ISMS · Dokumentation
Informationssicherheitsrichtlinien: Welche Dokumente braucht ein ISMS?
Lesezeit etwa 6 Minuten · Stand August 2026
Ein ISMS braucht eine dreistufige Dokumentenpyramide: die Informationssicherheitsleitlinie als Bekenntnis der Leitung, konkrete Richtlinien je Thema wie Passwort oder Backup und Verfahrensanweisungen für die tägliche Umsetzung. Dazu kommen Pflichtnachweise wie Geltungsbereich, Risikomethodik und die Anwendbarkeitserklärung. Die Leitlinie sagt warum, die Richtlinie sagt was, das Verfahren sagt wie.
Nicht die Menge der Dokumente entscheidet,
sondern ob sie im Alltag gelebt werden.
Was ist der Unterschied zwischen Leitlinie, Richtlinie und Verfahren?
Die Dokumentation eines ISMS ist in 3 Ebenen aufgebaut. Ganz oben steht die Informationssicherheitsleitlinie, das kurze und grundsätzliche Bekenntnis der Geschäftsführung. Darunter konkretisieren Richtlinien einzelne Themen. Ganz unten beschreiben Verfahrens- und Arbeitsanweisungen, wie eine Vorgabe Schritt für Schritt umgesetzt wird. Je tiefer die Ebene, desto konkreter und häufiger geändert das Dokument.
| Ebene | Beantwortet | Beispiel |
|---|---|---|
| Leitlinie | Warum ist uns Sicherheit wichtig? | Informationssicherheitsleitlinie der Geschäftsführung |
| Richtlinie | Was gilt zu einem Thema? | Passwort-Richtlinie, Backup-Richtlinie |
| Verfahren | Wie wird es konkret gemacht? | Anleitung zur Datensicherung |
Diese Trennung hält die oberste Ebene stabil und die unteren flexibel. Die Leitlinie überdauert Jahre, eine Arbeitsanweisung ändert sich mit jedem neuen Werkzeug. Wer alles in ein Dokument presst, muss bei jeder Kleinigkeit die Geschäftsführung erneut unterschreiben lassen.
Die Begriffe werden im Alltag oft vermischt. Manche Unternehmen nennen alles Richtlinie, andere sprechen von Policy, Standard und Verfahren. Entscheidend ist nicht das Etikett, sondern dass es eine klare Hierarchie gibt: ein grundsätzliches Bekenntnis oben, thematische Vorgaben in der Mitte und konkrete Anleitungen unten. Genau diese Ordnung erwartet auch ein Auditor.
Welche Dokumente verlangt die ISO 27001 zwingend?
Die ISO/IEC 27001:2022 nennt eine Reihe dokumentierter Informationen, die im Audit vorliegen müssen. Diese Pflichtdokumente sind unabhängig von Größe und Branche und bilden das Gerüst jedes zertifizierbaren ISMS. Die folgende Liste fasst die wichtigsten zusammen.
| Pflichtdokument | ISO-Abschnitt |
|---|---|
| Geltungsbereich des ISMS | 4.3 |
| Informationssicherheitsleitlinie | 5.2 |
| Risikobeurteilungs- und Risikobehandlungsprozess | 6.1.2 und 6.1.3 |
| Anwendbarkeitserklärung (SoA) | 6.1.3 d |
| Informationssicherheitsziele | 6.2 |
| Nachweise zu Kompetenz und Schulung | 7.2 |
| Ergebnisse der Risikobeurteilung und -behandlung | 8.2 und 8.3 |
| Überwachung, Messung und internes Audit | 9.1 und 9.2 |
| Managementbewertung | 9.3 |
| Nichtkonformitäten und Korrekturmaßnahmen | 10.2 |
Diese Liste beschreibt Pflichtdokumente, nicht deren Umfang. Ein Geltungsbereich kann eine halbe Seite umfassen, die Risikomethodik einige Seiten. Wichtig ist, dass jedes dieser Dokumente vorhanden, freigegeben und aktuell ist. Fehlt eines davon, ist das im Zertifizierungsaudit eine Abweichung, die vor der Empfehlung zur Zertifizierung geschlossen werden muss.
Die Anwendbarkeitserklärung, meist SoA genannt, ist das Scharnier zwischen Risiko und Maßnahme. Sie listet alle Controls des Annex A und begründet, welche angewendet werden und welche nicht. Die Grundlage dafür liefert die Risikoanalyse. Eine vollständige Übersicht zum Zertifizierungsweg bietet unsere Seite zu ISO 27001.
