Fast jedes Unternehmen hat eine Informationssicherheitsrichtlinie. Schwierig wird es, wenn nachzuweisen ist, dass sie tatsächlich gelesen und regelmäßig überprüft wird und mit der Konfiguration auf den Rechnern der Beschäftigten übereinstimmt. Sie ist das erste Dokument, nach dem im Audit gefragt wird. Zugleich ist sie das am häufigsten kopierte und am schlechtesten angepasste.
Wichtige Fakten
- Die Informationssicherheitsrichtlinie ist das von der Geschäftsleitung freigegebene Rahmendokument, das Ziele, Geltungsbereich und Verantwortlichkeiten für den Schutz von Informationen festlegt.
- Cyberangriffe verursachten der deutschen Wirtschaft nach Angaben des Bundesamts für Verfassungsschutz im Jahr 2025 einen Schaden von 289,2 Milliarden Euro, wovon 87 Prozent der Unternehmen betroffen waren.
- Nur rund 38 Prozent der durch das NIS2-Umsetzungsgesetz registrierungspflichtigen Unternehmen sind dieser Pflicht bislang nachgekommen.
- Das am 6. Dezember 2025 ohne Übergangsfrist in Kraft getretene Gesetz betrifft in Deutschland rund 29.500 Organisationen.
In diesem Artikel sehen wir uns an, was eine Informationssicherheitsrichtlinie genau ist, welche Regelwerke sie vorschreiben, welche Abschnitte sie enthalten muss, wie sie Schritt für Schritt entsteht und welche Fehler bei der Erstellung am häufigsten vorkommen.
Was ist eine Informationssicherheitsrichtlinie?
Die Informationssicherheitsrichtlinie ist das von der Geschäftsleitung verabschiedete Dokument, in dem eine Organisation ihr Bekenntnis zum Schutz von Informationen festhält und die Grundsätze festlegt, nach denen dieser Schutz erfolgt. Sie bestimmt den Geltungsbereich, verteilt Verantwortlichkeiten und steckt den Rahmen ab, innerhalb dessen später die technischen und organisatorischen Entscheidungen getroffen werden.
Es ist ein Dokument auf oberster Ebene. Es beschreibt weder die Konfiguration einer Firewall noch das Ablaufintervall von Passwörtern. Es legt das Was und das Warum fest und überlässt das Wie den Regelungen und Verfahren, die sich daraus ableiten. Deshalb umfasst eine gut geschriebene Richtlinie selten mehr als vier oder fünf Seiten.
Sie erfasst sämtliche Informationen der Organisation, unabhängig vom Medium. Daten aus internen Systemen, Unterlagen in Papierform, Informationen, die mit Dienstleistungsunternehmen geteilt werden, und alles, was in Gesprächen oder auf mobilen Datenträgern zirkuliert, fällt in denselben Geltungsbereich.
Leitlinie oder Richtlinie: Worin besteht der Unterschied?
Hier sorgt die Begrifflichkeit regelmäßig für Verwirrung. Deshalb lohnt sich die Klärung gleich zu Beginn. Die Leitlinie zur Informationssicherheit ist das übergeordnete Rahmendokument, das die Geschäftsleitung unterzeichnet und von dem alle weiteren Dokumente abhängen. Die Richtlinien sind die themenspezifischen Regelwerke, die einzelne Bereiche ausgestalten und die im Arbeitsalltag tatsächlich angewendet werden.
Die Dokumentenhierarchie hat in der Regel drei Ebenen.
| Ebene | Beschreibung |
|---|---|
| Leitlinie zur Informationssicherheit | Von der Geschäftsleitung verabschiedetes Rahmendokument, kurz und über die Zeit hinweg stabil. |
| Themenspezifische Richtlinien | Zugriffskontrolle, Umgang mit Endgeräten, mobiles Arbeiten, Datensicherung, Klassifizierung von Informationen, Umgang mit Sicherheitsvorfällen oder sichere Entwicklung, um nur einige zu nennen. |
| Arbeitsanweisungen und Nachweise | Die operative Ausgestaltung jeder Richtlinie und der Beleg dafür, dass sie angewendet wurde. |
Wozu dient eine Informationssicherheitsrichtlinie?
