Grundregel: Informationen werden nach ihrem Schutzbedarf und den bestätigten Kunden-, Rechts-, Vertrags- und Geschäftsanforderungen klassifiziert, gekennzeichnet und behandelt.
Standard bei Unsicherheit: Eine fehlende Kennzeichnung bedeutet nicht „öffentlich“. Bis zur fachlichen Entscheidung werden Informationen mindestens als Intern behandelt. Erkennbare Kunden-, Personen-, Entwicklungs-, Sicherheits- oder Prototypinformationen werden vorsorglich strenger geschützt und dem Information Owner zur Entscheidung vorgelegt.
Beispieldokument: Klassen, Kennzeichnungen und Handhabungsregeln sind als Muster für die „Muster GmbH“ angelegt. Sie dürfen erst nach Prüfung der tatsächlichen Informationsarten, Systeme, Verträge und technischen Möglichkeiten als verbindliche Richtlinie freigegeben werden.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-03-01 |
| Dokumentenart | Richtlinie / Verfahren zur Informationsklassifizierung |
| Wiki.js-Pfad | /ISMS/03-Organisation-und-Assets/Informationsklassifizierung |
| Verantwortlich | ISMS-Verantwortliche/r |
| Fachlich geprüft durch | Information Owner, Datenschutz, Recht, IT, TISAX-Koordination und Prozessverantwortliche |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Handhabungsregeln und technische Umsetzung nicht freigegeben |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Nächste Prüfung | Mindestens jährlich sowie bei wesentlichen Anforderungs-, Prozess- oder Systemänderungen |
| Schutzklasse | Intern |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Annex A 5.9, 5.10, 5.12 bis 5.14, 7.7, 7.10, 8.10 und 8.11 |
| VDA-ISA-Bezug | ISA 6.0.3, insbesondere Kapitel 1.3 „Asset Management“ und betroffene Schutzanforderungen |
Diese Richtlinie legt fest:
Ziel ist eine risikogerechte und verständliche Handhabung von Informationen über ihren gesamten Lebenszyklus.
Die Richtlinie gilt innerhalb des festgelegten ISMS-Geltungsbereichs für Informationen unabhängig von:
Erfasst werden insbesondere:
Die Richtlinie gilt für Beschäftigte, externe Beschäftigte, Dienstleister und alle Personen, die im Auftrag der Organisation Informationen verarbeiten.
Die Informationsklassifizierung beschreibt vorrangig den erforderlichen Schutz vor unberechtigter Offenlegung.
Zusätzlich werden im Asset-Inventar die Anforderungen an:
bewertet.
Beispiele:
Klassifizierung und Schutzbedarfsfeststellung werden deshalb gemeinsam betrachtet, aber nicht gleichgesetzt.
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Klassifizierungsmodell, wesentliche Ausnahmen und Ressourcen freigeben |
| ISMS-Verantwortung | Richtlinie koordinieren, Anwendung überwachen und Zweifelsfälle moderieren |
| Information Owner | Klasse, Empfängerkreis, Nutzung, Weitergabe, Aufbewahrung und Herabstufung entscheiden |
| Asset-/System Owner | technische Eignung, Schutzmaßnahmen und Systemkennzeichnung sicherstellen |
| Prozessverantwortliche | Informationsarten und Handhabung in Prozesse und Anweisungen integrieren |
| Erstellende Person | Information nach Vorgabe kennzeichnen und nur in geeigneten Systemen verarbeiten |
| Nutzende/Empfangende | Kennzeichnung beachten, Zugriff schützen und Fehlversand beziehungsweise Verlust melden |
| Datenschutz | Personenbezug, Datenschutzanforderungen und zulässige Verarbeitung prüfen |
| Recht/Compliance | Rechts-, Vertrags-, Geheimhaltungs-, Export- und Aufbewahrungsanforderungen prüfen |
| TISAX-/Kundenkoordination | Kunden-, Prototypen- und Assessmentanforderungen koordinieren |
| IT-Betrieb | Zugriffs-, Übertragungs-, Protokollierungs-, Backup- und Löschfunktionen bereitstellen |
| Einkauf/Lieferantenmanagement | Schutzanforderungen in Verträgen und externe Leistungen übertragen |
Der Information Owner ist für die fachliche Entscheidung verantwortlich. Er muss nicht jede Datei manuell kennzeichnen, muss aber klare Regeln für die zugehörige Informationsart festlegen.
