ISO 27001:2022 · A.5.1 · A.5 Organisatorische Maßnahmen

Informationssicherheitsrichtlinien

Eine Informationssicherheitsrichtlinie und themenspezifische Richtlinien müssen definiert, von der Leitung genehmigt, veröffentlicht, kommuniziert und in geplanten Abständen sowie bei Bedarf überprüft werden.

ISO 27001NIS2TISAXBSI

Was fordert dieses Control?

Warum ist das wichtig?

Die Sicherheitsrichtlinie ist das Fundament des ISMS. Sie macht die Haltung der Leitung verbindlich und ist Bezugspunkt für alle weiteren Maßnahmen und Nachweise.

Bezug zu anderen Normen

Norm	Stelle	Thema	Bezug
NIS2	§ 30 Abs. 2 BSIG	Risikomanagementmaßnahmen	Direkt
TISAX	1.1.1	Informationssicherheitspolitik	Direkt
BSI	ISMS.1.A3	Sicherheitsleitlinie	Direkt

Was der Auditor erwartet

Von der Leitung freigegebene, aktuelle Sicherheitsrichtlinie
Themenspezifische Richtlinien für relevante Bereiche
Nachweis von Kommunikation und regelmäßiger Überprüfung

Audit-Checkliste

Dokumente

InformationssicherheitsrichtlinieFreigabe durch die Leitung mit Datum und Version

Themenspezifische RichtlinienAbdeckung relevanter Bereiche wie Zugriff, Krypto, mobiles Arbeiten

Nachweise

KommunikationsnachweisVeröffentlichung und Bestätigung durch Mitarbeiter

Review-HistorieRegelmäßige Überprüfung und Aktualisierung

VerteilnachweisPolicy-Acknowledgment, das den Zugang zur aktuellen Fassung belegt

Interviews

Leitung / ISBKenntnis und Trägerschaft der Richtlinie

Praxis-Tipps zur Umsetzung

Leitung sichtbar einbindenDie Freigabe durch die Geschäftsführung ist zwingend und sollte dokumentiert sein.

Hierarchie aufbauenEine Dachrichtlinie plus themenspezifische Richtlinien statt eines unübersichtlichen Monsterdokuments.

Review-Zyklus festlegenMindestens jährliche Überprüfung fest terminieren.

Häufige Fehler

SchubladenrichtlinieDokument existiert, ist aber niemandem bekannt und wird nicht gelebt.

Keine FreigabeEs fehlt die nachweisbare Genehmigung durch die Leitung.

Häufig gestellte Fragen

Wie oft muss die Richtlinie überprüft werden?

Mindestens jährlich und zusätzlich bei wesentlichen Änderungen der Organisation oder Bedrohungslage.

Reicht eine einzige Richtlinie?

Eine Dachrichtlinie ist Pflicht, ergänzt um themenspezifische Richtlinien für die relevanten Bereiche.

Muss die Geschäftsführung unterschreiben?

Ja, die Freigabe durch die oberste Leitung ist eine Kernanforderung der ISO 27001.

So hilft CompliantDesk bei A.5.1

Erstellen Sie Richtlinien per Wizard, lassen Sie sie von der Leitung freigeben und von Mitarbeitern bestätigen, inklusive Versionierung und Review-Fristen.

Demo buchen Kostenloser NIS2-Check

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten