Dieser Leitfaden zeigt, was ISO/IEC 27001, der IT-Grundschutz des BSI und die NIS2-Vorgaben von der Leitlinie erwarten, wie sie sich von themenspezifischen Richtlinien unterscheidet und wie Sie sie in fünf Schritten erstellen. Am Ende steht eine Gliederung, die Sie direkt übernehmen können. Die Beispiele sind erfunden.
Was die Leitlinie leisten muss
Die Leitlinie ist das oberste Dokument Ihres ISMS. Sie beantwortet die Frage „Warum und mit welchem Anspruch?“, nicht „Wie genau?“. Drei Quellen beschreiben, was hineingehört.
- ISO/IEC 27001:2022, Abschnitt 5.2. Die oberste Leitung legt eine Leitlinie fest, die zum Zweck der Organisation passt, Ziele enthält oder einen Rahmen für Ziele setzt und zwei Verpflichtungen ausspricht: zutreffende Anforderungen zu erfüllen und das ISMS fortlaufend zu verbessern. Die Leitlinie liegt als dokumentierte Information vor, wird intern bekannt gemacht und steht interessierten Parteien bei Bedarf zur Verfügung.
- BSI-Standard 200-2, Kapitel 3.4. Die IT-Grundschutz-Methodik nennt Stellenwert der Informationssicherheit, Ziele, Geltungsbereich und Sicherheitsorganisation als Kern. Die Leitung gibt die Leitlinie frei, macht sie bekannt und hält sie aktuell. Für eine Zertifizierung auf Basis von IT-Grundschutz ist sie das erste Referenzdokument (A.0.1). BSI-Standard 200-1 beschreibt den Managementrahmen, in den sie eingebettet ist.
- NIS2. § 30 Abs. 2 Nr. 1 BSIG nennt Konzepte für die Risikoanalyse und die Sicherheit in der Informationstechnik. Nach § 38 Abs. 1 BSIG setzt die Geschäftsleitung die Risikomanagementmaßnahmen um und überwacht sie. Für bestimmte digitale Anbieter, etwa Cloud-, Rechenzentrums- und Managed-Service-Anbieter, wird die Durchführungsverordnung (EU) 2024/2690 der EU-Kommission konkret: Ihr Anhang nennt unter Nummer 1.1 elf Punkte für das Konzept, darunter Ressourcen, Rollen, eine Liste der themenspezifischen Konzepte, Kennzahlen und das Datum der Genehmigung durch die Leitung. Auch für andere Einrichtungen ist diese Liste ein guter Maßstab.
Wer mehrere Regelwerke bedient, schreibt eine Leitlinie, die alle drei Erwartungen erfüllt. Zwei Leitlinien für ISO 27001 und NIS2 braucht niemand.
Leitlinie oder Richtlinie: der Unterschied
Viele Leitlinien sind zu lang, weil Regeln für Passwörter, Backup oder Fernzugriff darin stehen. Auditoren erwarten eine Pyramide:
| Ebene | Dokument | Frage | Beispiel |
|---|---|---|---|
| 1 | Leitlinie | Warum und mit welchem Anspruch? | Ziele, Geltungsbereich, Verantwortung der Leitung |
| 2 | Themenspezifische Richtlinie | Was gilt? | Zugriffsrichtlinie, Backup-Richtlinie, Richtlinie für Lieferanten |
| 3 | Verfahren | Wer macht was und wann? | Ablauf für Berechtigungsanträge |
| 4 | Arbeitsanweisung | Wie genau, technisch? | Einrichtung eines Fernzugangs zur Anlage |
Themenspezifische Richtlinien fordert ISO/IEC 27001 in Anhang A 5.1. Sie werden ebenfalls von der Leitung genehmigt, bekannt gemacht und überprüft, ändern sich aber öfter. Die Leitlinie verweist auf sie und bleibt dadurch stabil. Welche Richtlinien Sie brauchen, ergibt sich aus Ihrer Erklärung zur Anwendbarkeit.
Die Leitlinie in fünf Schritten
- Entwurf in kleiner Runde. Künftiger ISB, IT, OT oder Produktion, Personal und, wo vorhanden, Datenschutz und Betriebsrat. Eine Person schreibt, die anderen lesen gegen.
- Auf zwei bis vier Seiten begrenzen. Alles, was eine Technik nennt, wandert in eine Richtlinie. Der Text muss für die Schicht in der Produktion genauso verständlich sein wie für den Vertrieb.
- Freigabe durch die Leitung. Die Geschäftsführung gibt die Leitlinie mit Datum frei, per Unterschrift oder als dokumentierte Freigabe im Dokumentensystem. Nach jeder inhaltlichen Änderung erneut.
