Vorlage aus beiden Paketen
Mit der Leitlinie beschließt die Geschäftsleitung Ziele und Grundsätze der Informationssicherheit und übernimmt die Gesamtverantwortung. Die Vorlage liegt als Word-Datei in beiden Paketen, in der NIS2-Fassung mit Zuordnung zu den zehn Bereichen des § 30 Abs. 2 BSIG.
Das Dokument
Die Vorlage legt in neun Abschnitten fest, welche Ziele Ihr Unternehmen in der Informationssicherheit verfolgt, wer dafür verantwortlich ist und nach welchen Grundsätzen gearbeitet wird. Sie beginnt mit den drei Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit und leitet daraus überprüfbare Ziele ab: Schulung neuer Beschäftigter innerhalb einer Frist, die Sie festlegen, Meldung und Auswertung jedes Sicherheitsvorfalls, Wiederherstellungstests im eingetragenen Rhythmus und ein jährlicher Bericht an die Geschäftsleitung.
Die Rollentabelle beschreibt die Aufgaben von Geschäftsleitung, Informationssicherheitsbeauftragten (ISB), IT-Verantwortlichen, Führungskräften und Beschäftigten. In kleinen Betrieben kann eine Person mehrere Rollen wahrnehmen. Abschnitt 3.1 enthält eine Tabelle der vertraglichen und gesetzlichen Anforderungen mit Quelle, umsetzendem Dokument und Datum der letzten Prüfung. Die DSGVO ist vorbelegt, Anforderungen aus Ihren Kundenverträgen tragen Sie selbst ein.
Dazu kommen ein Ablauf für das Risikomanagement in fünf Schritten, der Grundsatz, dass niemand Nachteile hat, weil er einen Vorfall oder eigenen Fehler meldet, die jährliche Überprüfung durch die oder den ISB und die Liste der mitgeltenden Richtlinien. Die Leitlinie ist damit der Rahmen, auf den sich die übrigen Dokumente des jeweiligen Pakets beziehen.
Vorschau
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
IS-LL-01: Deckblatt mit Dokumentenlenkung
IS-LL-01: Inhalt und Änderungshistorie
NIS-LL-01: Deckblatt mit Dokumentenlenkung
Gliederung
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
Drei Schutzziele mit ihrer Bedeutung für Ihr Unternehmen und daraus abgeleitete, überprüfbare Ziele zu Anforderungen, Schulung, Vorfällen, Datensicherung und Bericht. Abschnitt 3.1 ist die Tabelle der vertraglichen und gesetzlichen Anforderungen.
Aufgaben von Geschäftsleitung, ISB, IT-Verantwortlichen, Führungskräften und Beschäftigten. Die Geschäftsleitung benennt die Personen schriftlich, die oder der Datenschutzbeauftragte wird einbezogen, sobald personenbezogene Daten betroffen sind.
Risiken werden mindestens jährlich und bei wesentlichen Änderungen ermittelt, bewertet und behandelt, etwa bei neuen Standorten oder einem Wechsel des IT-Dienstleisters. Ein Ablauf in fünf Schritten führt von den Werten bis zum Bericht über das verbleibende Risiko.
Die oder der ISB prüft Leitlinie und Richtlinien mindestens jährlich und nach schweren Vorfällen, die Geschäftsleitung gibt Änderungen frei. Der jährliche Bericht umfasst Maßnahmen, Vorfälle, Kundenaudits, Anforderungen und Schulungsstand.
Nur in der NIS2-Fassung: eine Tabelle der zehn Bereiche mit den zugehörigen Dokumenten und einer Spalte für weitere Nachweise. Darunter stehen die Dokumente außerhalb des Katalogs für Meldepflicht, Registrierung, Geschäftsleitung und Betroffenheitsprüfung.
Auszug
Die Geschäftsleitung hat diese Leitlinie beschlossen und trägt die Gesamtverantwortung für die Informationssicherheit im Unternehmen.
Niemand hat Nachteile zu befürchten, weil er einen Vorfall oder einen eigenen Fehler meldet.
Der Dokumentensatz ist nach den zehn Maßnahmenbereichen des § 30 Abs. 2 BSIG gegliedert.