Ihre wichtigste Aufgabe ist es, Orientierung zu geben. Tritt eine Situation ein, die niemand vorhergesehen hat, ist die Richtlinie der Maßstab, nach dem entschieden wird. Ohne sie behilft sich jeder Bereich so gut es geht. Sicherheitsentscheidungen hängen am Ende davon ab, wer an diesem Tag gerade verfügbar ist.
Darüber hinaus erfüllt sie vier konkrete Funktionen.
- Sie macht das Bekenntnis der Geschäftsleitung sichtbar: Informationssicherheit ist damit keine Angelegenheit der IT-Abteilung mehr, sondern wird von oben getragen.
- Sie verteilt Verantwortlichkeiten: Jede Rolle weiß, was in ihren Zuständigkeitsbereich fällt und an wen eskaliert wird.
- Sie macht Anforderungen intern durchsetzbar: Ohne kommunizierte und bestätigte Regelung lässt sich ein Verstoß gegenüber Beschäftigten kaum beanstanden.
- Sie trägt das gesamte übrige System: Themenspezifische Richtlinien, Verfahren und technische Maßnahmen stützen sich auf sie und leiten sich aus ihr ab.
Hinzu kommt eine Verwendung außerhalb der eigenen Organisation, die immer häufiger wird. Großunternehmen und öffentliche Auftraggebende verlangen die Richtlinie im Rahmen der Lieferantenqualifizierung, und viele Versicherungsunternehmen fordern sie an, bevor sie eine Cyberversicherung ausstellen.
Welche Rolle spielt die Informationssicherheitsrichtlinie bei der ISO-27001-Zertifizierung?
Die ISO 27001 ist die internationale Norm für die Zertifizierung von Managementsystemen für Informationssicherheit. Die Richtlinie prägt diese Zertifizierung von Anfang an. Fehlt sie, ist das ein Ausschlusskriterium, denn Abschnitt 5.2 gehört zum Normtext selbst und lässt sich in der Erklärung zur Anwendbarkeit nicht ausschließen. Ohne eine von der obersten Leitung verabschiedete Richtlinie ist keine Zertifizierung möglich. Seit dem 31. Oktober 2025 sind zudem ausschließlich Zertifizierungen nach der aktuellen Fassung ISO/IEC 27001:2022 gültig. Ältere Zertifikate nach der Fassung von 2013 haben ihren Status verloren.
Ihre Qualität gibt den Ton für das restliche Audit vor. Maßnahme A.5.1 verlangt, dass die Richtlinie verabschiedet, veröffentlicht, kommuniziert, von den betroffenen Beschäftigten zur Kenntnis genommen und in geplanten Abständen überprüft wird. Da sich themenspezifische Richtlinien und Verfahren auf sie stützen, zieht eine Schwachstelle an dieser Stelle Abweichungen in der gesamten Kette nach sich. Auch ihr Geltungsbereich bestimmt den des Zertifikats, denn was im Dokument fehlt, bleibt außerhalb des Systems.
Die ISO 27001 ist nicht das einzige Regelwerk, das sie vorschreibt. Die NIS2-Richtlinie führt die Konzepte für die Sicherheit von Informationssystemen an erster Stelle ihrer Mindestmaßnahmen an. Der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) setzt die Leitlinie zur Informationssicherheit an den Anfang des gesamten Sicherheitsprozesses. Nach Art. 32 DSGVO sind Vertraulichkeit, Integrität und Verfügbarkeit als Schutzziele zu dokumentieren, wie von der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit erläutert wird. Deloitte beziffert die Zahl der davon betroffenen Organisationen in Deutschland auf rund 29.500. Das zugehörige Umsetzungsgesetz ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten.
Was gehört in eine Informationssicherheitsrichtlinie?
Ein verbindliches Inhaltsverzeichnis gibt es nicht. Es gibt allerdings Abschnitte, die in nahezu jeder Richtlinie auftauchen, die ein Audit besteht.
1. Zielsetzung und Geltungsbereich
Die Zielsetzung erklärt, warum es das Dokument überhaupt gibt, und muss zu den Unternehmenszielen passen. Der Geltungsbereich ist der am häufigsten vernachlässigte Teil und derjenige, der später die meisten Probleme bereitet. Er muss präzise abgrenzen, welche Prozesse, Standorte, Systeme, Assets und Personen erfasst sind.
