Die Informationssicherheitsrichtlinie 2026 - ein lebendes Dokument, kein Ordner

Was die Richtlinie ist und was nicht

Das Missverständnis beginnt beim Wort "Richtlinie", das im technischen Sprachgebrauch alles bezeichnet, von einer Erklärung der Geschäftsführung bis zu einer Einstellung im Domänencontroller. Innerhalb eines Informationssicherheits-Managementsystems hat die übergeordnete Richtlinie genau eine Funktion: Sie stellt Regeln auf und benennt, wer für sie verantwortlich ist.

Daraus ergeben sich ihre Eigenschaften. Sie ist das ranghöchste Dokument, auf dem alle übrigen aufbauen. Sie ist eine Erklärung der Leitung und keine Ausarbeitung der IT-Abteilung; ohne Unterschrift der Person, die die Organisation führt, gibt es nichts durchzusetzen. Und sie ist ein lebendes Dokument - in festgelegten Abständen und immer dann zu überprüfen, wenn wesentliche Veränderungen in der Organisation sie beeinflussen können. Ein jährlicher Zyklus ist eine verbreitete Governance-Entscheidung, aber keine von ISO/IEC 27001 Kapitel 9.3 vorgeschriebene Häufigkeit.

Ebenso wichtig ist, was sie nicht ist. Sie enthält keine konkreten technischen Einstellungen, denn diese gehören in Verfahren und Anweisungen, die sich mehrmals jährlich ändern. Sie ist keine Verbotsliste für Beschäftigte - dafür gibt es die Arbeitsordnung. Sie ist kein Aktionsplan mit Fristen. Und sie erfüllt nicht die Informationspflichten aus den Artikeln 13 und 14 DSGVO, die ein ganz anderes, an die betroffenen Personen gerichtetes Dokument verlangen.

Ihr Platz in der Dokumentenhierarchie

In einem reifen System gliedert sich die Dokumentation in vier Ebenen. An der Spitze steht die übergeordnete Richtlinie - meist fünf bis fünfzehn Seiten, durchgehend deklaratorisch. Darunter liegen themenspezifische Richtlinien für einzelne Bereiche: Zugriffssteuerung, Kryptografie, Sicherungskopien, Behandlung von Vorfällen, mobiles Arbeiten, Lieferantenbeziehungen. Darunter stehen Betriebsverfahren, die beschreiben, wie eine Tätigkeit ausgeführt wird, und zuunterst Anweisungen mit konkreten Schritten. Gesondert bestehen Register und Aufzeichnungen, die der einzige Nachweis dafür sind, dass alles Übrige funktioniert.

Diese Aufteilung hat einen praktischen Sinn: Je tiefer die Ebene, desto häufiger die Änderungen. Eine übergeordnete Richtlinie kann mehrere Jahre unverändert bestehen, eine Konfigurationsanweisung veraltet mit jedem Softwareupdate. Alles in ein Dokument zu packen bedeutet, dass bei jeder solchen Änderung erneut die Unterschrift der Leitung einzuholen ist. Siehe den Artikel zum ISMS.

Was hineingehört

Kapitel 5.2 der ISO/IEC 27001 ^[2] nennt die Anforderungen an eine Informationssicherheitsrichtlinie. Sie muss dem Zweck der Organisation angemessen sein, Ziele der Informationssicherheit enthalten oder den Rahmen für deren Festlegung bilden, eine Verpflichtung zur Erfüllung zutreffender Anforderungen und zur fortlaufenden Verbesserung des Systems umfassen. Sie muss außerdem als dokumentierte Information verfügbar sein, innerhalb der Organisation kommuniziert und - soweit angemessen - interessierten Parteien zugänglich gemacht werden.

Das sind die Mindestanforderungen. Eine Richtlinie, die tatsächlich wirkt, enthält in unserer Praxis einige Elemente mehr, in dieser Reihenfolge.

Sie beginnt mit Zweck und Geltungsbereich: wozu sie entstanden ist und welche Einheiten, Standorte, Systeme und Informationskategorien sie erfasst. Der Geltungsbereich ist häufig der wichtigste Absatz des gesamten Dokuments, denn er entscheidet spätere Streitfragen darüber, ob eine Regel in einer konkreten Lage gilt.

Es folgt die Verpflichtung der Leitung samt Unterschrift und danach die allgemeinen Grundsätze: minimale Rechte, Funktionstrennung, mehrschichtiger Schutz, Zugang ausschließlich im für die Aufgabe erforderlichen Umfang. Grundsätze werden so konkret formuliert, dass sich ihr Verstoß feststellen lässt.

Nächstes Element ist die Informationsklassifizierung - üblicherweise drei oder vier Stufen samt Hinweis darauf, wie Dokumente zu kennzeichnen sind und was mit jeder Kategorie geschehen darf. Ohne sie hängen die übrigen Regeln in der Luft, weil unklar bleibt, worauf sie sich beziehen.

Ein eigener, kritischer Teil sind Rollen und Verantwortlichkeiten: Leitung der Einheit, Datenschutzbeauftragter, Verantwortlicher für das Managementsystem, Administratoren und Benutzer. Hier entscheidet sich, ob die Richtlinie durchsetzbar sein wird. Die Formulierung "die Organisation stellt sicher" benennt niemanden und verpflichtet daher niemanden.

Das Dokument schließt mit: der Nennung der themenspezifischen Richtlinien, den Regeln zur Meldung von Vorfällen samt Fristen, dem Überprüfungs- und Auditverfahren, den Folgen von Verstößen sowie einem Kopf mit Version, Datum und Unterschrift.

