IT-Sicherheitsrichtlinie: Vorlage für kleine und mittlere Unternehmen

Die IT-Sicherheitsrichtlinie ist das oberste Dokument der Informationssicherheit. Das BSI nennt sie Leitlinie zur Informationssicherheit, englisch Information Security Policy (BSI-Standard 200-1, Kapitel 7.1); die Durchführungsverordnung (EU) 2024/2690 spricht vom Konzept für die Sicherheit von Netz- und Informationssystemen (Anhang Nr. 1.1). Sie beschreibt allgemein verständlich, für welche Zwecke, mit welchen Mitteln und Strukturen Informationssicherheit hergestellt werden soll, und enthält Sicherheitsziele und Strategie (BSI-Standard 200-2, Kapitel 3.4). Sie ist das sichtbare Bekenntnis der Leitung zu ihrer Strategie (BSI-Standard 200-1, Kapitel 3.1).

Aufbau dieser Vorlage: Teil A ist die Leitlinie, die die Geschäftsführung genehmigt. Teil B enthält Grundregeln für alle Mitarbeitenden, wie sie das BSI für eine Richtlinie zur sicheren IT-Nutzung vorsieht: Ziele, Rollen, Ansprechperson und einzuhaltende Maßnahmen (ORP.1.A16). Die Trennung empfiehlt TOMORIS, damit die Leitlinie kurz bleibt und die Grundregeln sich leichter anpassen lassen.

Mindestinhalte nennen BSI-Standard 200-2 (Kapitel 3.4.3) und die Anforderung ISMS.1.A3 des IT-Grundschutz-Kompendiums. Für wesentliche und wichtige Einrichtungen verbindlich sind die Inhalte nach Anhang Nr. 1.1.1 lit. a bis k der Durchführungsverordnung (EU) 2024/2690. Sie konkretisiert Art. 21 Abs. 2 lit. a der NIS-2-Richtlinie und gilt für Anbieter wie Cloud- und verwaltete Dienste unmittelbar, über § 2 NISV 2026 für alle übrigen wesentlichen und wichtigen Einrichtungen. Wo das BSI einen Inhalt nicht für die Leitlinie selbst verlangt, nennt die Tabelle die verwandte Anforderung in Klammern.

Für wesentliche und wichtige Einrichtungen gilt seit 1. Oktober 2026 das NISG 2026 (BGBl. I Nr. 94/2025, § 51 Abs. 2). Ihre Leitungsorgane, also die nach Gesetz, Satzung oder Vertrag zur Führung der Geschäfte berufenen Personen oder Organe (§ 3 Z 11), haben die Einhaltung der Risikomanagementmaßnahmen nach § 32 sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1). Sie müssen an für sie gestalteten Cybersicherheitsschulungen teilnehmen; den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten (§ 31 Abs. 2). Zu den Mindestinhalten des Risikomanagements zählen Konzepte für Risikoanalyse und Sicherheit der Informationssysteme (§ 32 Abs. 4 lit. a).

Am 1. Oktober 2026 wurde die NISV 2026 kundgemacht (BGBl. II Nr. 290/2026); sie trat mit Ablauf dieses Tages in Kraft (§ 9). Ihr § 2 erklärt die Anforderungen der Durchführungsverordnung (EU) 2024/2690 samt Anhang auch für die übrigen Arten wesentlicher und wichtiger Einrichtungen der Anlagen 1 und 2 NISG 2026 für anwendbar. Für die Leitlinie heißt das: Inhalte nach Anhang Nr. 1.1.1, Datum der förmlichen Genehmigung durch die Leitungsorgane (lit. k), Überprüfung durch sie mindestens jährlich und nach erheblichen Vorfällen oder wesentlichen Änderungen mit dokumentiertem Ergebnis (Nr. 1.1.2), dazu mindestens eine Person, die den Leitungsorganen direkt verantwortlich ist (Nr. 1.2.3).