Welche Richtlinien braucht ein ISMS in der Praxis?
Über die Pflichtdokumente hinaus regelt ein ISMS die Themen, die im Alltag Risiken bergen. Welche Richtlinien konkret nötig sind, ergibt sich aus der Risikoanalyse und dem Geltungsbereich. In den meisten Unternehmen gehören diese dazu:
- Passwort- und Authentifizierungsrichtlinie
- Zugriffs- und Berechtigungsrichtlinie
- Backup- und Wiederherstellungsrichtlinie
- Richtlinie für mobiles Arbeiten und Homeoffice
- Clear-Desk- und Clear-Screen-Richtlinie
- Richtlinie zur Klassifizierung von Informationen
- Richtlinie zum Umgang mit Lieferanten
- Richtlinie zum Umgang mit Sicherheitsvorfällen
Diese Liste ist kein Pflichtkanon, sondern ein bewährter Ausgangspunkt. Beim ISMS einführen wächst der Satz an Richtlinien mit dem Reifegrad. Ein kleines Unternehmen startet mit einer Handvoll, ein regulierter Mittelständler pflegt schnell 15 und mehr.
Jede Richtlinie folgt idealerweise demselben Aufbau: Zweck, Geltungsbereich, konkrete Vorgaben, Verantwortliche und ein Verweis auf zugehörige Nachweise. Diese Einheitlichkeit erleichtert das Lesen und die Pflege. Mitarbeiter finden sich schneller zurecht und der Informationssicherheitsbeauftragte behält den Überblick, welche Richtlinie wann zur Überprüfung ansteht.
Die Vorlagen für Ihr Dokumentenset
Sie müssen nicht bei null anfangen. Unser Dokumentenset liefert Vorlagen für Leitlinie, Richtlinien und die wichtigsten Nachweise, abgestimmt auf die ISO 27001. So sparen Sie sich das leere Blatt.
Wie viele Dokumente braucht ein ISMS wirklich?
So wenige wie möglich, so viele wie nötig. Ein ISMS lässt sich skalieren: Ein kleines Unternehmen braucht kein 300-seitiges Regelwerk, sondern klare Verantwortlichkeiten, eine Risikoübersicht und die wichtigsten Richtlinien. Wichtiger als die Zahl der Seiten ist, dass jedes Dokument einen Zweck erfüllt und im Alltag tatsächlich angewendet wird.
Der häufigste Fehler ist der Dokumentenfriedhof: dutzende Richtlinien, die niemand kennt und die im Audit als totes Papier auffallen. Auditoren prüfen nicht, ob ein Dokument existiert, sondern ob es gelebt wird. Ein schlankes, aktuelles Set schlägt eine umfangreiche Sammlung, die den Betrieb nicht abbildet.
Ein guter Test ist die Frage, ob eine Richtlinie eine Entscheidung erleichtert. Regelt sie einen realen Fall, den Mitarbeiter tatsächlich haben, gehört sie ins Set. Beschreibt sie nur eine theoretische Möglichkeit, ist sie meist Ballast. Genauso wichtig ist die Zugänglichkeit, denn die beste Richtlinie nützt nichts, wenn niemand weiß, wo sie steht.
Wer unsicher ist, ob eine Richtlinie fehlt, arbeitet die Ergebnisse der Risikoanalyse und die im Statement of Applicability als anwendbar markierten Controls durch. Jedes anwendbare Control braucht eine Regelung, sei es in einer eigenen Richtlinie oder als Abschnitt in einer bestehenden. Diese Rückwärtsprüfung deckt Lücken zuverlässig auf.
Wie bleiben die Dokumente aktuell und auditsicher?
Wie hängen Leitlinie, Richtlinien und Risikoanalyse zusammen?
Die Dokumente eines ISMS stehen nicht nebeneinander, sondern bauen aufeinander auf. Die Risikoanalyse zeigt, welche Werte geschützt werden müssen und wo die größten Gefahren liegen. Aus ihren Ergebnissen leiten sich die Maßnahmen ab, die in der Anwendbarkeitserklärung festgehalten und in Richtlinien konkretisiert werden. Die Leitlinie liefert dazu den übergeordneten Rahmen.
Diese Kette ist auch der rote Faden im Audit. Ein Prüfer fragt, warum es eine bestimmte Richtlinie gibt und erwartet als Antwort einen Verweis auf ein Risiko. Fehlt dieser Bezug, wirkt eine Richtlinie beliebig. Wer Leitlinie, Risikoanalyse und Richtlinien konsequent verknüpft, zeigt, dass das ISMS ein zusammenhängendes System ist und keine Sammlung einzelner Dokumente.
In der Praxis heißt das: Ändert sich ein Risiko, wird die zugehörige Richtlinie angepasst, nicht umgekehrt. Neue Bedrohungen fließen über die Risikoanalyse ein und lösen gezielte Aktualisierungen aus. So bleibt die Dokumentation lebendig und wächst mit der tatsächlichen Bedrohungslage, statt einmal geschrieben zu veralten.
Wie vollständig ist Ihre Dokumentation?
Ob Leitlinie, Pflichtnachweise und Richtlinien zusammenpassen, zeigt der kostenlose Reifegrad-Check. In wenigen Minuten sehen Sie, welche Dokumente Ihrem ISMS noch fehlen.
Häufige Fragen zu Informationssicherheitsrichtlinien
Was gehört in die Informationssicherheitsleitlinie?
Die Leitlinie nennt das Bekenntnis der Geschäftsführung zur Informationssicherheit, die übergeordneten Ziele, den Geltungsbereich und die grundsätzlichen Verantwortlichkeiten. Sie ist bewusst kurz, oft 1 bis 2 Seiten und grundsätzlich formuliert. Details gehören in die einzelnen Richtlinien, nicht in die Leitlinie selbst.
Wie viele Richtlinien braucht ein kleines Unternehmen?
Weniger als oft gedacht. Für den Start genügen eine Handvoll: Passwörter, Zugriff, Backup, mobiles Arbeiten und der Umgang mit Vorfällen. Der Satz wächst mit dem Reifegrad und den Risiken. Entscheidend ist nicht die Zahl, sondern dass jede Richtlinie bekannt ist und gelebt wird.
Muss jede Richtlinie von der Geschäftsführung freigegeben werden?
Die Leitlinie ja, denn sie ist das Bekenntnis der Leitung. Einzelne Fachrichtlinien kann die Geschäftsführung an den Informationssicherheitsbeauftragten oder Fachverantwortliche delegieren. Wichtig ist ein dokumentierter Freigabeprozess mit klarer Zuständigkeit, damit im Audit nachvollziehbar ist, wer was freigegeben hat.
Was ist der Unterschied zwischen Leitlinie und Richtlinie?
Die Leitlinie ist das übergeordnete, kurze Bekenntnis der Geschäftsführung zur Informationssicherheit. Richtlinien konkretisieren sie für einzelne Themen wie Passwörter, Backup oder mobiles Arbeiten. Kurz gesagt: Die Leitlinie sagt warum, die Richtlinien sagen wie. Beide zusammen bilden das Rückgrat der ISMS-Dokumentation.
Wie oft müssen Sicherheitsrichtlinien aktualisiert werden?
Mindestens einmal jährlich sowie immer dann, wenn sich Prozesse, Technik oder Risiken wesentlich ändern. Ein fester Prüfzyklus mit Verantwortlichem und Freigabedatum stellt das sicher. Veraltete Richtlinien sind ein häufiges Audit-Finding, weil sie zeigen, dass die Dokumentation nicht gepflegt wird.
Sind Vorlagen für Sicherheitsrichtlinien sinnvoll?
Ja, als Startpunkt. Vorlagen sparen Zeit und stellen sicher, dass keine Pflichtinhalte fehlen. Sie müssen aber an die eigene Organisation angepasst werden, sonst entsteht Papier ohne Bezug zur Praxis. Eine übernommene Vorlage ohne Anpassung fällt im Audit sofort auf.
Die wichtigsten Fakten auf einen Blick
| Aspekt | Kernaussage |
|---|---|
| Struktur | 3 Ebenen: Leitlinie, Richtlinie, Verfahren |
| Leitlinie | kurzes Bekenntnis der Geschäftsführung, ISO 27001 Abschnitt 5.2 |
| Pflichtdokumente | Geltungsbereich, Risikomethodik, Anwendbarkeitserklärung und weitere |
| Praxis-Richtlinien | Passwort, Zugriff, Backup, mobiles Arbeiten, Vorfälle |
| Lenkung | Version, Freigabe, Verantwortlicher und jährlicher Prüfzyklus (7.5) |
| Grundsatz | gelebt statt Papier, so wenig wie möglich, so viel wie nötig |
Quellen: ISO/IEC 27001, BSI IT-Grundschutz
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.