| Klasse | Bedeutung | mögliche Auswirkungen bei Offenlegung | typische Beispiele im Muster |
|---|---|---|---|
| Öffentlich | ausdrücklich zur Veröffentlichung freigegeben | keine oder nur vernachlässigbare nachteilige Wirkung | freigegebene Website, veröffentlichte Presseinformation |
| Intern | für betriebliche Nutzung; nicht für die allgemeine Öffentlichkeit | begrenzte interne, organisatorische oder wirtschaftliche Nachteile | allgemeine Prozessinformationen, interne Terminplanung |
| Vertraulich | Zugriff nur nach Aufgabe und Need-to-know | wesentliche rechtliche, vertragliche, wirtschaftliche oder personenbezogene Auswirkungen | Verträge, Kalkulationen, Personal- oder Lieferantendaten |
| Streng vertraulich | stark eingeschränkter, besonders kontrollierter Zugriff | schwerwiegende oder kritische Schäden für Organisation, Kunden oder betroffene Personen | hochsensible Kunden-, Entwicklungs-, Sicherheits- oder Prototypinformationen |
Die Beispiele sind keine automatische Einstufung. Inhalt, Kontext, Menge, Kombination, Vertrag und Empfängerkreis können eine höhere oder niedrigere Klasse erfordern.
Der Information Owner bewertet mindestens:
| Kriterium | Leitfragen |
|---|---|
| Kunden-/Vertragsanforderung | Gibt es eine Kennzeichnung, NDA, Sicherheitsklausel oder Zweckbindung? |
| Geschäftsgeheimnis | Hat die Information wirtschaftlichen Wert und werden angemessene Geheimhaltungsmaßnahmen erwartet? |
| Personenbezug | Sind identifizierbare Personen, besondere Daten oder erhebliche Risiken betroffen? |
| Entwicklung/Prototyp | Betrifft die Information neue Produkte, Muster, Fahrzeuge, Bauteile, Fotos oder Tests? |
| Sicherheit | Erleichtert eine Offenlegung Angriffe, Umgehung, Manipulation oder unberechtigten Zutritt? |
| Finanzen/Strategie | Betrifft die Information Preise, Kalkulationen, Planungen, Transaktionen oder Entscheidungen? |
| Menge/Aggregation | Wird eine große oder aussagekräftige Sammlung gebildet? |
| Empfänger | Ist der Kreis öffentlich, intern, projektbezogen oder individuell beschränkt? |
| Rechts-/Regelungsbezug | Bestehen Geheimhaltungs-, Export-, Berufs-, Aufbewahrungs- oder Meldeanforderungen? |
| Zeitbezug | Verliert die Information nach Veröffentlichung, Projektende oder Fristablauf ihre Sensibilität? |
| Auswirkung | Welche Schäden können durch Offenlegung, Veränderung oder Verlust entstehen? |
| Feld | Eintrag |
|---|---|
| Informations-/Asset-ID | [INF-NNN beziehungsweise Asset-Referenz] |
| Informationsart | [Bezeichnung] |
| Information Owner | [Rolle] |
| Prozess-/Projektbezug | [Referenz] |
| Quellenanforderung | [Kunde/Vertrag/Recht/intern] |
| Klasse | [Öffentlich/Intern/Vertraulich/Streng vertraulich] |
| zusätzliche Kennzeichen | [Personenbezug/Prototyp/Export/sonstige] |
| Begründung | [Kriterien und Auswirkungen] |
| zugelassene Empfänger/Systeme | [Rollen/Plattformen] |
| Aufbewahrung/Löschung | [Regel/Referenz] |
| Freigabe/Entscheidung | [Rolle, Datum] |
| nächster Review/Auslöser | [Datum/Ereignis] |
| Situation | Regel |
|---|---|
| keine Kennzeichnung und keine Entscheidung | mindestens Intern behandeln |
| erkennbare sensible Inhalte | vorläufig Vertraulich oder strenger behandeln und Owner einbeziehen |
| externe Kennzeichnung vorhanden | externe Vorgabe erhalten und Mapping prüfen |
| mehrere Inhalte in einem Dokument | höchste erforderliche Klasse verwenden oder Inhalte trennen |