Ein schlecht definierter Geltungsbereich hat zwei Effekte. Ist er zu weit gefasst, verpflichtet sich das Unternehmen dazu, Dinge zu schützen, die es nicht kontrollieren kann. Ist er zu eng, verliert das Zertifikat an Wert bei der Kundschaft, die den gesamten Geschäftsbetrieb abgedeckt sehen wollte.
2. Grundsätze und Bekenntnis der Geschäftsleitung
Hier werden die Grundsätze festgehalten, an denen sich die Informationssicherheit orientiert. Üblich sind risikobasiertes Vorgehen, Security by Default, das Prinzip der minimalen Rechtevergabe, mehrstufige Absicherung und kontinuierliche Verbesserung. Als Schutzziele stehen Vertraulichkeit, Integrität und Verfügbarkeit im Zentrum.
Das Bekenntnis der Geschäftsleitung muss ausdrücklich und überprüfbar sein. Dazu gehören die Bereitstellung von Ressourcen, die formale Freigabe des Dokuments und die Teilnahme an der regelmäßigen Managementbewertung. Eine allgemein gehaltene Absichtserklärung ohne hinterlegtes Budget und ohne erkennbare Unterschrift bringt wenig.
3. Rollen und Verantwortlichkeiten
Die Richtlinie legt fest, wer was tut. Mindestens genannt werden die Informationssicherheitsbeauftragten, das Sicherheitsgremium, sofern vorhanden, die Verantwortlichen für die einzelnen Assets und Prozesse sowie die allgemeinen Pflichten aller Beschäftigten.
Jede Rolle braucht konkrete Aufgaben. Sinnvoll ist es außerdem, die Schnittstellen zum Datenschutz, zur datenschutzbeauftragten Person sowie zur Personalabteilung zu beschreiben, denn Einstellungen und Austritte lösen Sicherheitsaufgaben aus, für die sich häufig niemand zuständig fühlt.
4. Mitgeltende themenspezifische Richtlinien
Die Leitlinie benennt die untergeordneten Richtlinien und gibt an, wo sie zu finden sind. Am häufigsten sind das Zugriffskontrolle, zulässige Nutzung von Ressourcen, mobile Endgeräte und BYOD, mobiles Arbeiten, Klassifizierung und Handhabung von Informationen, Datensicherung, Kryptografie, Umgang mit Sicherheitsvorfällen, Zusammenarbeit mit Dienstleistungsunternehmen und sichere Entwicklung.
Beschreiben muss man sie nicht. Es genügt, sie aufzulisten, die jeweils verantwortliche Rolle zu nennen und einen klaren Dokumentenverweis zu setzen.
5. Ausnahmen und Konsequenzen bei Verstößen
Früher oder später stößt jede Richtlinie auf einen Fall, in dem sich eine Maßnahme nicht umsetzen lässt. Das Dokument muss festlegen, wer eine Ausnahme genehmigen darf, mit welcher Begründung, für welchen Zeitraum und wo sie dokumentiert wird.
Die Konsequenzen bei Verstößen gehören ausdrücklich hinein und müssen sich im Rahmen des Arbeitsrechts bewegen. Sobald Regelungen eine Verhaltens- oder Leistungskontrolle ermöglichen, ist zudem der Betriebsrat einzubeziehen. Ohne diesen Abschnitt fehlt der Organisation im Ernstfall jede Handhabe.
6. Versionierung und Freigabe
Eine Richtlinie ohne Versionierung lässt sich nicht auditieren. Deckblatt oder Fußzeile müssen Versionsnummer, Freigabedatum, freigebendes Gremium, die verfassende Person, Datum der nächsten Überprüfung und eine Änderungshistorie enthalten.
Dieser Abschnitt wirkt nebensächlich und gehört zu den ersten, in die im Audit geschaut wird. In dreißig Sekunden lässt sich daran ablesen, ob das System lebt oder ob das Dokument seit vier Jahren unangetastet ist.
Wie erstellt man eine Informationssicherheitsrichtlinie?
Das Dokument zu schreiben ist der kürzeste Teil der Arbeit. Substanz bekommt es durch das, was davor und danach passiert.
1. Assets inventarisieren und Risiken analysieren
Die Richtlinie schützt konkrete Assets, also muss zuerst klar sein, welche das sind. Das Inventar erfasst Endgeräte, Server, Anwendungen und Cloud-Dienste, Daten, Datenträger und die Personen mit Zugriff darauf. In einem Gerätebestand, der sich auf Büro und mobiles Arbeiten verteilt, bleibt diese Momentaufnahme nur aktuell, wenn sie automatisiert entsteht.
