Zum Hauptinhalt springen
CENEDRIL WIKI
EN
Starter Kit · Richtlinie

ISMS-Governance-Richtlinie

Aktualisiert am 6 Min. Geprüft von: Cenedril-Redaktion
A.5.1A.5.35A.5.36A.5.37 ISO 27001BSI ISMS.1BSI DER.3.1

Die ISMS-Governance-Richtlinie regelt, wie alle ISMS-Dokumente erstellt, freigegeben, verteilt, überprüft und archiviert werden. Ohne dieses Dokument fehlt dem gesamten Managementsystem die nachvollziehbare Grundlage — und im Audit steht Aussage gegen Aussage.

Drei Annex-A-Controls bilden das Fundament: A 5.1 (Informationssicherheitsrichtlinien), A 5.36 (Einhaltung von Richtlinien) und A 5.37 (dokumentierte Betriebsverfahren). BSI IT-Grundschutz verlangt in ISMS.1.A3 eine Leitlinie zur Informationssicherheit, in ORP.1.A1 klare Zuständigkeiten und Regelungen, in ISMS.1.A11 die Aufrechterhaltung der Informationssicherheit und in DER.3.1 ein strukturiertes Audit-Programm. Weiter unten findest du die komplette Vorlage auf Deutsch und Englisch.

Worum geht es konkret?

Jedes ISMS produziert Dokumente: Richtlinien, Verfahrensbeschreibungen, Risikoregister, Audit-Berichte, Schulungsnachweise, Incident-Protokolle. Die ISMS-Governance-Richtlinie definiert die Spielregeln für diesen gesamten Dokumentenbestand — von der Erstellung über die Freigabe bis zur Archivierung und schliesslich der Aussonderung.

In der Praxis sieht das ohne klare Regeln so aus: Drei Versionen derselben Richtlinie kursieren gleichzeitig, niemand weiss, welche aktuell ist. Die Geschäftsleitung hat Version 1.0 unterschrieben, aber die IT arbeitet längst mit einem informellen Update. Im Audit fehlt der Nachweis, dass Mitarbeitende die aktuelle Fassung überhaupt kennen.

Die Dokumentenhierarchie schafft Ordnung. An der Spitze steht die übergeordnete Informationssicherheitsrichtlinie mit den strategischen Leitaussagen. Darunter folgen themenspezifische Richtlinien (Zugriffskontrolle, Kryptographie, physische Sicherheit usw.), die jeweils einen Sicherheitsbereich detailliert regeln. Auf der dritten Ebene liegen Management-Dokumente wie das Risikoregister, der Massnahmenplan, das Audit-Programm und die Informationssicherheitsziele. Zuunterst stehen die operativen Aufzeichnungen — alles, was im Tagesbetrieb entsteht: Incident-Berichte, Schulungsnachweise, Change-Tickets, Protokolle aus Management Reviews.

Warum ist sie so wichtig?

Grundlage für jede andere Richtlinie. Die Dokumentenlenkung legt fest, wie Richtlinien entstehen, freigegeben, kommuniziert und überprüft werden. Alle anderen Richtlinien im ISMS — von Zugriffskontrolle bis Kryptographie — setzen diesen Rahmen voraus. Wenn die Dokumentenlenkung fehlt oder schwach ist, fehlt jeder einzelnen Richtlinie die formale Legitimation.

Audit-Relevanz in jedem Zertifizierungsaudit. Auditor:innen beginnen häufig mit der Dokumentenlenkung, weil sie von dort aus die Konsistenz des gesamten ISMS beurteilen können. Sind Richtlinien aktuell? Gibt es Freigabenachweise? Können Mitarbeitende bestätigen, dass sie die Richtlinien kennen? Diese Fragen zielen direkt auf A 5.1 und A 5.36.

Operative Konsistenz durch A 5.37. Dokumentierte Betriebsverfahren sorgen dafür, dass kritische Tätigkeiten von verschiedenen Personen auf die gleiche Weise ausgeführt werden. Backup-Prozeduren, Incident-Response-Abläufe, System-Neustart nach Ausfällen — all das muss nachvollziehbar dokumentiert sein, damit es im Ernstfall auch unter Druck funktioniert.

Was gehört in die Richtlinie?

Die Vorlage deckt fünf Kernbereiche ab:

  • Informationssicherheitsrichtlinien (A 5.1) — Dokumentenhierarchie, Inhalt und Struktur der übergeordneten Richtlinie, Freigabe durch die Geschäftsleitung, Review-Zyklen und Auslöser, Kommunikation und Kenntnisnahmebestätigung, Ausnahmeregelungen
  • Compliance-Monitoring (A 5.36) — Überprüfung durch interne Audits und Management Reviews, Dokumentationsregister mit Statusverfolgung, Umgang mit Abweichungen (Ursachenanalyse, Korrekturmassnahmen, Wirksamkeitsprüfung)
  • Dokumentierte Betriebsverfahren (A 5.37) — Wann ein dokumentiertes Verfahren erforderlich ist (standardisierte, seltene, risikokritische Tätigkeiten und Personalübergaben), Mindestinhalte pro Verfahren, Änderungsmanagement für Verfahren
  • Aufzeichnungen und Nachweise — Audit-Berichte, Incident-Protokolle, Schulungsnachweise, Management-Review-Protokolle, Risikobewertungen, Workflow-Aufzeichnungen, Bewertungsbelege, Kenntnisnahmebestätigungen
  • Aufbewahrung und veraltete Dokumente — Mindestaufbewahrungsfristen, Abgleich mit dem Rechtskataster und der Aufbewahrungsplanung, Kennzeichnung und Archivierung veralteter Versionen