| große Sammlung interner Einzelinformationen | Aggregationswirkung prüfen; gegebenenfalls höher klassifizieren |
| Auszug oder Screenshot | Klassifizierung des enthaltenen Inhalts übernehmen |
| Zweifel zwischen zwei Klassen | zunächst strengere Klasse verwenden und zeitnah entscheiden lassen |
| geplante Veröffentlichung | ausdrückliche Inhalts-, Rechte- und Veröffentlichungsfreigabe einholen |
| Klasse | sichtbare Kennzeichnung |
|---|---|
| Öffentlich | ÖFFENTLICH oder dokumentierte Veröffentlichungsfreigabe |
| Intern | INTERN |
| Vertraulich | VERTRAULICH |
| Streng vertraulich | STRENG VERTRAULICH |
Die Kennzeichnung kann je nach Medium umgesetzt werden durch:
Klassifizierung: VERTRAULICH
Information Owner: [Rolle]
Projekt/Kunde: [Referenz]
Zusatzkennzeichen: [falls erforderlich]
Gültig bis/Review: [Datum oder Ereignis]
Personennamen oder vertrauliche Projektbezeichnungen werden nicht unnötig in Dateinamen oder außen sichtbaren Etiketten offengelegt.
Eine sichtbare Kennzeichnung kann ungeeignet sein, wenn:
Die alternative Methode wird durch den Information Owner oder System Owner dokumentiert.
Zusatzkennzeichen ergänzen die Informationsklasse und ersetzen sie nicht.
| Kennzeichen | Zweck |
|---|---|
| Personenbezogene Daten | Datenschutzprüfung, Zweckbindung und Betroffenenrisiken sichtbar machen |
| Besondere personenbezogene Daten | erhöhte Datenschutz- und Zugriffsschutzprüfung auslösen |
| Kundeninformation | vertragliche und projektspezifische Regeln zuordnen |
| Prototypenschutz | ergänzende organisatorische, physische und logistische Vorgaben auslösen |
| Exportkontrolle | Länder-, Personen-, Technologie- und Freigabeprüfung auslösen |
| Legal Hold/Aufbewahrungssperre | Löschung oder Veränderung bis zur Freigabe verhindern |
| Sicherheitskritisch | erhöhten Schutz für Architektur-, Schwachstellen-, Schlüssel- oder Incident-Informationen auslösen |
Die konkrete Anwendbarkeit wird durch die zuständigen Fachrollen geprüft und nicht aus dem Kennzeichen allein abgeleitet.
| Schutzaspekt | Öffentlich | Intern | Vertraulich | Streng vertraulich |
|---|---|---|---|---|
| Zugriff | nach Freigabe allgemein | Beschäftigte/autorisiertes Umfeld | rollen- und aufgabenbezogen | individuell oder eng begrenzte Gruppe |
| Speicherung | freigegebene Systeme | verwaltete betriebliche Systeme | freigegebene Systeme mit Zugriffsschutz | besonders geschützte, beschränkte Systeme |
| externe Weitergabe | nach Veröffentlichungsfreigabe | nur geschäftlich erforderlich und zulässig | Owner-/Prozessfreigabe und gesicherter Kanal | ausdrückliche Einzelfreigabe und besonders gesicherter Kanal |
| öffentliche Freigabelinks | zulässig nach Freigabe | grundsätzlich nicht | nicht zulässig | nicht zulässig |
| Ausdruck | frei nach Veröffentlichung | geschäftlich erforderlich | begrenzen und geschützt ablegen | nur wenn zwingend erforderlich und besonders kontrolliert |
| Entsorgung | regulär, sofern keine anderen Pflichten | geschützte Entsorgung bei internen Inhalten | sichere, nachweisbare Löschung/Vernichtung | besonders kontrollierte und gegebenenfalls bestätigte Vernichtung |
| Protokollierung | nach Systembedarf | nach Risiko | relevante Zugriffe/Weitergaben nachvollziehbar | verstärkte Nachvollziehbarkeit und Review |
Die Tabelle beschreibt Mindestregeln. Kunden-, Rechts-, Vertrags- oder projektspezifische Vorgaben können strengere Anforderungen festlegen.