Auf dieser Grundlage werden Bedrohungen und Schwachstellen ermittelt, Eintrittswahrscheinlichkeit und Schadenshöhe bewertet und die Risiken akzeptiert, reduziert, übertragen oder vermieden. In Deutschland dient dafür meist der BSI-Standard 200-3 als Referenz, ergänzt um die ISO 27005. Die Grundsätze, die später in der Richtlinie stehen, entstehen genau hier. Das unterscheidet ein eigenes Dokument von einer heruntergeladenen Vorlage.
2. Dokument erstellen und freigeben lassen
Der Text muss für alle Beschäftigten verständlich bleiben, auch für Personen ohne technischen Hintergrund. Kurze Sätze, ein Glossar am Ende und kein Begriff, der sich nicht in einer Zeile erklären lässt.
Die Freigabe liegt bei der Geschäftsleitung, mit Datum und erkennbarer Unterschrift. In Organisationen mit einem Sicherheitsgremium ist es üblich, dass dieses den Entwurf vorlegt und die Geschäftsleitung ihn formal beschließt.
3. Kommunizieren und die Kenntnisnahme dokumentieren
Die Richtlinie in einem gemeinsamen Ordner abzulegen, ist keine Kommunikation. Die Norm verlangt, dass die betroffenen Beschäftigten sie zur Kenntnis nehmen. Deshalb braucht es einen Nachweis darüber, dass jede Person sie erhalten und bestätigt hat, mit Datum.
Am saubersten lässt sich das über das Onboarding lösen. Neue Mitarbeitende erhalten das Dokument beim Eintritt, bestätigen es digital und dieser Eintrag landet in ihrer Personalakte. Ändert sich die Version, wird die Bestätigung erneut von allen eingeholt. Genau diese Historie wird im Audit von Ihnen verlangt.
4. Überprüfen und aktualisieren
Die Überprüfung erfolgt in geplanten Abständen, üblicherweise einmal jährlich im Rahmen der Managementbewertung. Anlass geben außerdem wesentliche Veränderungen wie eine Fusion, ein Infrastrukturwechsel, ein neues regulatorisches Umfeld oder ein größerer Sicherheitsvorfall.
Jede Überprüfung hinterlässt eine Spur, auch wenn sich nichts ändert. Zu dokumentieren, dass das Dokument an einem bestimmten Datum geprüft und unverändert bestätigt wurde, ist ebenfalls ein gültiger Nachweis.
Beispiel für eine Informationssicherheitsrichtlinie
Viele Organisationen veröffentlichen ihre Richtlinie frei zugänglich, was einen guten Eindruck von Tonfall und tatsächlichem Umfang vermittelt. Zwei Muster fallen dabei auf. Das Dokument überschreitet selten fünf Seiten, und fast alle enthalten eine Versionstabelle auf der ersten oder letzten Seite.
Ein typisches Inhaltsverzeichnis einer Informationssicherheitsrichtlinie sieht ungefähr so aus.
- Gegenstand und Anwendungsbereich
- Regulatorischer Rahmen
- Grundsätze der Informationssicherheit
- Bekenntnis der Geschäftsleitung
- Organisation der Informationssicherheit, Rollen und Verantwortlichkeiten
- Risikomanagement
- Mitgeltende Regelungen und Richtlinien
- Schulung und Sensibilisierung
- Umgang mit Sicherheitsvorfällen
- Einhaltung, Ausnahmen und Konsequenzen bei Verstößen
- Überprüfung und Versionierung
Dieses Gerüst dient als Ausgangspunkt. Der Inhalt der einzelnen Abschnitte hat nur dann Wert, wenn er aus der Risikoanalyse der eigenen Organisation hervorgeht.
Häufige Fehler bei der Erstellung einer Informationssicherheitsrichtlinie
Richtlinien, die im Audit durchfallen, wiederholen fast immer dieselben Fehler.
- Eine Vorlage übernehmen, ohne den Geltungsbereich anzupassen: Darin tauchen Standorte auf, die es nicht gibt, Abteilungen, die das Unternehmen nie hatte, oder Systeme, die nie in Betrieb gingen. Im Audit fällt das schon beim ersten Lesen auf. Der Rest des Systems wird anschließend mit mehr Misstrauen geprüft.