So führst du die Richtlinie ein

  1. 01

    Dokumentenlandkarte erstellen

    Bevor du die Richtlinie schreibst, brauchst du einen Überblick über den Ist-Zustand. Welche Richtlinien, Verfahrensbeschreibungen und Aufzeichnungen existieren bereits? Wo liegen sie — im Wiki, auf einem Netzlaufwerk, in E-Mail-Anhängen? Wer hat sie zuletzt aktualisiert, und gibt es überhaupt einen Freigabenachweis? Diese Bestandsaufnahme zeigt dir, welche Dokumente fehlen, welche veraltet sind und wo die grössten Lücken liegen.

  2. 02

    Dokumentenhierarchie und Rollen festlegen

    Ordne jedes bestehende und geplante Dokument einer Ebene der Vierstufenhierarchie zu. Bestimme für jedes Dokument den Eigentümer (verantwortlich für Aktualität), die freigebende Stelle (Geschäftsleitung, Fachbereichsleitung oder ISB) und den Review-Zyklus. Das Ergebnis ist ein Dokumentationsregister — eine Tabelle mit Dokumentname, Ebene, Eigentümer, Freigeber, Version, letztem Review-Datum und nächstem Review-Termin.

  3. 03

    Vorlage anpassen

    Unsere Vorlage enthält Platzhalter wie [IHR_ORGANISATIONSNAME] und [RICHTLINIEN_EIGENTÜMER_ROLLE]. Ersetze sie. Prüfe die sechs Review-Auslöser und streiche diejenigen, die in deinem Kontext irrelevant sind — oder ergänze branchenspezifische Auslöser. Die Aufbewahrungsfristen müssen mit dem Rechtskataster abgeglichen werden; die Vorlage setzt Mindestfristen, aber gesetzliche Vorgaben (z.B. HGB §257, AO §147) haben Vorrang.

  4. 04

    Freigabe und Kommunikation

    Die übergeordnete Informationssicherheitsrichtlinie wird von der Geschäftsleitung freigegeben. Für die ISMS-Governance-Richtlinie selbst ist typischerweise die ISB-Rolle zuständig. Nach der Freigabe kommunizierst du die Richtlinie an alle betroffenen Personen — mit der Aufforderung zur Kenntnisnahmebestätigung. Schulungstermine für Dokumenteneigentümer einplanen: Sie müssen wissen, wie der Freigabe- und Review-Prozess funktioniert.

  5. 05

    Review-Zyklus und Compliance-Monitoring operationalisieren

    Trage die Review-Termine aller Dokumente in einen zentralen Kalender ein. Definiere, wie Abweichungen erkannt und behandelt werden: Wer prüft die Einhaltung? Wie werden Korrekturmassnahmen dokumentiert und nachverfolgt? Die Richtlinie definiert das Rahmenwerk — jetzt brauchst du den operativen Unterbau, der sicherstellt, dass Reviews tatsächlich stattfinden und Ergebnisse in den nächsten Audit-Zyklus einfliessen.

Wo es in der Praxis schiefgeht

Aus Audit-Erfahrung, nach Häufigkeit sortiert:

1. Richtlinien ohne Freigabenachweis. Das Dokument existiert, aber niemand kann belegen, wann und von wem es freigegeben wurde. Im Audit fehlt damit der Nachweis, dass die Geschäftsleitung oder die zuständige Führungsebene den Inhalt autorisiert hat. Ein Freigabevermerk mit Datum, Name und Rolle gehört in jedes Dokument.

2. Veraltete Versionen im Umlauf. Die aktuelle Richtlinie liegt im Wiki, aber drei Abteilungen arbeiten mit einer PDF-Kopie von vor zwei Jahren. Ohne zentrale Verteilung und Versionskontrolle ist das unvermeidlich. Die Lösung: ein einziger, verbindlicher Ablageort mit automatischer Benachrichtigung bei neuen Versionen.

3. Reviews, die nur auf dem Papier stattfinden. Die Richtlinie sagt „jährlicher Review”, aber das Review-Protokoll besteht aus einem Häkchen neben dem Datum. Auditor:innen erwarten Nachweise, dass der Inhalt tatsächlich geprüft und bei Bedarf aktualisiert wurde — also Review-Kommentare, Änderungshistorie oder zumindest ein dokumentiertes Ergebnis „keine Änderung erforderlich, weil XY”.