- Bekannt machen und Kenntnisnahme festhalten. Alle Beschäftigten, neue beim Eintritt, und Dienstleister mit Zugang erhalten die Leitlinie. Wer keinen PC-Arbeitsplatz hat, erhält sie in der Unterweisung oder als Aushang. Halten Sie fest, wer sie zur Kenntnis genommen hat.
- Überprüfung festlegen. ISO/IEC 27001 verlangt geplante Abstände und eine Prüfung bei wesentlichen Änderungen (Anhang A 5.1). Die Durchführungsverordnung (EU) 2024/2690 nennt mindestens jährlich sowie nach erheblichen Vorfällen. Praktisch ist ein fester Termin im Zuge der Managementbewertung, mit dokumentiertem Ergebnis, auch wenn sich nichts ändert.
Gliederung als Vorlage
Die Gliederung verbindet die drei Quellen. Die Spalte „Bezug“ nennt, woher ein Abschnitt kommt; die Verweise auf ISO/IEC 27001 geben die Norm in eigenen Worten wieder.
| Abschnitt | Inhalt in einem Satz | Bezug |
|---|---|---|
| 1. Stellenwert | Warum Informationssicherheit für Ihr Geschäft zählt, konkret und verständlich | ISO 5.2 a, BSI 200-2 Kap. 3.4, DVO 1.1.1 a, b |
| 2. Geltungsbereich | Für welche Standorte, Bereiche, Personen und Dienstleister die Leitlinie gilt | BSI 200-2 Kap. 3.4, ISO 4.3 |
| 3. Ziele | Übergeordnete Ziele, aus denen jährliche messbare Ziele folgen | ISO 5.2 b, DVO 1.1.1 c |
| 4. Grundsätze | Wenige Prinzipien, etwa Need-to-know und Melden ohne Strafe | Praxis |
| 5. Verpflichtungen der Leitung | Anforderungen erfüllen, fortlaufend verbessern, Mittel bereitstellen | ISO 5.2 c, d, DVO 1.1.1 d, e |
| 6. Rollen und Verantwortung | Geschäftsführung, ISB, Führungskräfte, alle Beschäftigten | ISO 5.3, DVO 1.1.1 g |
| 7. Nachgeordnete Richtlinien | Liste der geltenden Richtlinien mit Verweis | ISO A 5.1, DVO 1.1.1 i |
| 8. Messung | Wie die Leitung die Umsetzung verfolgt, etwa über Kennzahlen | DVO 1.1.1 j |
| 9. Verstöße und Meldewege | Wohin Vorfälle gemeldet werden, Folgen von Verstößen | Praxis, mit Personal abstimmen |
| 10. Lenkung und Freigabe | Version, Einstufung, Verantwortliche, Überprüfung, Freigabedatum | ISO 7.5, DVO 1.1.1 k |
DVO steht für die Durchführungsverordnung (EU) 2024/2690. Deren Punkt 1.1.1 h, die Aufbewahrung von Unterlagen, regeln viele lieber in der Richtlinie zur Dokumentenlenkung und verweisen in Abschnitt 10 darauf.
Beispiel aus der Produktion
Das Beispiel ist erfunden. Ein Spritzgießer mit zwei Werken hat eine Leitlinie von neun Seiten. Sie enthält Passwortregeln, Firewall-Grundsätze und eine Liste freigegebener USB-Sticks. Die Produktion kommt nicht vor, unterschrieben hat 2021 ein inzwischen ausgeschiedener Geschäftsführer.
- Gekürzt: Die neue Fassung hat drei Seiten. Passwörter, Firewall und USB stehen jetzt in drei Richtlinien, auf die Abschnitt 7 verweist.
- Erweitert: Der Geltungsbereich nennt ausdrücklich beide Werke einschließlich der Steuerungstechnik. Ein Ziel lautet „Verfügbare Produktion und sichere Fernwartung“.
- Freigegeben: Beide Geschäftsführer geben die Leitlinie frei. Der Betriebsrat war beim Entwurf dabei.
- Bekannt gemacht: Die Schichtleitungen besprechen sie in der Unterweisung, die Teilnahme wird festgehalten.
- Danach: Die Überprüfung steht als fester Punkt auf der Tagesordnung der Managementbewertung.
Checkliste
- Die Leitlinie hat höchstens etwa vier Seiten und nennt keine technischen Einzelheiten.
- Stellenwert, Geltungsbereich und Ziele oder ein Rahmen für Ziele sind beschrieben.
- Die Leitung verpflichtet sich zu Anforderungen, Verbesserung und Mitteln.