| Informationsklasse | Mindestfreigabe | Review im Entwurf |
|---|---|---|
| Öffentlich | Veröffentlichungs-/Inhaltsfreigabe | bei Änderung |
| Intern | Prozess- oder Systemregel | risikoorientiert |
| Vertraulich | Information/Process Owner oder definierte Rollenregel | regelmäßig und bei Rollen-/Projektänderung |
| Streng vertraulich | ausdrückliche Owner-Freigabe beziehungsweise besonders eng definierte Rolle | häufiger, risikoorientiert und bei jedem relevanten Ereignis |
Konkrete Turnusse werden anhand Risiko, Vertrag und technischer Möglichkeit freigegeben.
| Klasse | Mindestanforderung |
|---|---|
| Öffentlich | freigegebener Veröffentlichungs- oder Arbeitsbereich |
| Intern | verwaltete Organisationsablage mit angemessener Authentisierung |
| Vertraulich | freigegebene Ablage mit beschränkter Gruppe, Schutz bei Übertragung und Wiederherstellung |
| Streng vertraulich | besonders beschränkte Ablage, starke Authentisierung, angemessene Verschlüsselung und verstärkte Nachvollziehbarkeit |
Vor jeder Weitergabe werden geprüft:
| Klasse | interne Übertragung | externe Übertragung |
|---|---|---|
| Öffentlich | nach Freigabe frei | nach Freigabe frei |
| Intern | freigegebene betriebliche Kanäle | nur bei geschäftlichem Bedarf und zulässigem Empfänger |
| Vertraulich | freigegebener geschützter Kanal, Empfängerkreis begrenzen | sichere Übertragung, Freigabe und Empfängerprüfung |
| Streng vertraulich | besonders geschützter Kanal, eng begrenzte Empfänger, nachvollziehbare Freigabe | Einzelfallprüfung, ausdrückliche Freigabe, starker Schutz und Nachweis |
Passwort oder Schlüssel wird bei erforderlicher getrennter Übermittlung nicht über denselben ungeschützten Kanal versandt.
| Regel | Intern | Vertraulich | Streng vertraulich |
|---|---|---|---|
| dienstlich verwaltetes Gerät | erforderlich | erforderlich | erforderlich und besonders geprüft |
| Sichtschutz/Umgebung | situationsbezogen | vor Einsicht schützen | nur kontrollierte Umgebung |
| lokale Speicherung | begrenzen | nur freigegeben und geschützt | grundsätzlich vermeiden beziehungsweise einzeln freigeben |
| private Geräte | nicht ohne Freigabe | nicht zulässig | nicht zulässig |
| öffentliche Netze | nur mit freigegebenem Schutz | nur mit freigegebenem Schutz | nach besonderer Risikoprüfung |
| Papierunterlagen unterwegs | geschützt transportieren | begrenzen und beaufsichtigen | nur mit ausdrücklicher Freigabe |
Verlust, Diebstahl, Einsicht durch Dritte oder Verdacht auf Kompromittierung werden unverzüglich gemeldet.
Vor Besprechungen werden geprüft:
Aufzeichnungen sind standardmäßig nicht erlaubt, wenn keine bestätigte Notwendigkeit, Freigabe und geeignete Schutzlösung besteht.
Informationen dürfen nur in Diensten verarbeitet werden, deren Eignung für die jeweilige Klasse bestätigt ist.
Vor Nutzung werden mindestens geprüft:
| Dienststatus | Zulässige Nutzung |
|---|---|
| nicht bewertet/nicht freigegeben | keine internen, vertraulichen oder streng vertraulichen Informationen eingeben |
| nur für öffentliche Inhalte freigegeben | ausschließlich ausdrücklich öffentliche Informationen |
| für interne Inhalte freigegeben | nur entsprechend dokumentiertem Umfang und Bedingungen |
| für vertrauliche Inhalte freigegeben | nur bestätigte Klassen, Rollen, Zwecke und Kontrollen |
| für streng vertrauliche Inhalte freigegeben | nur nach ausdrücklicher, spezifischer Freigabe und nachgewiesener Eignung |
Pseudonymisierung oder Anonymisierung wird fachlich geprüft. Das bloße Entfernen eines Namens macht Informationen nicht automatisch anonym oder frei verwendbar.