Kann eine Einrichtung einzelne Anforderungen vorübergehend oder wegen ihrer Größe nicht erfüllen, setzt sie kompensierende Maßnahmen um, dokumentiert sie begründet und prüft ihre Wirksamkeit mindestens jährlich; ausgenommen sind Anforderungen, die nur soweit angemessen, anwendbar oder durchführbar gelten (§ 4 NISV 2026). Wer die Schulungspflichten verletzt, begeht eine Verwaltungsübertretung; ebenso, wer Risikomanagementmaßnahmen nicht umsetzt, sofern die Behörde davon nicht nur durch die Selbstdeklaration erfahren hat (§ 45 Abs. 1 Z 1 bis 3). Der Strafrahmen beträgt bis zu 10 Mio. Euro oder 2 % des weltweiten Vorjahresumsatzes für wesentliche, bis zu 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen, jeweils der höhere Betrag (§ 45 Abs. 2 und 3).

Die NIS-2-Richtlinie verlangt, dass Leitungsorgane die Maßnahmen billigen, ihre Umsetzung überwachen und verantwortlich gemacht werden können (Art. 20 Abs. 1); in Österreich maßgeblich ist der Wortlaut von § 31 NISG 2026. Ob Ihr Unternehmen betroffen ist, regeln §§ 24 bis 26 samt Anlagen 1 und 2. Für alle anderen sind die Inhalte dieser Vorlage Empfehlungen nach BSI.

Ersetzen Sie jeden Platzhalter in eckigen Klammern, streichen Sie, was nicht zutrifft, und leiten Sie die Ziele aus Ihren Geschäftszielen und Ihrer Risikoanalyse ab. Die acht Abschnitte decken alle Zeilen der Tabelle in Abschnitt 2 ab; NIS2-Einrichtungen streichen dort nichts ohne Prüfung.

1. 1

   Zweck und Geltungsbereich

   Diese Leitlinie legt fest, warum und wie [Unternehmen] Informationen schützt. Sie gilt für [das gesamte Unternehmen | Standorte, Bereiche], für Geschäftsführung, Führungskräfte und alle Mitarbeitenden, für externe Personen, die für [Unternehmen] tätig sind, und für Informationen in jeder Form: auf Papier, in IT-Systemen, in Cloud-Diensten und auf mobilen Geräten.

2. 2

   Stellenwert und Sicherheitsziele

   Unsere wichtigsten Geschäftsprozesse sind [z. B. Auftragsabwicklung, Produktion]; sie hängen ab von [z. B. ERP-System, E-Mail]. Ein Ausfall oder Abfluss dieser Informationen gefährdet [z. B. Lieferfähigkeit, Kundenvertrauen]. Wir schützen deshalb Vertraulichkeit, Integrität und Verfügbarkeit, wie es dem Risiko angemessen ist. Unsere Ziele: [z. B. Kundendaten sind nur Berechtigten zugänglich; die Auftragsabwicklung läuft nach einem Ausfall binnen [Stunden] wieder; gesetzliche und vertragliche Pflichten werden eingehalten].

3. 3

   Verantwortung der Geschäftsführung

   Die Geschäftsführung trägt die Gesamtverantwortung für die Informationssicherheit. Sie genehmigt diese Leitlinie, setzt sie durch, lebt die Regeln vor und stellt Personal, Budget, Verfahren und Technik bereit. Sie lässt sich mindestens [halbjährlich] über Stand, Risiken und Vorfälle berichten und entscheidet über den Umgang mit Restrisiken.

4. 4

   Rollen und Organisation

   Informationssicherheitsbeauftragte oder Informationssicherheitsbeauftragter (ISB) ist [Name, Funktion], Vertretung [Name, Funktion]. Die oder der ISB koordiniert die Informationssicherheit, berät die Geschäftsführung, berichtet ihr direkt und wird bei größeren Projekten und neuen IT-Systemen frühzeitig beteiligt. Weitere Rollen nennt die Tabelle unten; die Geschäftsführung überprüft sie [jährlich] und nach erheblichen Vorfällen oder Änderungen.