4. Fehlende Kenntnisnahmebestätigungen. Die Richtlinie wurde veröffentlicht, aber es gibt keinen Nachweis, dass die betroffenen Personen sie gelesen und zur Kenntnis genommen haben. Besonders problematisch bei neuen Mitarbeitenden, deren Onboarding-Prozess keine Richtlinienbestätigung vorsieht.

5. Betriebsverfahren existieren nur in den Köpfen. Backup-Prozeduren, Incident-Response-Abläufe, System-Neustart-Sequenzen — all das wird mündlich weitergegeben. Solange die eine Person verfügbar ist, die den Ablauf kennt, funktioniert es. Sobald sie ausfällt, fehlt jede Grundlage. A 5.37 existiert genau für diesen Fall.

Vorlage: ISMS-Governance-Richtlinie

Vollständige Richtlinie

ISMS-Governance-Richtlinie

.md · DE.md · EN

Dokumentenkontrolle
Eigentümer: [RICHTLINIEN_EIGENTÜMER_ROLLE, z. B. Informationssicherheitsbeauftragte/r]
Genehmigt von: [GENEHMIGER_NAME_UND_ROLLE]
Version: [VERSION]
Gültig ab: [GÜLTIGKEITSDATUM]
Nächste Überprüfung: [NÄCHSTES_ÜBERPRÜFUNGSDATUM]

1. Rechtliche/Regulatorische Grundlage

ISO/IEC 27001:2022 / ISO/IEC 27002:2022, Anhang A:

  • A 5.1 — Informationssicherheitsrichtlinien
  • A 5.36 — Einhaltung von Richtlinien, Regeln und Standards für Informationssicherheit
  • A 5.37 — Dokumentierte Betriebsverfahren

BSI IT-Grundschutz:

  • ISMS.1.A3 (Informationssicherheitsrichtlinie)
  • ORP.1.A1 (Zuständigkeiten und Regelungen)
  • ISMS.1.A11 (Aufrechterhaltung der Informationssicherheit)
  • DER.3.1 (Audits und Revisionen)
  • OPS.1.1.1.A3 (Betriebshandbücher)
  • OPS.1.1.1.A7 (Ordnungsgemäßer IT-Betrieb)

Weitere jurisdiktionsspezifische Gesetze und Vorschriften — insbesondere Aufbewahrungsvorschriften (z. B. HGB §257, AO §147) und Datenschutzrecht — sind im Rechtsregister aufgeführt und werden durch Verweis einbezogen.

2. Zweck & Geltungsbereich

Diese Richtlinie legt den Rahmen für die Erstellung, Genehmigung, Verteilung, Überprüfung und Pflege aller dokumentierten Informationen innerhalb des Informationssicherheitsmanagementsystems (ISMS) von [IHR_ORGANISATIONSNAME] fest. Sie stellt sicher, dass Richtlinien, Verfahren, Aufzeichnungen und andere dokumentierte Informationen kontrolliert, aktuell, zugänglich und nachverfolgbar sind.

Die Richtlinie gilt für alle ISMS-Dokumentation. Die Dokumentenhierarchie besteht aus der Informationssicherheitsrichtlinie und der Risikomanagement-Richtlinie an der Spitze, gefolgt von themenspezifischen Richtlinien, die einzelne Sicherheitsbereiche abdecken, unterstützenden Management-Dokumenten (Asset-Management, Register für Korrekturmaßnahmen und Verbesserungen, Informationssicherheitsziele, Interessengruppen-Register, Kommunikationsplan, Internes Auditprogramm, Auditplan) und operativen Aufzeichnungen aus dem Tagesbetrieb. Alle Personen, die ISMS-Dokumentation erstellen, überprüfen, genehmigen oder pflegen, unterliegen dieser Richtlinie.

3. Informationssicherheitsrichtlinien (A 5.1)

Die Informationssicherheitsrichtlinie und alle themenspezifischen Richtlinien werden definiert, von der Geschäftsleitung genehmigt, veröffentlicht, an relevante Personen und interessierte Parteien kommuniziert, von den Empfängern bestätigt und in geplanten Abständen sowie bei wesentlichen Änderungen überprüft. Das Richtlinien-Rahmenwerk ist als Dokumentenhierarchie mit klarer Eigentümerschaft, Genehmigungsbefugnis und Überprüfungsverantwortung auf jeder Ebene strukturiert.

3.1 Grundsätze der Richtlinie

Die Informationssicherheitsrichtlinie berücksichtigt folgende Eingaben:

  • Geschäftsstrategie & Anforderungen: Die Informationssicherheitsrichtlinie spiegelt die aktuelle Geschäftsstrategie, operative Ziele und kommerzielle Anforderungen wider. Sicherheitsmaßnahmen sind an Geschäftsprioritäten und Ressourcenbeschränkungen ausgerichtet.
  • Vorschriften, Gesetze & Verträge: Die Richtlinie berücksichtigt alle geltenden regulatorischen, gesetzlichen und vertraglichen Anforderungen. Ein Rechtsregister wird gepflegt und referenziert, um die laufende Compliance sicherzustellen.
  • Aktuelle & projizierte Risiken: Die Richtlinie berücksichtigt sowohl aktuelle, durch Risikobewertung identifizierte Informationssicherheitsrisiken als auch projizierte Bedrohungen aus Threat Intelligence und Branchentrendanalysen.

3.2 Inhaltliche Anforderungen

Die Informationssicherheitsrichtlinie enthält folgende Elemente:

  • Definition der Informationssicherheit: Die Richtlinie liefert eine klare, organisationsspezifische Definition der Informationssicherheit, die den Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Informationswerten umfasst.
  • Zielrahmen: Die Richtlinie etabliert einen Rahmen für die Festlegung messbarer Informationssicherheitsziele, die jährlich überprüft und an Risikobeurteilungsergebnissen ausgerichtet werden.
  • Leitprinzipien: Kernprinzipien, die alle Informationssicherheitsaktivitäten leiten, werden benannt: risikobasierte Entscheidungsfindung, Defence in Depth, minimale Rechte, Funktionstrennung und fortlaufende Verbesserung.
  • Verpflichtung zur Einhaltung von Anforderungen: Die Richtlinie enthält eine ausdrückliche Verpflichtung zur Erfüllung aller geltenden rechtlichen, regulatorischen, vertraglichen und selbst auferlegten Anforderungen im Zusammenhang mit der Informationssicherheit.
  • Verpflichtung zur fortlaufenden Verbesserung: Die Richtlinie enthält eine Verpflichtung zur fortlaufenden Verbesserung des ISMS durch den Plan-Do-Check-Act-Zyklus.
  • Rollenzuweisungen: Verantwortlichkeiten für das Informationssicherheitsmanagement werden definierten Rollen zugewiesen. Die RACI-Matrix dokumentiert Zuständigkeit, Verantwortlichkeit, Beratung und Informationsflüsse für jede ISMS-Aktivität.
  • Ausnahmen: Ein formaler Ausnahmeprozess ist vorgesehen. Jeder Ausnahmeantrag erfasst die betroffene Richtlinie oder Maßnahme, die Begründung, eine Risikoanalyse, kompensierende Maßnahmen und ein Ablaufdatum. Der zuständige Risikoeigentümer wird zur Stellungnahme konsultiert, die/der Informationssicherheitsbeauftragte ist jedoch die alleinige formale Genehmigungsinstanz, um einen einzigen zurechenbaren Entscheidungspunkt sicherzustellen. Ausnahmen werden während ihrer Gültigkeit überwacht und bei Ablauf oder früher geschlossen.

3.3 Dokumentenhierarchie & themenspezifische Richtlinien

Die Informationssicherheitsrichtlinie wird durch themenspezifische Richtlinien unterstützt, die detaillierte Anforderungen für jeden Sicherheitsbereich bereitstellen. Mehrere verwandte Bereiche werden in konsolidierten Richtlinien behandelt: Vorfallmanagement, technische Schwachstellen, Änderungsmanagement und Lieferantenprüfungen werden von der Security-Operations-Richtlinie abgedeckt; Backup, Netzwerk, Protokollierung, Überwachung und operativer IT-Betrieb sind in der IT-Betriebsrichtlinie zusammengefasst. Asset-Management wird in einem Asset-Management-Register dokumentiert statt als eigene themenspezifische Richtlinie. Folgende Themen liegen im Geltungsbereich des Richtlinien-Rahmenwerks:

  • Zugriffskontrolle
  • Physische und umgebungsbezogene Sicherheit
  • Asset-Management
  • Informationsübertragung
  • Sichere Konfiguration und Handhabung von Benutzerendgeräten
  • Netzwerksicherheit
  • Informationssicherheits-Vorfallmanagement
  • Datensicherung
  • Kryptographie und Schlüsselmanagement
  • Informationsklassifizierung und -handhabung
  • Verwaltung technischer Schwachstellen
  • Sichere Entwicklung

Zusätzliche themenspezifische Richtlinien decken Personalsicherheit, Telearbeit, Lieferantensicherheit, Geschäftskontinuität, sicheres Projektmanagement, Datenschutz, geistiges Eigentum, Konfigurationsmanagement und Risikomanagement ab. Jede themenspezifische Richtlinie verweist auf die anwendbaren ISO-27001-Anhang-A-Maßnahmen und BSI-IT-Grundschutz-Bausteine.

3.4 Genehmigung & Autorisierung

  • Informationssicherheitsrichtlinie: Die übergeordnete Informationssicherheitsrichtlinie und alle Änderungen daran werden vor Veröffentlichung von der Geschäftsleitung genehmigt.
  • Themenspezifische Richtlinien: Jede themenspezifische Richtlinie wird auf der angemessenen Managementebene mit der für den jeweiligen Bereich zuständigen Befugnis und technischen Kompetenz genehmigt. Die genehmigende Person wird in den Richtlinien-Metadaten dokumentiert.

3.5 Überprüfung & Aktualisierung

Richtlinien werden mindestens jährlich sowie bei bestimmten Ereignissen überprüft. Die Überprüfungsverantwortung wird Personen mit angemessener Befugnis und technischer Kompetenz für den Richtlinienbereich übertragen.