Personenbezug ist ein Zusatzmerkmal und keine eigene Informationsklasse.
Die Klasse wird anhand Inhalt, Umfang, Kontext, Risiko und Anforderungen festgelegt. Dabei werden insbesondere geprüft:
Personenbezogene Daten sind nicht pauschal immer gleich zu klassifizieren. Eine niedrigere Klasse darf aber nicht dazu führen, dass Datenschutzanforderungen entfallen.
Kundenkennzeichnungen, Projektregeln, NDAs und Sicherheitsanforderungen werden auf das interne Modell abgebildet.
Zusätzlich können erforderlich sein:
Ist eine Kundenkennzeichnung unklar, wird sie nicht eigenmächtig herabgestuft. Vertrags-/Kunden-Owner und TISAX-Koordination klären die Behandlung.
| Externe Einstufung | internes Mapping | Entscheidung |
|---|---|---|
| ausdrücklich öffentlich/freigegeben | Öffentlich, sofern Freigabe authentisch und zweckbezogen ist | Content-/Information Owner |
| nur intern/for internal use | mindestens Intern | Information Owner |
| confidential/vertraulich | mindestens Vertraulich | Information Owner/Vertrags-Owner |
| strictly confidential/secret/restricted | regelmäßig Streng vertraulich; Vertragswortlaut prüfen | Information Owner/Recht |
| unbekannt oder kundenspezifischer Code | bis zur Klärung mindestens Vertraulich beziehungsweise nach Inhalt strenger | Kunden-/Vertrags-Owner |
Das Mapping wird kundenspezifisch bestätigt. Bei Widerspruch gilt die strengere bestätigte Anforderung oder die Angelegenheit wird vor Verarbeitung eskaliert.
Eine Maskierung gilt erst als wirksam, wenn das festgelegte Schutzziel und die Reidentifikationsrisiken angemessen geprüft wurden.
Sicherungen, Protokolle, Cache-Dateien, Exporte und temporäre Kopien können dieselben oder höhere Schutzanforderungen wie die Quelldaten haben.
Mindestens geregelt werden:
Die technischen und organisatorischen Anforderungen an Verschlüsselung und Schlüsselmaterial werden in Kryptografie und Schlüssel festgelegt. Eine aktivierte Verschlüsselungsoption allein gilt nicht als Wirksamkeitsnachweis.
Klassifizierung bestimmt die Schutzintensität, nicht automatisch die Aufbewahrungsdauer.
Aufbewahrungs- und Löschregeln ergeben sich aus:
| Klasse | Mindestanforderung bei Löschung/Vernichtung |
|---|---|
| Öffentlich | reguläre Löschung, sofern keine Aufbewahrungspflicht besteht |
| Intern | angemessene Löschung beziehungsweise geschützte Papierentsorgung |
| Vertraulich | sichere Löschung oder Vernichtung mit geeigneter Kontrolle |
| Streng vertraulich | besonders kontrollierte, gegebenenfalls protokollierte und bestätigte Löschung/Vernichtung |
Bei Cloud-, Backup- und Lieferantensystemen werden Löschumfang, Fristen, Replikate und Nachweise gesondert betrachtet.
Mehrere einzeln interne Informationen können in Kombination vertraulich oder streng vertraulich werden, beispielsweise:
Zusammenfassungen, Modelle, Analysen, Übersetzungen und KI-Ausgaben werden neu bewertet. Sie sind nicht automatisch niedriger klassifiziert als ihre Eingaben.
Eine Klasse wird überprüft:
| Änderung | erforderliche Entscheidung |
|---|---|
| Höherstufung | Information Owner; betroffene Systeme und Empfänger anpassen |
| Herabstufung | ausdrückliche Owner-Freigabe und Prüfung externer Anforderungen |
| Veröffentlichung | Inhalts-, Rechte-, Datenschutz-, Kunden- und Veröffentlichungsfreigabe |
| Aufhebung Kundenkennzeichnung | nur nach bestätigter Kunden-/Vertragsgrundlage |
| Stilllegung/Löschung | Aufbewahrung, Legal Hold, Backup und Nachweis prüfen |
Die bisherige Kennzeichnung wird in kontrollierter Weise ersetzt. Empfänger und Ablagen werden bei Bedarf informiert beziehungsweise angepasst.
