Informationssicherheitsleitlinie erstellen: Vom weißen Blatt zum brauchbaren Text

Das Dokument war fast fertig. Man hatte eine Vorlage aus dem Internet genommen, das Logo ausgetauscht und den Namen des Unternehmens eingesetzt. Die Geschäftsführung sollte nur noch unterschreiben.

Dann las jemand den Text tatsächlich.

Da stand etwas vom besonderen Schutz medizinischer Patientendaten. Das Unternehmen stellte allerdings Maschinenteile her. Zwei Absätze später verpflichtete man sich zur Verfügbarkeit der klinischen Versorgung. Immerhin war der Firmenname überall richtig geschrieben.

„Das passen wir schnell an“, sagte jemand. Man ersetzte Patientendaten durch Kundendaten und klinische Versorgung durch Produktion. Fertig war die Informationssicherheitsleitlinie.

Nein. Fertig war eine Vorlage, der man das falsche Kostüm ausgezogen und ein anderes angezogen hatte. Was Informationssicherheit für dieses Unternehmen tatsächlich bedeutete, wusste der Text noch immer nicht.

Die kurze Antwort

Eine gute Informationssicherheitsleitlinie entsteht nicht durch das Zusammenkopieren möglichst feierlicher Sätze. Sie entsteht aus dem Unternehmen selbst:

• Was tun wir eigentlich?
• Von welchen Informationen und Systemen hängt unser Geschäft ab?
• Was erwarten Kunden, Eigentümer und andere relevante Parteien?
• Welche Risiken und Verpflichtungen prägen uns?
• Welche Richtung gibt die Geschäftsführung vor?
• Woran sollen sich Ziele, Richtlinien und Entscheidungen später orientieren?

Aus diesen Antworten wird ein kurzer, verständlicher und verbindlicher Text. Häufig reicht eine Seite. Entscheidend ist, dass die Leitlinie zur Organisation passt, die Anforderungen aus ISO 27001 abdeckt und im Unternehmen tatsächlich als Orientierung taugt.

Dieser Artikel ist die Arbeitsanleitung dafür. Welche Inhalte Abschnitt 5.2 im Kern verlangt, erklärt ergänzend unser Grundlagenartikel zur Informationssicherheitspolitik nach ISO 27001.

Erst die Begriffe entwirren

Im deutschen Alltag werden Informationssicherheitsleitlinie und Informationssicherheitspolitik häufig synonym verwendet. Andere Unternehmen trennen beides:

• Die Informationssicherheitspolitik ist der von ISO 27001 verlangte verbindliche Kern.
• Die Informationssicherheitsleitlinie ist das etwas breitere Top-Level-Dokument, in das dieser Kern eingebettet wird.

Sie müssen daraus keine Begriffsreligion machen. Die Norm verlangt kein separates Dokument mit dem exakten Titel „Informationssicherheitsleitlinie“. Wenn Ihr Dokument anders heißt, aber die erforderlichen Aussagen enthält, freigegeben, kommuniziert und verfügbar ist, wird es nicht durch einen fehlenden Lieblingsbegriff unwirksam.

Für diese Arbeitsanleitung nennen wir das fertige Top-Level-Dokument Informationssicherheitsleitlinie. Darin steckt zugleich die erforderliche Informationssicherheitspolitik.

Schritt 1: Schreiben Sie noch keinen einzigen schönen Satz

Beginnen Sie nicht mit Formulierungen. Beginnen Sie mit Material.

Legen Sie vor dem ersten Entwurf folgende Informationen zusammen:

• Zweck, Geschäftsmodell und strategische Ausrichtung des Unternehmens,
• relevante interne und externe Themen,
• wesentliche Anforderungen interessierter Parteien,
• Geltungsbereich des ISMS,
• wichtige Informationswerte und Geschäftsprozesse,
• grundlegende Ergebnisse des Risikomanagements,
• bestehende Unternehmenswerte und Führungsgrundsätze,
• bereits beschlossene Informationssicherheitsziele oder strategische Schwerpunkte.