Auslöser für Überprüfungen:

  • Änderungen der Geschäftsstrategie: Wenn sich die Geschäftsstrategie, Ziele oder das Betriebsmodell der Organisation wesentlich ändern.
  • Änderungen der technischen Umgebung: Wenn neue Technologien, Plattformen oder Architekturen eingeführt werden oder bestehende Systeme größere Änderungen erfahren.
  • Regulatorische Änderungen: Wenn sich geltende Gesetze, Vorschriften oder vertragliche Verpflichtungen ändern.
  • Änderungen der Risikolandschaft: Wenn neue Informationssicherheitsrisiken identifiziert werden oder sich die Schwere bestehender Risiken wesentlich ändert.
  • Änderungen der Bedrohungslandschaft: Wenn sich die Bedrohungslandschaft weiterentwickelt, einschließlich aufkommender Angriffstechniken, neuer Bedrohungsakteure oder branchenspezifischer Advisories.
  • Lessons Learned: Wenn Informationssicherheitsereignisse oder -vorfälle Lücken in der Richtlinienabdeckung oder -wirksamkeit aufdecken.

Eingaben für die Überprüfung:

  • Ergebnisse der Managementbewertung: Entscheidungen und Maßnahmen aus Managementbewertungen, die den Richtlinieninhalt oder -umfang betreffen.
  • Audit-Feststellungen: Ergebnisse interner und externer Audits, die Richtlinienlücken, Mehrdeutigkeiten oder Verstöße identifizieren.
  • Aktualisierungen verwandter Richtlinien: Änderungen an anderen ISMS-Richtlinien, die Abhängigkeiten oder Konflikte mit der zu überprüfenden Richtlinie erzeugen.

3.6 Kommunikation & Bestätigung

Richtlinien werden an alle relevanten Personen und interessierten Parteien in einer für das Zielpublikum zugänglichen und verständlichen Form kommuniziert. Empfänger sind verpflichtet, zu bestätigen, dass sie die geltenden Richtlinien gelesen, verstanden und zur Einhaltung zugestimmt haben. Folgende Kommunikationsmethoden werden verwendet:

  • Digitale Verteilung & Bestätigung: Richtlinien werden elektronisch verteilt und über einen Richtlinien-Bestätigungsmechanismus mit auditfähigen Nachweisen signiert (z. B. eIDAS-konforme Signaturen mit OTP-Verifizierung, Dokumenten-Hash und Audit-Trail). Signierte Bestätigungen werden als Richtlinien-Bestätigungsaufzeichnungen aufbewahrt und mit dem Onboarding-Prozess verknüpft, sodass jede neue beschäftigte Person die anwendbaren Richtlinien während des Onboardings bestätigt.
  • Briefings & Meetings: Wesentliche Richtlinienänderungen werden in Team-Meetings, Onboarding-Sitzungen und jährlichen Sensibilisierungs-Briefings kommuniziert. Anwesenheitslisten dienen als Bestätigungsnachweis für meetingbasierte Kommunikation.

4. Einhaltung von Richtlinien, Regeln & Standards (A 5.36)

Die Einhaltung der Informationssicherheitsrichtlinie, themenspezifischer Richtlinien, Regeln und Standards wird primär durch interne Audits und Managementbewertungen verifiziert. Richtlinienvollständigkeit, Genehmigungsstatus und fristgerechte Überprüfung werden über ein Dokumentationsregister nachverfolgt, das fehlende Genehmigungen, veraltete Versionen und Sprachlücken kennzeichnet. Ob die Regeln im Tagesbetrieb tatsächlich gelebt werden, wird durch manuelle Überprüfung während interner Audits und Managementbewertungen bewertet, unterstützt durch Kennzahlen aus operativen Tickets, Vorfallaufzeichnungen und Schwachstellenmanagement. Die Compliance-Verifizierung stützt sich auf die oben beschriebenen manuellen Überprüfungszyklen; eine automatisierte Messung der operativen Wirksamkeit über die Dokumentationsvollständigkeit hinaus wird nicht vorausgesetzt.

4.1 Reaktion bei Nichteinhaltung

Wenn infolge einer Compliance-Überprüfung eine Nichteinhaltung festgestellt wird, werden folgende Schritte durchgeführt:

  • Grundursachenanalyse: Bei Feststellung einer Nichteinhaltung werden die Ursachen untersucht, um festzustellen, ob das Problem auf eine Richtlinienlücke, einen Prozessfehler, ein Schulungsdefizit, eine Ressourcenbeschränkung oder vorsätzliche Missachtung zurückzuführen ist.
  • Planung von Korrekturmaßnahmen: Der Bedarf an Korrekturmaßnahmen wird auf Grundlage der Schwere, des Umfangs und der Risikoauswirkung der Nichteinhaltung bewertet. Korrekturmaßnahmen werden mit verantwortlichen Eigentümern, Zeitplänen und erwarteten Ergebnissen dokumentiert.
  • Umsetzung von Korrekturmaßnahmen: Angemessene Korrekturmaßnahmen werden umgesetzt, um die Grundursache zu adressieren und ein Wiederauftreten zu verhindern. Maßnahmen reichen von Prozessanpassungen und zusätzlichen Schulungen bis zu technischer Behebung und Richtlinienklarstellung.
  • Wirksamkeitsüberprüfung: Korrekturmaßnahmen werden überprüft, um ihre Wirksamkeit zu verifizieren und verbleibende Defizite oder Schwächen zu identifizieren. Die Verifizierung erfolgt nach einer definierten Zeit und wird mit Nachweisen dokumentiert.

