
Ausnahmen von Sicherheitsvorgaben:
- müssen nachvollziehbar beantragt und begründet werden,
- benötigen eine dokumentierte Risikobewertung,
- werden durch eine befugte Stelle genehmigt,
- sind grundsätzlich zu befristen,
- enthalten erforderliche Ersatzmaßnahmen,
- werden regelmäßig überprüft und nachverfolgt.
Das Verfahren ist unter Ausnahmen und Risikoakzeptanzen geregelt.
¶ 12. Kommunikation und Verfügbarkeit
Die freigegebene Leitlinie wird allen Beschäftigten in geeigneter Form bekannt gemacht und dauerhaft zugänglich gehalten. Relevante Änderungen werden zielgruppengerecht kommuniziert.
Eine zur externen Weitergabe bestimmte Fassung kann Kunden, Geschäftspartnern und anderen interessierten Parteien bereitgestellt werden. Dabei werden keine vertraulichen Sicherheitsdetails veröffentlicht.
Erforderliche Kenntnisnahmen, Schulungen oder Unterweisungen werden angemessen dokumentiert.
¶ 13. Überwachung und Managementbewertung
Die Umsetzung dieser Leitlinie wird unter anderem überwacht durch:
- Status und Zielerreichung der Informationssicherheitsziele,
- Risikobewertungen und Risikobehandlungspläne,
- Kontrollen und Wirksamkeitsnachweise,
- Schulungs- und Sensibilisierungskennzahlen,
- Auswertung von Sicherheitsereignissen,
- interne und externe Audits,
- Lieferanten- und Dienstleisterbewertungen,
- Notfalltests und Wiederherstellungsübungen,
- regelmäßige Managementbewertungen.
Die Geschäftsführung bewertet regelmäßig, ob das ISMS weiterhin geeignet, angemessen und wirksam ist.
¶ 14. Überprüfung und Änderung der Leitlinie
Die Leitlinie wird mindestens jährlich und zusätzlich anlassbezogen geprüft. Eine außerplanmäßige Prüfung erfolgt insbesondere bei:
- wesentlichen Änderungen von Organisation, Strategie oder Geschäftstätigkeit,
- Änderungen des ISMS- oder TISAX-Assessment-Scopes,
- neuen wesentlichen Kunden-, Rechts- oder Vertragsanforderungen,
- erheblichen Sicherheitsvorfällen,
- wesentlichen Auditfeststellungen,
- maßgeblichen Änderungen von Bedrohungen, Risiken oder Technologien.
Änderungen werden dokumentiert, fachlich geprüft, durch die Geschäftsführung freigegeben und den betroffenen Personen mitgeteilt.
¶ 15. Praxisbeispiel: Vom Unternehmensziel zur Sicherheitssteuerung
Das folgende Beispiel ist frei erfunden. Es zeigt die Verbindung zwischen strategischer Leitlinie und operativer Steuerung, stellt aber keinen Nachweis für die Muster GmbH oder eine andere Organisation dar.
Ausgangslage: Ein mittelständischer Zulieferer betreibt ein Kundenportal, über das vertrauliche Zeichnungen und Auftragsdaten ausgetauscht werden. Die Geschäftsführung erklärt in der Leitlinie, dass Kundeninformationen entsprechend ihrem Schutzbedarf geschützt und kritische Leistungen angemessen verfügbar gehalten werden.
| Steuerungsebene | Beispielhafte Ausgestaltung |
|---|---|
| Strategische Leitlinie | Vertrauliche Kundeninformationen schützen und die zuverlässige Leistungserbringung sicherstellen |
| Messbares Ziel | Kritische Berechtigungen quartalsweise prüfen; Wiederherstellbarkeit des Portals mindestens jährlich testen |
| Risiko | Unberechtigter Zugriff auf Zeichnungen oder längerer Ausfall des Portals |
| Regelung | Zugriff nach Need-to-know, Mehrfaktor-Authentisierung, geregelte Freigabe, Datensicherung und Wiederanlaufverfahren |
| Umsetzung | Rollenmodell im Portal, Protokollierung privilegierter Zugriffe, getrennte Sicherung und dokumentierter Wiederherstellungstest |
| Nachweis | genehmigte Rollen, Systemexport, Berechtigungsreview, Restore-Protokoll und behandelte Abweichungen |
| Wirksamkeitsprüfung | Stichprobe vergleicht genehmigte mit produktiven Rechten; Test bestätigt die Wiederherstellung innerhalb des festgelegten RTO |
| Managemententscheidung | Abweichungen, Restrisiken, Ressourcenbedarf und Zielerreichung werden in der Managementbewertung entschieden |
Das Beispiel macht sichtbar: Die Leitlinie beschreibt die Richtung. Erst Ziele, Risiken, Regeln, Maßnahmen und Prüfungen zeigen, wie die Richtung in der Organisation umgesetzt wird.