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[Standorte] | Die Standorte, für die die Leitlinie gilt. | IS-LL-01 |
[Systeme nennen] | Ihre geschäftskritischen Systeme, für die eine höchste Ausfallzeit gilt. | IS-LL-01 |
[Dauer] | Die höchste tolerierbare Ausfallzeit dieser Systeme. | IS-LL-01 |
[vier Wochen] | Die Frist, in der neue Beschäftigte nach Eintritt geschult werden. | IS-LL-01 |
[halbjährlich] | Wie oft die Wiederherstellung der Datensicherung getestet wird. | IS-LL-01 |
[Name oder Funktion] | Wer als Informationssicherheitsbeauftragte oder -beauftragter benannt ist. | IS-LL-01 |
Einsatz
Die Leitlinie gehört zu den Themen, die in Lieferantenfragebögen zur Informationssicherheit regelmäßig vorkommen. Die Vorlage bringt dafür eine Dokumentenlenkung mit: Freigabe durch die Geschäftsleitung, Gültigkeitsdatum, verantwortliche Rolle und nächster Prüftermin auf dem Deckblatt, dazu eine Änderungshistorie, in der auch eine Prüfung ohne Änderung vermerkt wird.
Im NIS2-Paket ist die Leitlinie dem Bereich Nr. 1 des § 30 Abs. 2 BSIG zugeordnet, Risikoanalyse und Sicherheit in der Informationstechnik. Ihr Anhang A ordnet allen zehn Bereichen die Dokumente des Pakets zu und hat eine Spalte für weitere eigene Nachweise. Abschnitt 1 nennt die Pflichten aus §§ 30, 32, 33 und 38 BSIG und verweist auf die Dokumentation der Betroffenheitsprüfung.
Gegenüber der Geschäftsleitung selbst hält die Leitlinie fest, dass sie Personal, Zeit und Budget bereitstellt, die oder den ISB benennt, den jährlichen Bericht entgegennimmt und über die Behandlung hoher Risiken entscheidet. Für die Pflichten der Geschäftsleitung nach § 38 BSIG führt das NIS2-Paket den Nachweis zusätzlich in zwei eigenen Vorlagen: Nachweisvorlage Umsetzung und Überwachung sowie Schulungsnachweis Geschäftsleitung.
Beide Fassungen haben dieselben neun Abschnitte. Die NIS2-Fassung (NIS-LL-01) ergänzt in Abschnitt 1 die Pflichten aus §§ 30, 32, 33 und 38 BSIG, führt sie in der Anforderungstabelle in Abschnitt 3.1 als eigene Zeile und hat zusätzlich Anhang A mit der Zuordnung zu den zehn Maßnahmenbereichen. Risiken werden dort auf einer Skala von 1 bis 4 nach der Methodik der Risikoanalyse bewertet und im Risikoregister geführt. Die Lieferantenaudit-Fassung (IS-LL-01) bewertet mit niedrig, mittel und hoch und führt die Maßnahmen in der Maßnahmenübersicht zum Vorzeigen. Auch die Liste der mitgeltenden Dokumente verweist jeweils auf das eigene Paket.
490 €netto, zzgl. USt. Einmalig, 10 Dokumente in Word und Excel
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
Als Word-Datei (DOCX) mit Deckblatt, Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie. Die Lieferantenaudit-Fassung hat 6 Seiten, die NIS2-Fassung mit Anhang A 7 Seiten. Alle Angaben, die Sie eintragen oder prüfen, stehen in eckigen Klammern.
Fragt ein Kunde nach Ihrer Informationssicherheit, passt die Fassung im Lieferantenaudit-Paket. Fällt Ihr Unternehmen selbst unter das BSI-Gesetz, brauchen Sie die NIS2-Fassung mit der Zuordnung zu § 30 Abs. 2 BSIG und den Verweisen auf Meldeprozess, Registrierung und Pflichten der Geschäftsleitung.
Mindestens Firmenname, Standorte, geschäftskritische Systeme mit ihrer tolerierbaren Ausfallzeit, die Fristen für Schulung und Wiederherstellungstest und die benannten Personen. Die Tabelle in Abschnitt 3.1 füllen Sie mit den Anforderungen aus Ihren Kundenverträgen. Die Vorlage ist eine Arbeitshilfe und keine Rechtsberatung.
Nein. Die Leitlinie ist im Lieferantenaudit-Paket mit 10 Dokumenten für 490 € netto und im NIS2-Paket mit 25 Dokumenten für 1.490 € netto enthalten. Sie verweist auf die Richtlinien des jeweiligen Pakets, die die Grundsätze in Regeln umsetzen.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.