Bei den Meldefristen ist Vorsicht geboten, denn sie betreffen unterschiedliche Sachverhalte und unterschiedliche Adressaten. Eine wesentliche oder wichtige Einrichtung übermittelt eine Frühwarnung über einen erheblichen Vorfall binnen 24 Stunden nach dessen Feststellung an das zuständige sektorale CSIRT und eine vollständige Meldung binnen 72 Stunden. Unabhängig davon meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde, sofern die Verletzung voraussichtlich ein Risiko für die Rechte von Personen zur Folge hat. Das sind zwei getrennte Pflichten, die gleichzeitig auftreten können.

Abbildung auf Regelwerke

Eine gut vorbereitete Richtlinie hat einen Anhang, der den meisten Dokumenten fehlt: eine Matrix, die jede Regel mit einer konkreten Vorschrift oder einem Normkapitel verbindet.

Auf polnischer Seite sind das die vierzehn Bereiche aus § 19 Abs. 2 der KRI-Verordnung ^[1], denen themenspezifische Richtlinien entsprechen sollten. Auf normativer Seite die Kapitel 4 bis 10 sowie die Maßnahmen aus Anhang A der ISO/IEC 27001 ^[2], deren Umsetzungshinweise ISO/IEC 27002 ^[6] enthält. Auf Datenschutzseite die Artikel 24, 25, 30 und 32 DSGVO ^[3]. Auf EU-Seite die zehn Maßnahmenkategorien aus Artikel 21 Abs. 2 NIS2 ^[4]. Organisationen, die der Geschäftsführung in der Sprache von Funktionen berichten, ergänzen eine Abbildung auf das NIST CSF ^[7].

Der Aufbau einer solchen Matrix kostet ein bis zwei Tage Arbeit, einmalig. Er zahlt sich beim ersten Audit aus: Auf die Frage nach einer konkreten Vorschrift lautet die Antwort dann "Punkt 4.2 der Richtlinie sowie die Richtlinie zur Zugriffssteuerung", statt vor den Augen des Auditors die Dokumentation zu durchsuchen.

Die häufigsten Fehler

Die folgenden Muster wiederholen sich in Audits so regelmäßig, dass sie sich nach wenigen Minuten Lektüre erkennen lassen.

1. Eine aus dem Internet geladene Vorlage. Zu erkennen am Wort "Organisation" anstelle des Namens der Einheit, an Daten aus zurückliegenden Jahren und an Verweisen auf Vorschriften, die nicht mehr gelten. Ein solches Dokument wirkt nicht nur nicht, es führt in die Irre, weil es Konformität mit einer Rechtslage suggeriert, die es nicht gibt.
2. Ein Dokument von sechzig Seiten. Der Versuch, alles an einer Stelle zu erfassen, endet damit, dass es niemand liest und jede technische Änderung eine erneute Genehmigung durch die Leitung erfordert.
3. Regeln ohne Eigentümer. Der Satz "die Organisation stellt die Sicherheit der Sicherungskopien sicher" benennt keine Person; im Problemfall lässt sich also nicht ermitteln, wer eine Pflicht nicht erfüllt hat.
4. Ein Dokument für den Auditor, nicht für den Beschäftigten. Juristisch-technische Sprache führt dazu, dass die Person, die die Regeln anwenden soll, sie nicht versteht. Bewährt hat sich eine Zweiteilung: die vollständige Richtlinie zu Nachweiszwecken und eine ein- bis zweiseitige Zusammenfassung für das Personal.
5. Kein Aktualisierungsprozess. Ein Dokument von 2018 erwähnt weder die Novelle des KSC-Gesetzes noch den AI Act und wird dennoch als geltend vorgelegt.
6. Keine Kommunikation. Die Richtlinie existiert, das Personal weiß nichts davon. Ein Auditor prüft das auf dem einfachsten Weg: Er fragt zufällig ausgewählte Personen, wo sie das Dokument finden und wen sie über einen Vorfall zu benachrichtigen haben.
7. Keine Konsequenzen. Geschieht nach einem Regelverstoß nichts, verliert das Dokument seine Kraft, unabhängig davon, was darin steht - und das Team bemerkt es vor dem Auditor.

Audit der Richtlinie

Ein Audit der Richtlinie allein, losgelöst vom gesamten Managementsystem, ist kurz - in unserer Praxis ein bis drei Arbeitstage in einer kleinen Kommune und vier bis acht in einer mittelgroßen Organisation. Geprüft werden sieben Dinge.

Erstens die Vollständigkeit: ob das Dokument alle von Kapitel 5.2 geforderten Elemente enthält. Zweitens die Aktualität: wann die letzte Überprüfung stattfand und ob Rechtsänderungen berücksichtigt wurden. Drittens die Abbildung auf Regelwerke, also ob die Matrix existiert und aktuell ist.

Viertens die innere Widerspruchsfreiheit - ob die Regeln einander nicht widersprechen, etwa ob sich der erklärte Grundsatz minimaler Rechte mit der Zulassung gemeinsam genutzter Konten vereinbaren lässt. Fünftens die Konsistenz nach unten: ob die themenspezifischen Richtlinien tatsächlich umsetzen, was das übergeordnete Dokument erklärt, oder nur daneben bestehen.

Sechstens die Kommunikation, geprüft an einer Stichprobe von Beschäftigten. Und siebtens das Bewusstsein der Leitung - ob die Person, die das Dokument unterschrieben hat, dessen Inhalt und die eigene Rolle kennt. Dieser letzte Punkt ist oft entscheidend, denn eine ohne Verständnis unterschriebene Richtlinie übersteht die erste Lage nicht, in der sie gegen die Bequemlichkeit anzuwenden wäre.

Eine umfassendere Prüfung des gesamten Managementsystems beschreibt der Artikel zum IT-Sicherheitsaudit.