Damit verhindern Sie, dass die Leitlinie im luftleeren Raum entsteht. Der Kontext der Organisation und die Anforderungen interessierter Parteien sind nicht bloß vorgelagerte Normübungen. Sie liefern das Rohmaterial für eine Leitlinie, die erkennbar zu diesem Unternehmen gehört.

Schritt 2: Holen Sie die Geschäftsführung an den Tisch

Der ISB kann den Termin vorbereiten und später einen Entwurf schreiben. Die Richtung darf er aber nicht im stillen Kämmerlein für die Geschäftsführung erfinden.

Ein kurzes, gut vorbereitetes Gespräch mit der Leitung ist oft ergiebiger als drei Wochen Textarbeit. Stellen Sie keine abstrakte Frage wie „Was ist unsere Informationssicherheitspolitik?“ Fragen Sie konkret:

• Welche Leistungen dürfen bei uns auf keinen Fall länger ausfallen?
• Welche Informationen würden bei Verlust oder Offenlegung den größten Schaden verursachen?
• Was versprechen wir unseren Kunden in Bezug auf Sicherheit und Verlässlichkeit?
• Welche Sicherheitsanforderungen sind für unser Geschäft nicht verhandelbar?
• Wo sind wir bereit, Aufwand und Geld für Sicherheit einzusetzen?
• Welche Verhaltensweisen erwarten wir von Führungskräften und Mitarbeitern?
• Woran soll man in zwei Jahren erkennen, dass unser ISMS besser geworden ist?

Die Antworten liefern Sprache, Prioritäten und Haltung. Genau das sollte eine Leitlinie transportieren.

Unser Artikel über die Verantwortung der Geschäftsführung im ISMS zeigt, warum eine nachträgliche Unterschrift unter einen fremden Text noch kein belastbares Commitment ist.

Schritt 3: Legen Sie einen schlanken Aufbau fest

Eine praxistaugliche Informationssicherheitsleitlinie kann mit sieben Bausteinen auskommen:

1. Zweck und Bedeutung der Informationssicherheit
2. Bezug zum Unternehmen und zum Geltungsbereich
3. grundlegende Schutzziele und Leitprinzipien
4. Rahmen für Informationssicherheitsziele
5. Verpflichtung zur Erfüllung relevanter Anforderungen
6. Verantwortung der Leitung und Mitwirkung der Mitarbeiter
7. Verpflichtung zur fortlaufenden Verbesserung

Das ist kein verpflichtendes Inhaltsverzeichnis. Es ist ein Arbeitsgerüst. Wenn sich zwei Punkte in drei guten Sätzen verbinden lassen, brauchen Sie daraus keine zwei Kapitel zu machen.

Schritt 4: Beginnen Sie mit dem Geschäft – nicht mit der Norm

Der erste Absatz sollte erklären, warum Informationssicherheit für genau dieses Unternehmen wichtig ist.

Schwach wäre:

„Die Informationssicherheit hat für die Muster GmbH einen hohen Stellenwert.“

Das kann jedes Unternehmen behaupten. Der Satz sagt weder, warum das so ist, noch woran man es erkennen könnte.

Nützlicher wäre beispielsweise:

„Die Muster GmbH entwickelt und betreibt Software, mit der unsere Kunden ihre Auftrags- und Produktionsdaten verarbeiten. Der verlässliche und vertrauliche Umgang mit diesen Informationen ist deshalb eine Voraussetzung für unsere Leistungserbringung und das Vertrauen unserer Kunden.“

Dieser Satz wäre nicht universell einsetzbar – und genau das ist seine Stärke.

Prüfen Sie den Absatz mit einer einfachen Frage: Könnte man Ihren Unternehmensnamen durch den eines Friseursalons, Krankenhauses oder Rechenzentrums ersetzen, ohne sonst etwas ändern zu müssen? Wenn ja, ist der Text vermutlich noch zu austauschbar.

Schritt 5: Formulieren Sie echte Leitplanken

Die Leitlinie soll Richtung geben. Dafür braucht sie wenige Aussagen, die spätere Entscheidungen tatsächlich beeinflussen können.