¶ 16. Führungscheck vor der Freigabe
Die folgende Ampel ist eine Arbeitshilfe und keine automatische Freigabe- oder Konformitätsentscheidung.
| Status | Bedeutung |
|---|---|
| 🔴 Rot | wesentliche Angaben, Verantwortungen, Anforderungen oder Freigaben fehlen |
| 🟡 Gelb | Leitlinie ist fachlich vorbereitet, aber Kommunikation, Umsetzung oder Nachweisplanung ist noch offen |
| 🟢 Grün | organisationsbezogene Fassung ist geprüft und freigegeben; Umsetzung und Wirksamkeit werden weiterhin gesondert nachgewiesen |
| Prüffrage | Status im Muster |
|---|---|
| Sind Unternehmenszweck, Strategie und ISMS-Geltungsbereich richtig berücksichtigt? | 🔴 Offen |
| Ist die Abgrenzung zwischen Leitlinie, Politik und Themenrichtlinien festgelegt? | 🟡 Als Muster beschrieben; Organisationsentscheidung offen |
| Hat die Geschäftsführung ihre Verpflichtungen, Prioritäten und Erwartungen bestätigt? | 🔴 Offen |
| Sind anwendbare Rechts-, Vertrags-, Kunden-, ISO- und TISAX-Anforderungen zugeordnet? | 🔴 Offen |
| Sind Rollen, Befugnisse, Stellvertretungen und Berichtswege festgelegt? | 🔴 Offen |
| Sind Ressourcen und messbare Informationssicherheitsziele beschlossen? | 🔴 Offen |
| Sind Kommunikation, Kenntnisnahme und externe Bereitstellung geplant? | 🔴 Offen |
| Sind Überwachung, Managementbewertung und anlassbezogene Prüfung geregelt? | 🟡 Im Muster beschrieben; reale Umsetzung offen |
| Ist die formale Freigabe nachvollziehbar dokumentiert? | 🔴 Nein – Status Entwurf |
¶ 17. Kommunikation nach Zielgruppen
Die Leitlinie soll verständlich, erreichbar und für die jeweilige Zielgruppe relevant sein. Eine bloße Ablage im Wiki genügt nicht in jedem Fall.
| Zielgruppe | Kernbotschaft | Geeigneter Kommunikationsweg | Möglicher Nachweis |
|---|---|---|---|
| Geschäftsführung und Führungskräfte | Führungsverantwortung, Ziele, Ressourcen und Eskalationen | Managementsitzung, Führungskräftebriefing | Protokoll und dokumentierte Entscheidungen |
| Beschäftigte | eigene Schutz-, Melde- und Mitwirkungspflichten | Einführung, Awareness, Intranet oder Wiki | Teilnahme, Kenntnisnahme oder Lernerfolg |
| besondere Rollen | Befugnisse, Verfahren, Berichte und Nachweise | rollenbezogene Unterweisung | Rollenbeauftragung und Schulungsnachweis |
| externe Personen | anwendbare Mindestregeln und Meldewege | Vertrag, Onboarding, Kurzfassung | Verpflichtung oder dokumentiertes Onboarding |
| Kunden und interessierte Parteien | angemessene freigegebene Sicherheitsgrundsätze | freigegebene externe Kurzfassung | Versions- und Veröffentlichungsnachweis |
Eine externe Fassung darf keine vertraulichen Architektur-, Schwachstellen-, Notfall- oder Kontrolldetails offenlegen. Veröffentlichung und Zielgruppe werden vorab freigegeben.