5. 5

   Regelungen und Schulung

   Das Sicherheitskonzept legt auf Grundlage einer Risikoanalyse die Maßnahmen fest. Für einzelne Themen gelten eigene, mit dieser Leitlinie vereinbare Regelungen: [z. B. Grundregeln (Teil B), Zugriffskontrolle, Datensicherung, Sicherheitsvorfälle, Lieferanten], freigegeben von [Funktion]. Alle Mitarbeitenden werden vor der ersten IT-Nutzung eingewiesen und mindestens [jährlich] geschult, die Geschäftsführung in eigens für sie gestalteten Schulungen.

6. 6

   Verstöße und Ausnahmen

   Verstöße können [Unternehmen], Kunden und Partnern schaden; die Mitarbeitenden werden über mögliche Konsequenzen aufgeklärt. Wie ein Verstoß behandelt wird, entscheidet [Funktion] im Einzelfall nach Arbeitsvertrag, [Betriebsvereinbarung] und geltendem Recht. Ausnahmen von Regeln sind nur begründet, befristet und nach Genehmigung durch [Funktion] zulässig; [ISB] führt darüber eine Übersicht.

7. 7

   Überprüfung, Kennzahlen und Dokumentation

   Wir verbessern die Informationssicherheit fortlaufend. Die Geschäftsführung überprüft diese Leitlinie mindestens [jährlich] und nach erheblichen Vorfällen oder wesentlichen Änderungen und dokumentiert das Ergebnis. Den Fortschritt messen wir an [Kennzahlen, z. B. Schulungsquote, Zeit bis zur Installation kritischer Updates]. [ISB] bewahrt [Unterlagen, z. B. Risikoanalyse, Berichte, Schulungsnachweise, Vorfallsprotokolle] [Dauer] auf.

8. 8

   Inkraftsetzung

   Die Geschäftsführung hat diese Leitlinie am [Datum] genehmigt. Sie tritt am [Datum] in Kraft, ersetzt [frühere Fassung | keine] und wird allen Mitarbeitenden sowie den betroffenen externen Partnern bekannt gegeben, die ihre Kenntnis bestätigen. Nächste Überprüfung spätestens am [Datum].

Fundstellen zum Mustertext: Abschnitt 3 nach ISMS.1.A1 und ISMS.1.A12. Abschnitt 4 nach ISMS.1.A4, ISMS.1.A6 und Anhang Nr. 1.2 DVO 2024/2690. Abschnitt 5 nach ISMS.1.A7 und ORP.3.A3. Abschnitt 6 nach ISMS.1.A8 und ORP.5.A5. Abschnitt 7 nach ISMS.1.A11, ISMS.1.A13 und Anhang Nr. 1.1.1 lit. d, h, j sowie Nr. 1.1.2. Abschnitt 8 nach BSI-Standard 200-2, Kapitel 3.4.4, und Anhang Nr. 1.1.1 lit. f, k.

Bestätigung: Ich habe die Grundregeln gelesen und halte sie ein. Fragen richte ich an [Ansprechperson, Kontakt]. Neue Mitarbeitende bestätigen vor der ersten IT-Nutzung, alle Benutzenden regelmäßig oder nach größeren Änderungen erneut (ORP.1.A16). Die Angaben „Grundlage“ können in Ihrer Fassung entfallen.