Je nach Unternehmen können solche Leitplanken sein:

• Informationssicherheitsrisiken werden systematisch bewertet und angemessen behandelt.
• Sicherheitsanforderungen werden bereits bei der Auswahl, Entwicklung und Änderung von Systemen berücksichtigt.
• Zugriffe auf Informationen werden auf den notwendigen Umfang begrenzt.
• Kritische Leistungen und Informationen werden gegen relevante Ausfälle geschützt.
• Sicherheitsvorfälle werden gemeldet, behandelt und zur Verbesserung genutzt.
• Lieferanten werden entsprechend der mit ihrer Leistung verbundenen Risiken gesteuert.

Schreiben Sie nicht alle Maßnahmen aus Anhang A in die Leitlinie. Wählen Sie die Grundsätze, die für Ihre Organisation wirklich prägend sind. Details gehören in Richtlinien, Prozesse, Standards oder Arbeitsanweisungen.

Schritt 6: Geben Sie den Informationssicherheitszielen eine Richtung

Die Leitlinie muss nicht die aktuelle Jahresliste konkreter Ziele enthalten. Sie sollte aber einen Rahmen schaffen, aus dem sinnvolle Ziele entstehen können.

Wenn in der Leitlinie etwa Verfügbarkeit kritischer Kundendienste, Schutz vertraulicher Entwicklungsinformationen und schnelle Reaktion auf Vorfälle als Schwerpunkte stehen, sollten spätere Informationssicherheitsziele dazu passen.

Eine Leitlinie, die höchste Verfügbarkeit verspricht, während alle Ziele ausschließlich Schulungsquoten messen, wirkt auseinandergebaut. Umgekehrt sollten Ziele nicht deshalb in den Leitlinientext aufgenommen werden, weil sie gerade für dieses Jahr gelten. Das würde bei jeder Zieländerung eine neue Leitlinienfreigabe auslösen.

Formulieren Sie also die Richtung, nicht den jeweils aktuellen Messwert.

Schritt 7: Verpflichtungen klar und glaubwürdig benennen

In die Leitlinie gehört die Verpflichtung, anwendbare Anforderungen zu erfüllen. Das betrifft je nach Unternehmen unter anderem:

• gesetzliche und regulatorische Anforderungen,
• vertragliche Verpflichtungen,
• zugesagte Kundenanforderungen,
• interne Vorgaben,
• weitere Anforderungen, zu deren Einhaltung sich das Unternehmen verpflichtet hat.

Sie müssen daraus keine Liste sämtlicher Gesetze und Verträge machen. Diese gehört in ein gepflegtes Anforderungsverzeichnis. Die Leitlinie enthält die verbindliche Grundsatzaussage.

Wie solche Anforderungen praktisch erfasst und gepflegt werden, vertieft unser Artikel zu rechtlichen und vertraglichen Anforderungen.

Schritt 8: Verbesserung nicht nur feierlich versprechen

Die Verpflichtung zur fortlaufenden Verbesserung gehört in den Text. Vermeiden Sie aber den Eindruck, das Unternehmen werde jeden Tag automatisch sicherer, nur weil dieser Satz unterschrieben wurde.

Eine glaubwürdige Formulierung verbindet Verbesserung mit dem Managementsystem: Ergebnisse aus Messungen, Audits, Vorfällen, Risiken und Rückmeldungen werden genutzt, um das ISMS weiterzuentwickeln.

Damit verweist die Leitlinie auf einen echten Kreislauf. Wie man verhindert, dass daraus lediglich immer längere Maßnahmenlisten entstehen, erläutert unser Artikel zur kontinuierlichen Verbesserung.

Schritt 9: Entscheiden Sie, für wen und wo die Leitlinie gilt

Bei einem unternehmensweiten ISMS ist die Antwort oft einfach. Bei einem abgegrenzten Anwendungsbereich muss erkennbar sein, auf welchen Teil der Organisation sich das Dokument bezieht.

Sie müssen den Scope nicht mit sämtlichen Schnittstellen in die Leitlinie kopieren. Ein klarer Bezug verhindert aber, dass eine Konzerngesellschaft, ein Standort oder ein Geschäftsbereich versehentlich für Aussagen vereinnahmt wird, die dort weder beschlossen noch umgesetzt wurden.