Ergebnisse von Compliance-Überprüfungen und alle Korrekturmaßnahmen werden als dokumentierte Informationen erfasst und aufbewahrt. Führungskräfte berichten diese Ergebnisse an die Personen, die unabhängige Überprüfungen (interne Audits) durchführen, wenn solche Überprüfungen in ihrem Verantwortungsbereich stattfinden. Korrekturmaßnahmen werden rechtzeitig in einer dem Risiko angemessenen Weise abgeschlossen. Wird eine Korrekturmaßnahme bis zur nächsten geplanten Überprüfung nicht abgeschlossen, wird der Fortschritt dokumentiert und bei dieser Überprüfung behandelt.

5. Dokumentierte Betriebsverfahren (A 5.37)

Betriebsverfahren für informationsverarbeitende Einrichtungen werden in Betriebshandbüchern dokumentiert und allen Personen zur Verfügung gestellt, die sie benötigen. Verfahren stellen den korrekten, konsistenten und sicheren Betrieb von Informationsverarbeitungssystemen sicher.

5.1 Wann Verfahren erforderlich sind

Dokumentierte Betriebsverfahren werden für folgende Situationen erstellt:

  • Standardisierte Aktivitäten: Aktivitäten, die von mehreren Personen durchgeführt werden und konsistent ausgeführt werden müssen, folgen dokumentierten Verfahren, um eine einheitliche Ausführung sicherzustellen und Abweichungen zu verhindern.
  • Selten durchgeführte Aktivitäten: Selten durchgeführte Aktivitäten werden dokumentiert, damit das korrekte Verfahren verfügbar ist, wenn die Aktivität das nächste Mal erforderlich ist, auch wenn die ursprünglich ausführende Person nicht mehr verfügbar ist.
  • Risikokritische Aktivitäten: Neue Aktivitäten oder Änderungen an bestehenden Aktivitäten, die bei fehlerhafter Ausführung ein Risiko darstellen, werden vor der ersten Ausführung dokumentiert. Die Dokumentation umfasst Voraussetzungen, schrittweise Anweisungen und Verifizierungsprüfungen.
  • Personalübergaben: Wenn Aktivitäten an neues Personal übertragen werden, stellen dokumentierte Verfahren die Wissenskontinuität und konsistente Ausführung während der Übergangsphase sicher.

5.2 Inhaltliche Anforderungen an Verfahren

Jedes Betriebsverfahren spezifiziert die folgenden Elemente, soweit zutreffend:

  • Verantwortliche Personen: Jedes Verfahren identifiziert die verantwortliche Person oder Rolle, einschließlich erforderlicher Kompetenzen und Berechtigungsebene.
  • Installation & Konfiguration: Verfahren zur sicheren Installation und Konfiguration von Systemen dokumentieren Baseline-Einstellungen, Härtungsanforderungen und Verifizierungsschritte.
  • Informationsverarbeitung: Sowohl automatisierte als auch manuelle Verarbeitung und Handhabung von Informationen folgt dokumentierten Verfahren, die Eingabevalidierung, Verarbeitungsschritte und Ausgabeverifizierung spezifizieren.
  • Backup & Resilienz: Backup-Verfahren definieren Umfang, Zeitplan, Methode, Speicherorte und Wiederherstellungs-Testanforderungen. Resilienzverfahren adressieren Failover- und Wiederherstellungsschritte.
  • Zeitplanung & Abhängigkeiten: Verfahren spezifizieren Zeitplan-Anforderungen und dokumentieren Interdependenzen mit anderen Systemen, einschließlich der Reihenfolge von Operationen und zeitlicher Einschränkungen.
  • Fehlerbehandlung: Anweisungen zur Behandlung von Fehlern, Ausnahmen und unerwarteten Bedingungen umfassen Diagnoseschritte, Eskalationswege und Wiederherstellungsverfahren.
  • Support- & Eskalationskontakte: Jedes Verfahren listet interne Support-Kontakte und externe Support-Kontakte (Hersteller, Dienstleister) mit Eskalationspfaden für unerwartete Betriebsprobleme auf.
  • Handhabung von Speichermedien: Verfahren zur Handhabung von Speichermedien decken klassifizierungsangemessene Speicherung, Transport, Löschung und Entsorgung ab.
  • Systemneustart & -wiederherstellung: Wiederherstellungsverfahren für Systemausfälle dokumentieren die Neustartsequenz, Integritätsprüfungen, Datenverifizierungsschritte und Bestätigung der Dienstwiederherstellung.
  • Audit Trail & Log-Management: Verfahren zur Verwaltung von Audit Trails, Systemlogs und Überwachungsaufzeichnungen definieren Aufbewahrungsfristen, Zugriffskontrollen, Integritätsschutz und Archivierungsmethoden.
  • Überwachungsverfahren: Kapazitäts-, Leistungs- und Sicherheitsüberwachungsverfahren spezifizieren, was überwacht wird, die verwendeten Überwachungstools, Schwellenwertdefinitionen, Warnregeln und Reaktionsmaßnahmen.
  • Wartungsanweisungen: Geplante und ad-hoc Wartungsverfahren umfassen Prüfungen vor der Wartung, Wartungsfenster, Änderungsgenehmigungsanforderungen, Rollback-Pläne und Verifizierung nach der Wartung.

