Beispieldokument: Diese Leitlinie verwendet die fiktive „Muster GmbH“. Unternehmensname, Geschäftstätigkeit, Verantwortlichkeiten, Gültigkeitsdaten und Freigaben sind vor der Veröffentlichung durch die tatsächlichen Angaben zu ersetzen.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-LT-01 |
| Dokumentenart | Leitlinie |
| Wiki.js-Pfad | /ISMS/01-Fuehrung-und-Steuerung/Informationssicherheitsleitlinie |
| Verantwortlich | Geschäftsführung |
| Dokumentenpflege | ISMS-Beauftragte/r |
| Fachlich geprüft durch | IT-Leitung und Qualitätsmanagement |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe |
| Schutzklasse | Intern; externe Bereitstellung nach Freigabe möglich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 5.2 und Annex A 5.1 |
| VDA-ISA-Bezug | ISA 6.0.3, Kapitel 1.1 „Information Security Policies“ |
Informationen, Daten, Wissen, IT-Systeme, Produktionsmittel und Geschäftsprozesse sind wesentliche Werte der Muster GmbH. Ihr angemessener Schutz ist Voraussetzung für eine zuverlässige Leistungserbringung, das Vertrauen unserer Kunden und Geschäftspartner sowie den nachhaltigen Erfolg des Unternehmens.
Die Geschäftsführung verpflichtet sich, ein angemessenes Informationssicherheitsmanagementsystem (ISMS) einzurichten, wirksam zu betreiben und fortlaufend zu verbessern. Informationssicherheit wird als Führungsaufgabe und als gemeinschaftliche Verantwortung aller Beschäftigten verstanden.
Die Geschäftsführung unterstützt die Ziele dieser Leitlinie, stellt angemessene Ressourcen bereit und erwartet von allen Personen im Geltungsbereich ein sicherheitsbewusstes und regelkonformes Verhalten.
Diese Leitlinie legt die übergeordneten Grundsätze und Ziele der Informationssicherheit fest. Sie bildet den Rahmen für:
Die Informationssicherheitsmaßnahmen werden risikobasiert und unter Berücksichtigung gesetzlicher, behördlicher, vertraglicher, kundenspezifischer sowie normativer Anforderungen festgelegt.
Die Leitlinie gilt für:
Der verbindliche organisatorische und räumliche Umfang ist unter Geltungsbereich und Standorte beschrieben.
Die Muster GmbH schützt Informationen und unterstützende Werte nach ihrem jeweiligen Schutzbedarf. Im Mittelpunkt stehen:
| Schutzziel | Bedeutung |
|---|---|
| Vertraulichkeit | Informationen sind nur für berechtigte Personen und Systeme zugänglich. |
| Integrität | Informationen und Systeme sind richtig, vollständig und vor unberechtigter Veränderung geschützt. |
| Verfügbarkeit | Informationen, Systeme und Leistungen stehen im erforderlichen Umfang und Zeitraum zur Verfügung. |
| Authentizität | Identitäten, Informationen und Kommunikationspartner sind verlässlich zuordenbar. |
| Nachvollziehbarkeit | Sicherheitsrelevante Handlungen und Entscheidungen können angemessen belegt werden. |
Bei personenbezogenen Daten, Geschäftsgeheimnissen, Kundeninformationen und Prototypen werden zusätzliche rechtliche, vertragliche und kundenspezifische Schutzanforderungen berücksichtigt.
Führungskräfte tragen Verantwortung für die Informationssicherheit in ihren Bereichen. Sie setzen die Vorgaben um, stellen erforderliche Ressourcen bereit und wirken durch ihr Verhalten als Vorbild.
Jede Person im Geltungsbereich ist verpflichtet, die für sie geltenden Sicherheitsregeln zu kennen und einzuhalten.
Sicherheitsmaßnahmen orientieren sich an:
Risiken werden nachvollziehbar bewertet, behandelt, überwacht und nur durch dazu befugte Stellen akzeptiert.
Informationssicherheit wird frühzeitig in Geschäftsprozessen, Projekten, Beschaffungen, technischen Änderungen und Entwicklungen berücksichtigt. Sicherheitsanforderungen werden nicht erst nach Inbetriebnahme ergänzt.
Zugriffe und Berechtigungen werden auf das für die jeweilige Aufgabe erforderliche Maß beschränkt. Kritische Tätigkeiten und Entscheidungen werden, soweit angemessen, durch Aufgabentrennung, Freigaben oder zusätzliche Kontrollen abgesichert.
Informationen, Systeme und Betriebsmittel werden von ihrer Entstehung beziehungsweise Beschaffung bis zur Rückgabe, Löschung, Vernichtung oder Außerbetriebnahme geschützt.
Beschäftigte werden entsprechend ihrer Aufgaben informiert, verpflichtet, geschult und regelmäßig sensibilisiert. Besondere Rollen erhalten die erforderliche Fachkunde und Unterstützung.
Informationssicherheitsereignisse, Schwachstellen, verdächtige Beobachtungen und Regelverstöße sind unverzüglich über die festgelegten Meldewege zu melden. Frühzeitige und gutgläubige Meldungen werden unterstützt.
Informationssicherheitsanforderungen werden risikobasiert in Auswahl, Beauftragung, Steuerung und Beendigung externer Leistungen einbezogen. Zugriffe und Leistungen externer Parteien werden angemessen vertraglich geregelt und überwacht.
Kritische Prozesse und Systeme werden identifiziert. Angemessene Vorkehrungen für Störungen, Ausfälle, Sicherheitsvorfälle und Krisen werden geplant, getestet und verbessert.