Vor externer Verarbeitung oder Weitergabe werden geprüft:
Externe Empfänger dürfen Informationen nicht aufgrund eigener Gewohnheit niedriger einstufen. Abweichende Modelle werden vertraglich oder im Übergabeverfahren eindeutig zugeordnet.
Folgende Ereignisse werden unverzüglich gemeldet:
Der Meldeweg für Sicherheitsvorfälle wird auch bei einem Verdacht genutzt. Betroffene Personen versuchen nicht, den Vorfall allein vollständig zu untersuchen oder zu verbergen.
Ausnahmen benötigen:
| Feld | Mindestinhalt |
|---|---|
| betroffene Information/Klasse | [Referenz] |
| abweichende Regel | [Beschreibung] |
| geschäftliche Notwendigkeit | [Begründung] |
| Risiko und Auswirkungen | [Bewertung] |
| alternative/kompensierende Maßnahmen | [Kontrollen] |
| Kunden-/Rechts-/Vertragsprüfung | [Ergebnis] |
| Freigabe | [befugte Rolle] |
| Befristung | [Datum/Ereignis] |
| Review und Rücknahme | [Owner/Nachweis] |
Eine Ausnahme darf keine bestätigte Kunden- oder Rechtsanforderung ohne entsprechende Befugnis außer Kraft setzen.
| Zielgruppe | Mindestinhalt |
|---|---|
| alle Beschäftigten | Klassen, Kennzeichnung, Weitergabe, Meldeweg und Standard bei Unsicherheit |
| Information/Asset Owner | Kriterien, Entscheidungen, Mapping, Reviews und Ausnahmen |
| IT/Administrierende | technische Umsetzung, Protokollierung, Backup, Löschung und Notfallzugriffe |
| Entwicklung/Produktion | Kunden-, Entwicklungs-, Prototypen- und OT-Informationen |
| Vertrieb/Einkauf | externe Kennzeichnungen, NDAs, Verträge und Lieferantenweitergabe |
| Personal/Datenschutz | Personenbezug, Zweckbindung, Zugriff und Löschung |
| externe Beschäftigte | für Auftrag und Zugriff erforderliche Regeln |
Praktische Übungen behandeln mindestens Empfängerprüfung, Freigabelinks, mobile Nutzung, Papierunterlagen und die Meldung eines Fehlversands.
Die Klassifizierung unterstützt insbesondere:
Alle 46 Informationssicherheitsfragen des ISA-Reiters „Informationssicherheit“ müssen umgesetzt und bewertet werden. Es gibt keine individuelle Auswahl „anwendbar/nicht anwendbar“ wie in der ISO-Statement-of-Applicability. Die Klassifizierungsrichtlinie unterstützt mehrere Fragen, ersetzt aber weder deren Umsetzung noch die Bewertung des jeweiligen Reifegrads.
Erkenntnisse und Lücken werden in der VDA-ISA-Selbsteinschätzung und im Maßnahmenplan und Reifegrad berücksichtigt.
| Prüfaspekt/Kennzahl | Methode | Turnus im Entwurf | Zielwert |
|---|---|---|---|
| Informationsarten mit bestätigtem Owner und Klasse | Inventar-/Registerauswertung | mindestens jährlich | [Festzulegen] |
| korrekt gekennzeichnete Stichprobe | Dokumenten-/Systemstichprobe | risikoorientiert | [Festzulegen] |
| überfällige Klassifizierungsreviews | Registerauswertung | regelmäßig | 0 kritische |
| Berechtigungen vertraulicher Ablagen | Access Review | risikoorientiert | [Festzulegen] |
| öffentliche/zu weit gefasste Freigaben | technische/organisatorische Prüfung | regelmäßig | 0 unberechtigte |
| Klassifizierungs- und Fehlversandvorfälle | Incident-Auswertung | regelmäßig | Trend und Ursachen bewerten |
| Schulungsabdeckung | Schulungsnachweis | mindestens jährlich | [Festzulegen] |
| Lieferanten mit übertragener Schutzanforderung | Vertrags-/Lieferantenreview | risikoorientiert | [Festzulegen] |
| Lösch-/Vernichtungsnachweise | Stichprobe | risikoorientiert | [Festzulegen] |
Fehlende Daten, nicht geprüfte Systeme und unbestätigte Annahmen werden nicht als erfüllte Kennzahl dargestellt.