¶ 18. Erwartete Nachweise und Qualitätssicherung
Mindestens folgende Nachweisarten werden für eine gelenkte Leitlinie benötigt:
| Nachweisart | Belegt | Belegt nicht automatisch |
|---|---|---|
| dokumentierte Geschäftsführungsfreigabe | Entscheidung über die konkrete Fassung | vollständige technische Umsetzung |
| Versions- und Änderungshistorie | nachvollziehbare Dokumentenentwicklung | fachliche Wirksamkeit jeder Regel |
| Kommunikations- oder Kenntnisnahmenachweis | definierte Zielgruppen wurden erreicht | richtiges Verhalten in jeder Situation |
| Zuordnung zu Zielen und Risiken | strategische Aussagen wurden operationalisiert | erfolgreiche Risikobehandlung |
| Managementbewertung | Leitung hat Status und Handlungsbedarf bewertet | Abschluss aller beschlossenen Maßnahmen |
| Audit-, Test- und Kennzahlennachweise | ausgewählte Kontrollen wurden geprüft | lückenlose Sicherheit oder Zertifizierungsreife |
Vor Freigabe wird geprüft:
- nur eine gelenkte Fassung und eine eindeutige Dokumenten-ID,
- richtige Organisation, Standorte, Tätigkeiten und Zielgruppen,
- konsistente Begriffe und Widerspruchsfreiheit zur Informationssicherheitspolitik,
- nachvollziehbare Verknüpfung mit Scope, Risiken, Zielen und anwendbaren Anforderungen,
- eindeutige Verantwortlichkeit, Prüfung, Freigabe und Gültigkeit,
- geplante interne Kommunikation und gegebenenfalls freigegebene externe Kurzfassung,
- festgelegter Reviewzyklus sowie anlassbezogene Überprüfung,
- geschützter Ablageort für Freigaben und Nachweise.
¶ 19. Offene Punkte des Beispieldokuments
- tatsächlichen Unternehmensnamen, Geschäftszweck und Kontext eintragen,
- ISMS- und gegebenenfalls TISAX-Assessment-Scope bestätigen,
- Dokumentenhierarchie zwischen Leitlinie und Politik verbindlich festlegen,
- Rollen, Befugnisse, Stellvertretungen und Ressourcen organisationsbezogen bestätigen,
- anwendbare Rechts-, Vertrags-, Kunden- und Regelwerksanforderungen zuordnen,
- messbare Informationssicherheitsziele und Berichtswege beschließen,
- interne und externe Kommunikationswege festlegen,
- fachliche Prüfung und dokumentierte Geschäftsführungsfreigabe durchführen.
¶ 20. Mitgeltende Dokumente
- ISMS-Startseite
- Geltungsbereich und Standorte
- Lesehilfe und Dokumentenstatus
- ISO-TISAX-Mapping
- Informationssicherheitspolitik
- Rollen und Verantwortlichkeiten
- Informationssicherheitsziele
- Methodik Risikobewertung
- Statement of Applicability
- Ausnahmen und Risikoakzeptanzen
- Meldeweg für Sicherheitsvorfälle
- Managementbewertung
¶ 21. Freigabeerklärung
Mit ihrer Freigabe setzt die Geschäftsführung diese Informationssicherheitsleitlinie für den festgelegten Geltungsbereich in Kraft. Sie verpflichtet alle betroffenen Personen zur Beachtung der für ihre Aufgaben geltenden Informationssicherheitsregelungen.
| Freigabefunktion | Name | Datum | Bestätigung |
|---|---|---|---|
| Geschäftsführung | [Name] |
[TT.MM.JJJJ] |
Ausstehend – [Freigabenachweis] |
Aktueller Freigabestatus: Entwurf – eine formale Freigabe liegt noch nicht vor.
¶ 22. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.3 | 10.08.2026 | SEO-Beschreibung erweitert, Leitlinie von der ausführlichen Politik abgegrenzt, Praxis- und Führungsbausteine ergänzt, Nachweis- und Qualitätslogik präzisiert, Titelgrafik überarbeitet und Seitenabschluss vereinheitlicht; keine Aussage über reale Umsetzung oder Wirksamkeit | ISMS-Beauftragte/r | Ausstehend | – |
| 0.2 | 06.08.2026 | SVG-Titelgrafik ergänzt, Bildpfad auf /public-bilder vereinheitlicht und responsive Darstellung umgesetzt; keine Änderung der fachlichen Regelung | Geschäftsführung | Ausstehend | – |
| 0.1 | 23.07.2026 | Beispieldokument angelegt | ISMS-Beauftragte/r | Ausstehend | – |
¶ 23. Offizielle Quellen
Für dieses Beispieldokument wird der dokumentierte Arbeitsstand ISA 6.0.3 verwendet. Vor einer realen Freigabe sind die tatsächlich anzuwendende Norm-, ISA- und Vertragsversion sowie die organisationsbezogene Abdeckung zu bestätigen.
Seite 1 von 1 · ISMS-LT-01 · Version 0.3