Die Wirksamkeit des ISMS wird durch Kennzahlen, Kontrollen, Tests, Audits, Vorfallauswertungen und Managementbewertungen überwacht. Festgestellte Abweichungen und Verbesserungsmöglichkeiten werden systematisch bearbeitet.
Die Muster GmbH verfolgt insbesondere folgende Ziele:
| Ziel | Grundsätzliche Ausrichtung |
|---|---|
| Schutz vertraulicher Informationen | Unberechtigte Offenlegung von Kunden-, Unternehmens- und Personaldaten verhindern |
| Sichere und zuverlässige Leistungserbringung | Kritische Prozesse und Systeme angemessen verfügbar halten |
| Beherrschung von Informationssicherheitsrisiken | Risiken regelmäßig bewerten und Maßnahmen nachvollziehbar steuern |
| Regelkonformität | Rechtliche, vertragliche, Kunden- und ISMS-Anforderungen einhalten |
| Sicherheitsbewusstsein | Beschäftigte für ihre Verantwortung befähigen und sensibilisieren |
| Wirksame Reaktion | Sicherheitsereignisse früh erkennen, melden, behandeln und auswerten |
| Sichere Lieferkette | Risiken aus Dienstleistern und Lieferanten angemessen steuern |
| Fortlaufende Verbesserung | ISMS und Sicherheitsmaßnahmen messbar weiterentwickeln |
Aus dieser Leitlinie werden messbare, terminierte und verantwortete Informationssicherheitsziele abgeleitet. Zielabweichungen bleiben bis zur Bewertung und wirksamen Behandlung sichtbar.
Die Muster GmbH ermittelt und berücksichtigt die anwendbaren:
Die relevanten Anforderungen werden im Rechts- und Vertragskataster und im ISO-TISAX-Mapping nachverfolgt.
| Rolle | Grundsätzliche Verantwortung |
|---|---|
| Geschäftsführung | ISMS beauftragen, Leitlinie und Ziele freigeben, Ressourcen bereitstellen und Wirksamkeit bewerten |
| ISMS-Beauftragte/r | ISMS koordinieren, berichten, Dokumentation pflegen und Verbesserungen nachverfolgen |
| Führungskräfte | Anforderungen im eigenen Bereich umsetzen und Einhaltung überwachen |
| Informations-/Asset-Verantwortliche | Schutzbedarf, Zugriffe, Risiken und Lebenszyklus ihrer Assets steuern |
| IT-Leitung und IT-Betrieb | Sicheren und zuverlässigen Betrieb der Informationsverarbeitung gewährleisten |
| Personalwesen | Sicherheitsanforderungen im Beschäftigungszyklus berücksichtigen |
| Einkauf und Service Owner | Informationssicherheit bei Lieferanten und Dienstleistern steuern |
| Beschäftigte und externe Personen | Vorgaben einhalten, Informationen schützen und Ereignisse melden |
Die detaillierte Zuordnung erfolgt unter Rollen und Verantwortlichkeiten.
Alle Beschäftigten und sonstigen verpflichteten Personen müssen insbesondere:
Unkenntnis ersetzt nicht die Pflicht, sich über die für die eigene Tätigkeit geltenden Regelungen zu informieren.
Sicherheitsereignisse und Verdachtsfälle werden nach festgelegten Verfahren behandelt. Dazu gehören beispielsweise:
Meldungen erfolgen über den Meldeweg für Sicherheitsvorfälle. Personen sollen bei einem Verdacht nicht eigenmächtig Beweismittel löschen oder Untersuchungen behindern.
Verstöße gegen Informationssicherheitsvorgaben können zu erheblichen Schäden für das Unternehmen, Beschäftigte, Kunden und Geschäftspartner führen. Sie werden unter Beachtung der gesetzlichen, arbeitsrechtlichen und vertraglichen Rahmenbedingungen bewertet und behandelt.
Ausnahmen von Sicherheitsvorgaben:
Das Verfahren ist unter Ausnahmen und Risikoakzeptanzen geregelt.
Die freigegebene Leitlinie wird allen Beschäftigten in geeigneter Form bekannt gemacht und dauerhaft zugänglich gehalten. Relevante Änderungen werden zielgruppengerecht kommuniziert.
Eine zur externen Weitergabe bestimmte Fassung kann Kunden, Geschäftspartnern und anderen interessierten Parteien bereitgestellt werden. Dabei werden keine vertraulichen Sicherheitsdetails veröffentlicht.
Erforderliche Kenntnisnahmen, Schulungen oder Unterweisungen werden angemessen dokumentiert.
Die Umsetzung dieser Leitlinie wird unter anderem überwacht durch:
Die Geschäftsführung bewertet regelmäßig, ob das ISMS weiterhin geeignet, angemessen und wirksam ist.
Die Leitlinie wird mindestens jährlich und zusätzlich anlassbezogen geprüft. Eine außerplanmäßige Prüfung erfolgt insbesondere bei:
Änderungen werden dokumentiert, fachlich geprüft, durch die Geschäftsführung freigegeben und den betroffenen Personen mitgeteilt.
Mit ihrer Freigabe setzt die Geschäftsführung diese Informationssicherheitsleitlinie für den festgelegten Geltungsbereich in Kraft. Sie verpflichtet alle betroffenen Personen zur Beachtung der für ihre Aufgaben geltenden Informationssicherheitsregelungen.
| Freigabefunktion | Name | Datum | Bestätigung |
|---|---|---|---|
| Geschäftsführung | [Name] | [TT.MM.JJJJ] | [Freigabe/Unterschrift] |
Aktueller Freigabestatus: Entwurf – eine formale Freigabe liegt noch nicht vor.
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Beispieldokument angelegt | ISMS-Beauftragte/r | Ausstehend | – |