Wie ein belastbarer Geltungsbereich formuliert wird, beschreibt unser Artikel zum Scope der ISO 27001.

Schritt 10: Schreiben Sie so, dass Mitarbeiter den Text verstehen

Die Leitlinie soll im Unternehmen kommuniziert werden. Schreiben Sie sie deshalb nicht ausschließlich für Auditoren.

Streichen Sie Formulierungen wie:

• „ganzheitliche Gewährleistung eines höchstmöglichen Sicherheitsniveaus“,
• „vollumfängliche Sicherstellung sämtlicher Schutzziele“,
• „proaktive Implementierung nachhaltiger Security Excellence“.

Solche Sätze klingen nach Aufwand, enthalten aber kaum eine überprüfbare Aussage. Außerdem versprechen Superlative schnell mehr, als das Unternehmen leisten kann.

Bevorzugen Sie kurze Sätze, aktive Verben und Begriffe, die im Unternehmen ohnehin verwendet werden. Wenn Mitarbeiter nach dem Lesen nicht erklären können, welche Richtung die Leitung vorgibt, war der Text zwar möglicherweise normnah, aber kommunikativ weitgehend dekorativ.

Schritt 11: Führen Sie vier einfache Qualitätstests durch

Der Logo-Test

Kann ein beliebiges Unternehmen nur das Logo austauschen und den Text unverändert verwenden? Dann fehlt Unternehmensbezug.

Der Mitarbeiter-Test

Versteht ein Mitarbeiter außerhalb des ISMS-Teams, was die Aussagen bedeuten? Wenn jeder zweite Satz erst mit Normbegriffen erklärt werden muss, braucht der Text eine sprachliche Renovierung.

Der Entscheidungs-Test

Hilft die Leitlinie bei einer echten Abwägung? Wenn etwa ein Projekt Zeit sparen will, indem es Sicherheitsanforderungen erst nachträglich betrachtet, sollte die festgelegte Richtung eine Antwort geben.

Der Widerspruchs-Test

Passen Ziele, Budgets, Rollen und gelebte Entscheidungen zur Leitlinie? Wer im Text Verfügbarkeit zur höchsten Priorität erklärt, aber jede Redundanz aus Kostengründen ablehnt, hat weniger ein Formulierungsproblem als ein Führungsproblem.

Schritt 12: Durch die Geschäftsführung bewerten und freigeben lassen

Schicken Sie den fertigen Entwurf nicht mit der Bitte „Bitte einmal unterschreiben“. Markieren Sie die wesentlichen Aussagen und besprechen Sie mit der Leitung:

• Passt das zu unserer strategischen Ausrichtung?
• Sind die Prioritäten richtig beschrieben?
• Können und wollen wir diese Verpflichtungen tatsächlich tragen?
• Fehlt ein für unser Geschäft zentraler Punkt?
• Ist der Text intern und gegebenenfalls extern vorzeigbar?

Erst danach folgt die formale Freigabe. Die Dokumentenlenkung nach Abschnitt 7.5 sorgt dafür, dass Version, Freigabe, Verfügbarkeit und spätere Änderungen beherrscht bleiben.

Schritt 13: Kommunizieren statt ablegen

Eine freigegebene Leitlinie, die ausschließlich im ISMS-Ordner liegt, erfüllt ihren Orientierungszweck nur eingeschränkt.

Geeignete Wege sind beispielsweise:

• Vorstellung durch die Geschäftsführung,
• Aufnahme in das Onboarding,
• Veröffentlichung im Intranet,
• Verwendung in Awareness-Maßnahmen,
• Bezugnahme bei Zielen, Projekten und wesentlichen Entscheidungen,
• externe Bereitstellung einer geeigneten Fassung für Kunden und Partner.

Kommunikation bedeutet nicht, dass jeder Mitarbeiter den Text auswendig aufsagen muss. Er sollte aber die Grundrichtung kennen und wissen, was sie für seine Arbeit bedeutet.