- Die Freigabe der IT-Abteilung überlassen statt der Geschäftsleitung: Die Norm verlangt, dass die oberste Leitung die Richtlinie festlegt. Ein Dokument, das nur die technische Leitung unterschrieben hat, erfüllt die Anforderung nicht und signalisiert, dass Informationssicherheit oben nicht verankert ist.
- Richtlinie und Arbeitsanweisung vermischen: Legt das Dokument die Mindestlänge von Passwörtern oder das Intervall der Datensicherung fest, muss es bei jeder operativen Anpassung erneut von der Geschäftsleitung freigegeben werden. Die Richtlinie wird dann nicht mehr gepflegt und entfernt sich innerhalb weniger Monate von der Realität.
- Dienstleistungsunternehmen und externes Personal ausklammern: Viele Richtlinien beziehen sich ausschließlich auf die eigene Belegschaft und lassen freie Mitarbeitende, Subunternehmen und Dienstleistungsunternehmen mit Systemzugriff außen vor. Das ist eines der häufigsten Einfallstore und einer der Punkte, die im Audit besonders genau angesehen werden.
- Die Kenntnisnahme nicht nachweisen können: Das Dokument existiert, ist freigegeben und veröffentlicht, aber niemand kann belegen, wer es gelesen hat. Ohne dokumentierte Bestätigung ist die Anforderung an Kommunikation und Kenntnisnahme nicht erfüllt.
- Eine Lücke zwischen Text und tatsächlicher Konfiguration der Geräte: Die Richtlinie nennt Festplattenverschlüsselung, automatische Bildschirmsperre und sichere Passwörter, und bei der Prüfung des Gerätebestands erfüllt ein Teil der Endgeräte keine dieser drei Vorgaben. Das ist der Fehler mit den schwersten Folgen, weil er aus einer Nebenabweichung eine Hauptabweichung macht.
Setzen Sie Ihre Informationssicherheitsrichtlinie mit Factorial IT um.
Eine Richtlinie nützt nur dann etwas, wenn das, was sie festlegt, auf den Geräten tatsächlich angewendet wird und sich diese Anwendung nachweisen lässt. Je manueller der Prozess, desto weiter entfernen sich Dokument und Realität voneinander.
Factorial IT nimmt die Geräte Ihres Unternehmens ins Management auf und wendet die Vorgaben zu Verschlüsselung, Bildschirmsperre und Passwörtern auf Mac, Windows und Linux an, ohne dass jedes Gerät einzeln konfiguriert werden muss. Die Richtlinie wird bereits im Onboarding ausgehändigt und bestätigt, und diese Bestätigung liegt mit Datum in der Personalakte der jeweiligen Person.
Im Ergebnis steht hinter der Richtlinie ein Statusbericht, der zeigt, welche Geräte welche Maßnahme erfüllen und wer das Dokument bestätigt hat.
FAQ
Was ist eine Informationssicherheitsrichtlinie?
Eine Informationssicherheitsrichtlinie ist ein von der Geschäftsleitung verabschiedetes Dokument, das die Grundsätze, Verantwortlichkeiten und den Rahmen zum Schutz von Unternehmensdaten festlegt. Sie dient als strategischer Maßstab für alle technischen und organisatorischen Sicherheitsentscheidungen.
Was sind die 3 Säulen der Informationssicherheit?
Die drei Säulen sind Vertraulichkeit (Schutz vor unbefugtem Zugriff), Integrität (Korrektheit der Daten) und Verfügbarkeit (Zugriffsbereitschaft). Factorial, eine All-in-one-Unternehmenssoftware, hilft Ihnen, diese Säulen durch automatisierte Gerätesicherheit und nachweisbare Richtlinien-Bestätigungen im Onboarding abzusichern.
Ist ein ISB verpflichtend?
Ein Informationssicherheitsbeauftragter (ISB) ist gesetzlich nicht für alle Unternehmen verpflichtend, jedoch für kritische Infrastrukturen (KRITIS) unter der NIS2-Richtlinie sowie für eine ISO-27001-Zertifizierung zwingend erforderlich. Unabhängig von der Pflicht ist die Rolle für ein effektives Risikomanagement dringend ratsam.