| Thema | Verknüpfte Seite |
|---|---|
| Scope und Informationsarten | Geltungsbereich und Standorte |
| Sicherheitsgrundsätze | Informationssicherheitsleitlinie |
| Anforderungen und interessierte Parteien | Kontext und interessierte Parteien |
| Rechts- und Vertragsanforderungen | Rechts- und Vertragskataster |
| Risiken | Risikoregister |
| Kontrollauswahl | Statement of Applicability |
| Prozesse und Datenflüsse | Prozesslandkarte |
| Assets und Schutzbedarf | Asset-Inventar |
| zulässige Asset- und Informationsnutzung | Zulässige Nutzung von Assets |
| Übertragung und externe Freigaben | Informationsübertragung |
| Vorfallmeldung | Meldeweg für Sicherheitsvorfälle |
| TISAX-Bewertung | VDA-ISA-Selbsteinschätzung |
| Prototypenschutz | Prototypenschutz |
| Nachweis | Inhalt | Ablage im Entwurf |
|---|---|---|
| Klassifizierungsregister | Informationsart, Owner, Klasse, Begründung und Review | [System/Pfad] |
| Mapping externer Klassen | Kunde/Vertrag, externe und interne Klasse | [geschützter Pfad] |
| Systemfreigaben | zugelassene Klassen, Schutzmaßnahmen und Einschränkungen | [System/Pfad] |
| Weitergabe-/Ausnahmefreigaben | Empfänger, Zweck, Risiko, Befristung und Entscheidung | [geschützter Pfad] |
| Berechtigungsreviews | Scope, Prüfer, Befunde und Maßnahmen | [geschützter Pfad] |
| Lösch-/Vernichtungsnachweise | Medium, Umfang, Methode, Zeitpunkt und Rolle | [geschützter Pfad] |
| Schulungsnachweise | Zielgruppe, Inhalt, Teilnahme und Ergebnis | [System/Pfad] |
| Prüf- und Auditnachweise | Stichprobe, Ergebnis, Abweichung und Maßnahme | [geschützter Pfad] |
| Prüffrage | Status Entwurf |
|---|---|
| Sind alle relevanten Informationsarten und Information Owner erfasst? | Nein |
| Sind die vier Klassen und Kriterien organisationsweit bestätigt? | Nein |
| Sind Kunden- und externe Klassifizierungen gemappt? | Nein |
| Sind Personen-, Prototypen-, Export- und weitere Zusatzkennzeichen geregelt? | Nein |
| Sind Kennzeichnungsvorlagen technisch und organisatorisch umsetzbar? | Nein |
| Ist je System dokumentiert, welche Klassen verarbeitet werden dürfen? | Nein |
| Sind Übertragungs-, Freigabe- und Verschlüsselungswege bestätigt? | Nein |
| Sind mobiles Arbeiten, Papier, Meetings, Cloud und KI abgedeckt? | Nein |
| Sind Aufbewahrung, Löschung und Vernichtung abgestimmt? | Nein |
| Sind Lieferantenanforderungen und externe Empfänger geregelt? | Nein |
| Sind Ausnahmen, Ereignismeldung und Eskalation eingerichtet? | Nein |
| Sind Schulung, Stichproben und Kennzahlen geplant? | Nein |
| Liegen fachliche Prüfung und Geschäftsführungsfreigabe vor? | Nein |
Die Richtlinie darf erst als verbindlich und umgesetzt bezeichnet werden, wenn Informationsarten, Systeme, Handhabungswege und technische Möglichkeiten geprüft, Widersprüche behandelt und Freigaben dokumentiert sind.
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Musterregelung für Klassifizierung, Kennzeichnung und Handhabung erstellt | ISMS-Verantwortliche/r | Ausstehend | – |
Für dieses Beispiel wird der dokumentierte Arbeitsstand ISA 6.0.3 verwendet. Vor einer realen Bewertung sind die anzuwendende ISA-Version, der Assessment Scope sowie Kunden-, Datenschutz-, Prototypen- und weitere Zusatzanforderungen zu bestätigen.