Schritt 14: Überprüfungsauslöser festlegen

Eine Leitlinie braucht nicht aus Gewohnheit jeden Januar drei neue Adjektive. Sie muss aber überprüft werden, wenn sich ihr Fundament verändert.

Typische Auslöser sind:

• wesentlich verändertes Geschäftsmodell,
• neuer oder veränderter ISMS-Scope,
• neue regulatorische oder vertragliche Anforderungen,
• erhebliche Veränderungen bei Risiken oder Technologien,
• neue Eigentümer- oder Konzernvorgaben,
• Erkenntnisse aus Vorfällen, Audits oder Managementbewertungen,
• Zweifel daran, ob die Leitlinie noch zur tatsächlichen Unternehmensrichtung passt.

Solche Änderungen gehören in ein geplantes Änderungsmanagement des ISMS und nicht in eine spontane nächtliche Textpflege vor dem Audit.

Ein brauchbares Schreibgerüst

Das folgende Gerüst ist bewusst kein fertiger Mustertext. Es zeigt, welche Fragen jeder Abschnitt beantworten sollte:

1. Bedeutung

Was tut das Unternehmen, und warum ist Informationssicherheit dafür wichtig?

2. Geltungsrahmen

Für welchen Teil des Unternehmens gilt die Leitlinie?

3. Grundsätze

Welche wenigen Leitplanken prägen den Umgang mit Informationen, Risiken, Systemen, Vorfällen und Lieferanten?

4. Ziele

Welche Richtung gibt die Leitlinie für konkrete Informationssicherheitsziele vor?

5. Verpflichtungen

Zu welchen anwendbaren Anforderungen und zur fortlaufenden Verbesserung bekennt sich die Organisation?

6. Verantwortung

Welche Verantwortung übernimmt die Geschäftsführung, und welchen Beitrag erwartet sie von Führungskräften und Mitarbeitern?

7. Freigabe und Kommunikation

Wer setzt die Leitlinie in Kraft, und wie wird sie verfügbar und bekannt gemacht?

Wenn Sie diese Fragen mit konkretem Unternehmensbezug beantworten können, haben Sie bereits fast den gesamten Rohentwurf. Das ist belastbarer als ein kopierter Mustertext, der gleichzeitig für eine Klinik, eine Bank und einen Hersteller von Gartenmöbeln passen möchte.

Typische Fehler

Die Leitlinie erzählt nur, dass Sicherheit wichtig ist

Niemand würde ernsthaft hineinschreiben, Informationssicherheit sei völlig egal. Die bloße Wichtigkeitsbekundung gibt deshalb noch keine Richtung vor.

Die Leitlinie wird zum Mini-Handbuch

Passwortlängen, Backupintervalle, Freigabestufen und technische Einzelmaßnahmen machen den Text lang und wartungsintensiv. Sie gehören in nachgelagerte Regelwerke.

Die Geschäftsführung sieht den Text erstmals bei der Unterschrift

Dann dokumentiert die Signatur vor allem, dass jemand einen Kugelschreiber gefunden hat. Die Leitungsentscheidung muss inhaltlich vorher stattfinden.

Der Text verspricht Unmögliches

„Wir gewährleisten jederzeit vollständige Sicherheit“ ist weder realistisch noch hilfreich. Eine Leitlinie sollte klare Verpflichtungen enthalten, aber keine märchenhafte Risikofreiheit versprechen.

Niemand kennt das Dokument

Die Leitlinie wurde freigegeben, abgelegt und vergessen. Damit fehlt die Verbindung zu Zielen, Entscheidungen und täglichem Verhalten.

Interesse geweckt?

Eine gute Informationssicherheitsleitlinie ist kein großes Dokument. Sie ist ein kurzer, belastbarer Ausdruck dessen, was die Geschäftsführung für Informationssicherheit tatsächlich vorgibt und zu tragen bereit ist.

Wenn Sie Ihre Leitlinie nicht aus Textbausteinen zusammensetzen, sondern aus Ihrem Unternehmen ableiten möchten, Sprechen Sie mit uns.