Leitlinie zur Informationssicherheit

Funktion der Leitlinie nach BSI

Nach BSI-Standard 200-2 beschreibt die Leitlinie allgemein verständlich, für welche Zwecke, mit welchen Mitteln und mit welchen Strukturen Informationssicherheit in der Institution hergestellt werden soll. Sie enthält die Sicherheitsziele und die Sicherheitsstrategie und beschreibt damit das angestrebte Sicherheitsniveau. Der BSI-Standard 200-1 bezeichnet sie als sichtbares Bekenntnis der Leitungsebene zu ihrer Strategie.

Im IT-Grundschutz-Kompendium ist die Leitlinie eine Basis-Anforderung (ISMS.1.A3). Die Institutionsleitung muss eine übergeordnete Leitlinie verabschieden, die den Stellenwert der Informationssicherheit, die Sicherheitsziele, die wichtigsten Aspekte der Sicherheitsstrategie und die Organisationsstruktur beschreibt. Sie braucht einen klaren Geltungsbereich, muss den Bezug der Sicherheitsziele zu den Geschäftszielen erläutern und allen Mitarbeitenden bekannt gegeben werden. Sie soll regelmäßig aktualisiert werden.

Mindestinhalte einer Leitlinie zur Informationssicherheit

200-2 nennt als Mindestinhalte:

• Stellenwert der Informationssicherheit und Bedeutung der wesentlichen Informationen, Geschäftsprozesse und der IT für die Aufgabenerfüllung,
• Bezug der Sicherheitsziele zu den Geschäftszielen,
• Sicherheitsziele und Kernelemente der Sicherheitsstrategie,
• Zusicherung, dass die Leitlinie von der Leitung durchgesetzt wird, sowie Leitaussagen zur Erfolgskontrolle,
• Beschreibung der Organisationsstruktur für die Umsetzung.

Optional können wichtige Gefährdungen, relevante Gesetze und Verträge, die wesentlichen Aufgaben der Rollen, Ansprechpartner und geplante Schulungs- und Sensibilisierungsprogramme hinzukommen.

Ein praxistauglicher Aufbau für kleine Betriebe

Eine mögliche Gliederung, die die BSI-Mindestinhalte abdeckt:

1. Zweck und Bedeutung: Wofür steht der Betrieb, welche Informationen und Abläufe sind entscheidend?
2. Geltungsbereich: gesamter Betrieb einschließlich Standorte, Homeoffice und mobiler Arbeit, gegebenenfalls ausgelagerter Leistungen.
3. Sicherheitsziele: drei bis sechs konkrete Ziele, möglichst entlang von Vertraulichkeit, Integrität und Verfügbarkeit.
4. Strategie: Orientierung an einem Standard, etwa IT-Grundschutz-Basis-Absicherung oder ISO 27001, risikoorientiertes Vorgehen, schrittweise Umsetzung.
5. Organisation und Verantwortung: Gesamtverantwortung der Geschäftsführung, ISB mit direktem Berichtsweg, Aufgaben von Fachverantwortlichen, IT und Mitarbeitenden.
6. Pflichten aller Mitarbeitenden: Regeln einhalten, an Schulungen teilnehmen, Vorfälle sofort melden.
7. Umgang mit Verstößen: Hinweis, dass Verstöße Folgen haben können, ohne arbeitsrechtliche Details.
8. Überprüfung und Inkraftsetzung: Prüfintervall, Datum, Unterschrift der Geschäftsführung.

Beispiele für Sicherheitsziele

• Kunden- und Personaldaten sind vor unbefugtem Zugriff geschützt.
• Rechnungs- und Buchhaltungsdaten bleiben vollständig und unverfälscht.
• Die Auftragsbearbeitung kann nach einer Störung in einem festgelegten Zeitraum wieder aufgenommen werden.
• Gesetzliche und vertragliche Anforderungen an Informationssicherheit und Datenschutz werden eingehalten.

Wer die Leitlinie erstellt

200-2 empfiehlt, möglichst viele Bereiche zu beteiligen, damit sich alle mit dem Inhalt identifizieren können. Genannt werden unter anderem Fachverantwortliche, IT-Betrieb, Sicherheit, Datenschutz, Personalabteilung, Personalvertretung, Revision, Finanzen und Recht. Gibt es noch kein IS-Management-Team, kann eine Entwicklungsgruppe eingerichtet werden, die später diese Funktion übernimmt.

Im kleinen Betrieb bedeutet das: Der ISB schreibt einen Entwurf, bespricht ihn mit Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragtem und gegebenenfalls Betriebsrat und legt ihn zur Freigabe vor.

Bekanntgabe

Die Leitlinie soll schriftlich vorliegen, von der Leitung formell freigegeben und für alle leicht zugänglich sein, etwa im Intranet. Neuen Mitarbeitenden soll sie erläutert werden, bevor sie Zugang zur Informationsverarbeitung erhalten. Enthält sie vertrauliche Aussagen, gehören diese in eine gekennzeichnete Anlage.

Länge und Abgrenzung

200-2 empfiehlt eine kurze und bündige Formulierung, da sich mehr als 20 Seiten in der Praxis nicht bewährt haben. Die Leitlinie ist ein Strategiedokument. Konkrete Regeln für Mitarbeitende gehören in Richtlinien, etwa eine Richtlinie zur sicheren IT-Nutzung. Maßnahmen und ihre Ableitung gehören ins Sicherheitskonzept.

• Leitlinie: Warum und wohin? Ziele, Strategie, Organisation.
• Sicherheitskonzept: Was wird wie abgesichert? Analyse und Maßnahmen.
• Richtlinien: Was ist konkret zu tun? Verhaltensregeln für Zielgruppen.

Leitlinie und NIS-2

Für besonders wichtige und wichtige Einrichtungen verpflichtet das BSI-Gesetz die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen (§ 38 BSIG). Eine Leitlinie, in der die Geschäftsführung Ziele, Zuständigkeiten und Erfolgskontrolle festlegt und unterschreibt, ist ein naheliegender Weg, diese Verantwortung sichtbar zu machen. Eine bestimmte Form schreibt das Gesetz dafür nicht vor.

Typische Fehler

• Die Leitlinie ist eine unveränderte Vorlage und passt nicht zum Betrieb.
• Sie enthält technische Detailregeln, die schnell veralten, statt auf Richtlinien zu verweisen.
• Ziele sind so allgemein formuliert, dass sich nicht prüfen lässt, ob sie erreicht werden.
• Die Unterschrift der Geschäftsführung fehlt oder die Leitlinie wurde nie bekannt gegeben.
• Die zuständige Person ist genannt, ihr Berichtsweg und ihre Befugnisse aber nicht.

Aktualisierung

Die Leitlinie soll regelmäßig auf Aktualität geprüft werden, insbesondere wenn sich Geschäftsziele, Prozesse, wesentliche IT-Verfahren oder die Organisation ändern. 200-2 empfiehlt, sie spätestens alle zwei Jahre erneut zu überdenken. Praktisch bietet sich die jährliche Managementbewertung als Anlass an.