Dokumentierte Betriebsverfahren werden bei Bedarf überprüft und aktualisiert. Änderungen an Verfahren werden von der verantwortlichen Person oder Rolle autorisiert. Wo technisch machbar, werden Informationssysteme konsistent mit denselben Verfahren, Werkzeugen und Dienstprogrammen verwaltet, um Konfigurationsdrift und Bedienfehler zu reduzieren.

5.3 Aufzeichnungen & Nachweise

Aufzeichnungen, die durch ISMS-Prozesse erzeugt werden, werden als dokumentierte Informationen aufbewahrt, um den Nachweis der Konformität und des wirksamen Betriebs zu erbringen. Folgende Kategorien von Aufzeichnungen werden verwaltet:

  • Audit-Aufzeichnungen: Interne Auditberichte werden auf Grundlage des Internen Auditprogramms als Aufzeichnungen zu jedem Audit-Ereignis erstellt. Externe Auditberichte (Zertifizierungsaudits, Audits Dritter, Kundenaudits) werden mit Auditor, Rahmenwerk, Auditzeitraum, Feststellungen nach Schweregrad, Zertifikatsdetails und Executive Summary dokumentiert. Aus Audits resultierende Korrekturmaßnahmen werden im Register für Korrekturmaßnahmen und Verbesserungen nachverfolgt.
  • Vorfallaufzeichnungen: Sicherheitsvorfallberichte, Untersuchungsergebnisse, Beweismittel mit Chain of Custody und Post-Mortem-Analysen werden durch den Vorfallmanagementprozess gepflegt.
  • Schulungsaufzeichnungen: Der Schulungsabschluss wird pro Benutzer erfasst, einschließlich Modul, Abschlussdatum, Punktzahl und Dauer. Diese Aufzeichnungen dienen als Schulungsnachweis; die Kompetenz wird durch Bewertungen am Ende jedes Schulungsmoduls überprüft.
  • Aufzeichnungen zur Managementbewertung: Managementbewertungs-Meetings erfassen Protokolle, Entscheidungen, Maßnahmen, KPI-Snapshots und Folgestatus.
  • Risikoaufzeichnungen: Risikobeurteilungen, Behandlungspläne und Restrisiko-Akzeptanzen werden im Risikoregister geführt. Zeitpunktbezogene Snapshots des Risikoregisters werden bei jeder Managementbewertung und jedem internen Audit-Zyklus erstellt.
  • Workflow-Aufzeichnungen: Abgeschlossene operative Tickets dienen als Genehmigungs- und Änderungsaufzeichnungen. Insbesondere erfassen Change-Management-Tickets die Änderungsanforderung, Auswirkungsanalyse, Genehmigung, Umsetzungsnachweise und Post-Implementation-Notizen als strukturierte Aufzeichnungen. Tickets werden als dokumentierte Informationen aufbewahrt und auf Anfrage für Audits zur Verfügung gestellt.
  • Bewertungsaufzeichnungen: Ausgefüllte Checklisten, Selbstbewertungen und Antworten (einschließlich Bewertungen von Heimarbeitsplätzen, Projekt-Sicherheitsbewertungen und Stilllegungs-Checklisten).
  • Richtlinien-Bestätigungsaufzeichnungen: Signierte Richtlinien-Bestätigungen, die über den Bestätigungsmechanismus erzeugt wurden (siehe Abschnitt 3.6).

5.4 Aufbewahrung & veraltete Dokumente

Dokumente und Aufzeichnungen werden für einen Mindestzeitraum aufbewahrt, der den geltenden gesetzlichen, regulatorischen und vertraglichen Anforderungen entspricht. Die Standard-Aufbewahrungsfristen werden gegen das Rechtsregister und den Datenaufbewahrungsplan geprüft; längere gesetzliche Fristen haben Vorrang, sofern sie gelten. Aufbewahrte Dokumente und Aufzeichnungen bleiben auch nach Kennzeichnung als obsolet für Audits und historische Referenzzwecke abrufbar.

Veraltete Versionen werden zudem explizit von Dokumenteigentümern gekennzeichnet, wenn eine neuere genehmigte Version die vorherige ersetzt. Neuere genehmigte Versionen haben in der Dokumentationsansicht Vorrang. Veraltete Versionen bleiben in der Versionshistorie sichtbar, damit der Audit Trail erhalten bleibt.

