IT-Sicherheits-richtlinie alsVorlage.

Ersetzen Sie jeden Platzhalter in eckigen Klammern, streichen Sie, was nicht zutrifft, und leiten Sie die Ziele aus Ihren Geschäftszielen und Ihrer Risikoanalyse ab. Die acht Abschnitte decken alle Zeilen der Tabelle in Abschnitt 2 ab; NIS2-Einrichtungen streichen dort nichts ohne Prüfung.

1. 1

   Zweck und Geltungsbereich

   Diese Leitlinie legt fest, warum und wie [Unternehmen] Informationen schützt. Sie gilt für [das gesamte Unternehmen | Standorte, Bereiche], für Geschäftsführung, Führungskräfte und alle Mitarbeitenden, für externe Personen, die für [Unternehmen] tätig sind, und für Informationen in jeder Form: auf Papier, in IT-Systemen, in Cloud-Diensten und auf mobilen Geräten.

2. 2

   Stellenwert und Sicherheitsziele

   Unsere wichtigsten Geschäftsprozesse sind [z. B. Auftragsabwicklung, Produktion]; sie hängen ab von [z. B. ERP-System, E-Mail]. Ein Ausfall oder Abfluss dieser Informationen gefährdet [z. B. Lieferfähigkeit, Kundenvertrauen]. Wir schützen deshalb Vertraulichkeit, Integrität und Verfügbarkeit, wie es dem Risiko angemessen ist. Unsere Ziele: [z. B. Kundendaten sind nur Berechtigten zugänglich; die Auftragsabwicklung läuft nach einem Ausfall binnen [Stunden] wieder; gesetzliche und vertragliche Pflichten werden eingehalten].

3. 3

   Verantwortung der Geschäftsführung

   Die Geschäftsführung trägt die Gesamtverantwortung für die Informationssicherheit. Sie genehmigt diese Leitlinie, setzt sie durch, lebt die Regeln vor und stellt Personal, Budget, Verfahren und Technik bereit. Sie lässt sich mindestens [halbjährlich] über Stand, Risiken und Vorfälle berichten und entscheidet über den Umgang mit Restrisiken.

4. 4

   Rollen und Organisation

   Informationssicherheitsbeauftragte oder Informationssicherheitsbeauftragter (ISB) ist [Name, Funktion], Vertretung [Name, Funktion]. Die oder der ISB koordiniert die Informationssicherheit, berät die Geschäftsführung, berichtet ihr direkt und wird bei größeren Projekten und neuen IT-Systemen frühzeitig beteiligt. Weitere Rollen nennt die Tabelle unten; die Geschäftsführung überprüft sie [jährlich] und nach erheblichen Vorfällen oder Änderungen.

5. 5

   Regelungen und Schulung

   Das Sicherheitskonzept legt auf Grundlage einer Risikoanalyse die Maßnahmen fest. Für einzelne Themen gelten eigene, mit dieser Leitlinie vereinbare Regelungen: [z. B. Grundregeln (Teil B), Zugriffskontrolle, Datensicherung, Sicherheitsvorfälle, Lieferanten], freigegeben von [Funktion]. Alle Mitarbeitenden werden vor der ersten IT-Nutzung eingewiesen und mindestens [jährlich] geschult, die Geschäftsführung in eigens für sie gestalteten Schulungen.

6. 6

   Verstöße und Ausnahmen

   Verstöße können [Unternehmen], Kunden und Partnern schaden; die Mitarbeitenden werden über mögliche Konsequenzen aufgeklärt. Wie ein Verstoß behandelt wird, entscheidet [Funktion] im Einzelfall nach Arbeitsvertrag, [Betriebsvereinbarung] und geltendem Recht. Ausnahmen von Regeln sind nur begründet, befristet und nach Genehmigung durch [Funktion] zulässig; [ISB] führt darüber eine Übersicht.

7. 7

   Überprüfung, Kennzahlen und Dokumentation

   Wir verbessern die Informationssicherheit fortlaufend. Die Geschäftsführung überprüft diese Leitlinie mindestens [jährlich] und nach erheblichen Vorfällen oder wesentlichen Änderungen und dokumentiert das Ergebnis. Den Fortschritt messen wir an [Kennzahlen, z. B. Schulungsquote, Zeit bis zur Installation kritischer Updates]. [ISB] bewahrt [Unterlagen, z. B. Risikoanalyse, Berichte, Schulungsnachweise, Vorfallsprotokolle] [Dauer] auf.

8. 8

   Inkraftsetzung

   Die Geschäftsführung hat diese Leitlinie am [Datum] genehmigt. Sie tritt am [Datum] in Kraft, ersetzt [frühere Fassung | keine] und wird allen Mitarbeitenden sowie den betroffenen externen Partnern bekannt gegeben, die ihre Kenntnis bestätigen. Nächste Überprüfung spätestens am [Datum].

Fundstellen zum Mustertext: Abschnitt 3 nach ISMS.1.A1 und ISMS.1.A12. Abschnitt 4 nach ISMS.1.A4, ISMS.1.A6 und Anhang Nr. 1.2 DVO 2024/2690. Abschnitt 5 nach ISMS.1.A7 und ORP.3.A3. Abschnitt 6 nach ISMS.1.A8 und ORP.5.A5. Abschnitt 7 nach ISMS.1.A11, ISMS.1.A13 und Anhang Nr. 1.1.1 lit. d, h, j sowie Nr. 1.1.2. Abschnitt 8 nach BSI-Standard 200-2, Kapitel 3.4.4, und Anhang Nr. 1.1.1 lit. f, k.