- Rollen von Geschäftsführung, ISB und Beschäftigten sind festgelegt.
- Die nachgeordneten Richtlinien sind aufgeführt.
- Die Geschäftsführung hat mit Datum freigegeben.
- Alle Beschäftigten und relevante Dienstleister haben die Leitlinie erhalten, die Kenntnisnahme ist festgehalten.
- Neue Beschäftigte erhalten sie beim Eintritt.
- Ein Termin für die Überprüfung steht fest, das Ergebnis wird dokumentiert.
Die Leitlinie in Complass
Eine Word-Datei im Netzlaufwerk und eine Rundmail zur Kenntnisnahme laufen schnell auseinander: Welche Fassung gilt, wer hat sie gelesen, wann ist die Überprüfung fällig? In Complass ist das ein Vorgang:
- Kostenlose Vorlage. Auf complass.eu laden Sie die Informationssicherheitsleitlinie als Word-Datei und PDF herunter, ohne Formular, unter der Lizenz CC BY 4.0. Je Abschnitt gibt es einen Ausfüllhinweis und einen Formulierungsvorschlag.
- Geführt im Portal. Im ISO-27001-Projekt füllen Sie die Gliederung der Vorlage mit Ausfüllhilfe und Beispieltext aus; Kennzahlen (Abschnitt 8) tragen Sie dort unter den Zielen ein.
- Freigabe mit Nachweis. Wer das Recht „Dokumente freigeben“ hat, gibt frei. Es entsteht eine unveränderliche Fassung mit Prüfsumme, auf Wunsch nach dem Vier-Augen-Prinzip.
- Richtlinien automatisch verknüpft. Die Liste der nachgeordneten Richtlinien füllt das Portal aus der Dokumentenpyramide und friert sie bei der Freigabe ein.
- Kenntnisnahme ohne Rundmail. Beschäftigte bestätigen mit „Gelesen und verstanden“. Offene Kenntnisnahmen erinnert das Portal nach einer Woche per E-Mail, höchstens dreimal.
- Überprüfung im Blick. Nach jeder Freigabe berechnet das Portal den nächsten Termin und erinnert die verantwortliche Person 30 Tage vorher.
Häufige Fragen
Wie lang darf eine Informationssicherheitsleitlinie sein?
Keine der genannten Quellen nennt eine Seitenzahl. Bewährt haben sich zwei bis vier Seiten. Wird es länger, stehen meist Regeln darin, die in eine Richtlinie gehören.
Muss die Geschäftsführung unterschreiben?
ISO/IEC 27001 verlangt, dass die oberste Leitung die Leitlinie festlegt. Eine Unterschrift ist nicht vorgeschrieben, Auditoren erwarten aber eine nachweisbare Freigabe. Die Durchführungsverordnung (EU) 2024/2690 verlangt das Datum der Genehmigung durch die Leitung im Dokument.
Brauchen wir für NIS2 eine eigene Leitlinie?
Nein. Eine Leitlinie kann ISO 27001, IT-Grundschutz und NIS2 zugleich abdecken, wenn sie die Punkte aller Quellen enthält. Nennen Sie im Geltungsbereich die Bereiche, für die NIS2 gilt.
Dürfen wir die Leitlinie veröffentlichen?
Ja, und Kunden fragen oft danach. Prüfen Sie vorher, dass sie keine internen Einzelheiten enthält. Eine gute Leitlinie tut das ohnehin nicht.
Wie oft muss die Leitlinie überprüft werden?
ISO/IEC 27001 nennt geplante Abstände und wesentliche Änderungen. Für Einrichtungen unter der Durchführungsverordnung (EU) 2024/2690 gilt mindestens jährlich. Ein jährlicher Termin ist für alle ein sinnvoller Standard.
In einer Demo zeigen wir Ihnen an der Demo-Firma, wie aus der Vorlage eine freigegebene Leitlinie mit Kenntnisnahmen und Überprüfungstermin wird.
Weiterlesen
- Leitfaden „Pflichtdokumente nach ISO 27001 im Überblick“
- Leitfaden „Geltungsbereich des ISMS festlegen: Schritte und Beispiel“
- Leitfaden „Anwendbarkeitserklärung (SoA) nach ISO 27001 erstellen, mit Vorlage“
- Leitfaden „Geschäftsleitung und NIS2: was § 38 BSIG verlangt“
- Whitepaper ISO 27001
- ISO 27001 in Complass
Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich sind der aktuelle Wortlaut des BSIG und der Durchführungsverordnung (EU) 2024/2690 sowie Ihre lizenzierten Ausgaben der Normen. Stand: November 2026.