6. Rollen & Verantwortlichkeiten

  • Geschäftsleitung: Genehmigt die Informationssicherheitsrichtlinie und stellt sicher, dass angemessene Ressourcen für Dokumentationsaktivitäten bereitgestellt werden. Trägt die Gesamtverantwortung für das ISMS-Dokumentations-Rahmenwerk.
  • Informationssicherheitsbeauftragte/r (ISB): Pflegt das Dokumentations-Rahmenwerk, koordiniert Richtlinienüberprüfungen, überwacht die Dokumentationsvollständigkeit und berichtet den Dokumentationsstatus an die Geschäftsleitung. Ist die alleinige formale Genehmigungsinstanz für Ausnahmeanträge.
  • Datenschutzbeauftragte/r (DSB): Überprüft die Dokumentation auf Datenschutzkonformität und berät zu Aufbewahrungsanforderungen für Aufzeichnungen mit personenbezogenen Daten.
  • Dokumenteigentümer: Jede Richtlinie und jedes Verfahren hat einen benannten Eigentümer, der für die Aktualität des Dokuments, die Einleitung von Überprüfungen und die Bearbeitung von Änderungsanträgen verantwortlich ist. Eigentümer stellen sicher, dass ihre Dokumente aktuelle Praktiken und Anforderungen widerspiegeln.
  • Prüfer & Genehmiger: Überprüfen Dokumente vor der Genehmigung auf Richtigkeit, Vollständigkeit und Konformität. Genehmiger autorisieren die Veröffentlichung neuer oder aktualisierter Dokumente.
  • Alle Beschäftigten & Auftragnehmer: Lesen, verstehen und bestätigen anwendbare Richtlinien und Verfahren. Melden Dokumentationslücken oder Ungenauigkeiten an den Dokumenteigentümer oder die/den Informationssicherheitsbeauftragte/n.

7. Überprüfung & Pflege

Diese Richtlinie wird überprüft:

  • Mindestens jährlich im Rahmen des ISMS-Managementbewertungszyklus.
  • Wenn sich das Dokumentations-Rahmenwerk oder die eingesetzten Werkzeuge wesentlich ändern.
  • Wenn Audit-Feststellungen Schwächen in der Dokumentenlenkung identifizieren.
  • Wenn neue regulatorische Anforderungen die Dokumentenaufbewahrung oder Lenkungsverfahren betreffen.

Quellen

Abgedeckte ISO-27001-Kontrollen

A.5.1 Informationssicherheitsrichtlinien A.5.35 Unabhängige Überprüfung der Informationssicherheit A.5.36 Einhaltung von Richtlinien und Standards A.5.37 Dokumentierte Betriebsverfahren

Häufig gestellte Fragen

Wie viele Ebenen braucht meine Dokumentenhierarchie?

Vier Ebenen haben sich bewährt: Informationssicherheitsrichtlinie ganz oben, darunter themenspezifische Richtlinien (Zugriffskontrolle, Kryptographie usw.), dann Management-Dokumente (Risikoregister, Audit-Programm, Massnahmenplan) und zuunterst operative Aufzeichnungen (Incident-Berichte, Schulungsnachweise, Ticket-Protokolle). Die Vorlage bildet genau diese Struktur ab.

Muss wirklich die Geschäftsleitung jede Richtlinie freigeben?

Die übergeordnete Informationssicherheitsrichtlinie: ja, das verlangt ISO 27001 Clause 5.2 explizit. Themenspezifische Richtlinien dürfen von der jeweils fachlich zuständigen Führungsebene freigegeben werden — etwa der IT-Leitung für die IT-Betriebsrichtlinie. Wichtig ist, dass die freigebende Person dokumentiert ist und die nötige Kompetenz hat.

Wie oft müssen Richtlinien überprüft werden?

Mindestens jährlich. Zusätzlich bei wesentlichen Änderungen der Geschäftsstrategie, des regulatorischen Umfelds, der technischen Infrastruktur oder nach Sicherheitsvorfällen, die Lücken in der Dokumentation aufgedeckt haben. Die Vorlage listet sechs konkrete Auslöser auf.

Was mache ich mit veralteten Dokumenten?

Veraltete Versionen werden als obsolet markiert, bleiben aber im Versionsarchiv sichtbar. Das ist wichtig für den Audit-Trail — Auditor:innen wollen nachvollziehen können, welche Fassung zu einem bestimmten Zeitpunkt galt. Löschen ist keine Option, solange gesetzliche Aufbewahrungsfristen laufen.

Brauche ich für jede Betriebsanweisung ein eigenes Dokument?

A 5.37 verlangt dokumentierte Betriebsverfahren für standardisierte, seltene und risikokritische Tätigkeiten. Das heisst: Wenn mehrere Personen eine Aufgabe ausführen und Konsistenz wichtig ist, brauchst du ein dokumentiertes Verfahren. Ein einzelnes Betriebshandbuch kann mehrere Verfahren bündeln — solange jedes klar abgegrenzt, versioniert und einer verantwortlichen Rolle zugeordnet ist.