• Die Geschäftsführung hat die Erarbeitung beauftragt und eine oder einen ISB mit angemessenen Ressourcen benannt (BSI-Standard 200-2, Kapitel 3.4; ISMS.1.A4).
• Ist die Rolle intern nicht zu besetzen, ist eine externe ISB beauftragt; der Vertrag regelt Aufgaben, Rechte, Pflichten, Vertraulichkeit und die Übergabe am Ende (ISMS.1.A5; BSI-Standard 200-2, Kapitel 4.11).
• IT-Betrieb, Fachbereiche, Datenschutz, Personalabteilung und Personalvertretung haben am Entwurf mitgewirkt (BSI-Standard 200-2, Kapitel 3.4.1).
• Der Geltungsbereich umfasst die betrachteten Geschäftsprozesse vollständig (BSI-Standard 200-2, Kapitel 3.4.3).
• Alle Platzhalter sind ersetzt; die Ziele leiten sich aus Geschäftszielen, Gesetzen, Kundenverträgen und Bedrohungen ab (BSI-Standard 200-1, Kapitel 7.1).
• NIS2-Einrichtungen: Die Risikoanalyse berücksichtigt technologische, menschliche, Lieferketten- und standortbezogene Risiken (§ 3 NISV 2026); kompensierende Maßnahmen sind begründet dokumentiert (§ 4).
• Die oder der ISB berichtet direkt an die Geschäftsführung, hat eine Vertretung und ist nicht zugleich aktiver Administrator (ISMS.1.A4, ISMS.1.A6; BSI-Standard 200-2, Kapitel 4.4).
• Die Geschäftsführung hat formell und schriftlich zugestimmt, das Genehmigungsdatum steht im Dokument (BSI-Standard 200-2, Kapitel 3.4.4; Anhang Nr. 1.1.1 lit. k DVO 2024/2690).
• Die Leitlinie ist allen bekannt gegeben und leicht zugänglich; neuen Mitarbeitenden wird sie vor dem ersten IT-Zugang erläutert (BSI-Standard 200-2, Kapitel 3.4.4).
• Die Grundregeln sind schriftlich bestätigt; Ansprechperson und Meldeweg für Vorfälle sind allen bekannt (ORP.1.A15, ORP.1.A16, DER.2.1.A3).
• Schulungen für Geschäftsführung und Mitarbeitende sind terminiert (ORP.3.A4; für NIS2-Einrichtungen § 31 Abs. 2 NISG 2026).
• Der nächste Überprüfungstermin steht fest: laut BSI spätestens nach zwei Jahren (BSI-Standard 200-2, Kapitel 3.4.5), für NIS2-Einrichtungen mindestens jährlich (Anhang Nr. 1.1.2 DVO 2024/2690).

Die Checkliste ist eine Empfehlung von TOMORIS auf Grundlage von BSI-Standard 200-2. Gesetzlich vorgegeben sind für wesentliche und wichtige Einrichtungen §§ 31 und 32 NISG 2026 sowie die Anforderungen der Durchführungsverordnung (EU) 2024/2690, die § 2 NISV 2026 für anwendbar erklärt.

• Zu lang und zu technisch: Mehr als 20 Seiten haben sich laut BSI nicht bewährt (BSI-Standard 200-2, Kapitel 3.4.3). Konkrete Maßnahmen gehören in das Sicherheitskonzept (ISMS.1.A10).
• Ein aktiver Administrator als ISB oder die Rolle in der IT-Abteilung: Das BSI rät davon ab, weil Rollen- und Interessenkonflikte drohen (BSI-Standard 200-2, Kapitel 4.4).
• Unterschrieben, aber nicht bekannt gegeben: Alle Mitarbeitenden sollen die Inhalte kennen, neue vor dem ersten IT-Zugang (BSI-Standard 200-2, Kapitel 3.4.4).
• Keine Vertretung: Für alle wichtigen Funktionen der Sicherheitsorganisation muss es wirksame Vertretungsregelungen geben (ISMS.1.A6).
• Keine Mittel: Die Ressourcen müssen so geplant sein, dass das beschlossene Sicherheitsniveau tatsächlich erreicht werden kann (BSI-Standard 200-1, Kapitel 7.2).
• Einmal beschlossen, nie überprüft: NIS2-Einrichtungen müssen mindestens jährlich überprüfen und das Ergebnis dokumentieren (Anhang Nr. 1.1.2 DVO 2024/2690).
• Vorlage unverändert übernommen: Ziele ohne Bezug zum eigenen Unternehmen erfüllen ISMS.1.A3 nicht, denn die Leitlinie muss den Bezug der Sicherheitsziele zu den Geschäftszielen erläutern.

Auf die Leitlinie folgt das Sicherheitskonzept: Es leitet aus Sicherheitszielen, Schutzbedarf und Risikobewertung konkrete Maßnahmen ab (ISMS.1.A10). Planen Sie es gemeinsam mit der Leitlinie.