Richtlinien nach ISO 27001:2022: die Pflichtrichtlinie und die themenspezifischen Richtlinien
ISO/IEC 27001:2022 verlangt in den Abschnitten ausdrücklich nur eine Richtlinie: die Informationssicherheitspolitik (Abschnitt 5.2), von der obersten Leitung festgelegt, dokumentiert und bekannt gemacht. Die Maßnahme 5.1 aus Anhang A ergänzt themenspezifische Richtlinien (Zugangssteuerung, Datensicherung, Kryptografie, Lieferanten, Remote-Arbeit usw.), die nur Pflicht sind, wenn Ihre Erklärung zur Anwendbarkeit die zugehörige Maßnahme als anwendbar ausweist. Ein mittelständisches Unternehmen kommt in der Praxis auf die übergeordnete Politik plus 10 bis 20 themenspezifische Richtlinien, je nach Risiken. Das deutsche NexoDocs-Kit enthält 1 Politik und 22 Richtlinien (ISMS-POL-00 bis ISMS-POL-22).
Die Pflichtrichtlinie: Abschnitt 5.2
Abschnitt 5.2 verlangt von der obersten Leitung eine Informationssicherheitspolitik, die zum Zweck der Organisation passt, Informationssicherheitsziele enthält (oder einen Rahmen, um sie festzulegen) und zwei Verpflichtungen ausspricht: die zutreffenden Anforderungen zu erfüllen und das ISMS fortlaufend zu verbessern.
- Sie muss als dokumentierte Information verfügbar sein.
- Sie muss innerhalb der Organisation bekannt gemacht werden.
- Sie muss interessierten Parteien zur Verfügung stehen, soweit angemessen (Kunden, Lieferanten, Auditoren).
- Halten Sie sie kurz (2 bis 4 Seiten) und verweisen Sie für Details auf die themenspezifischen Richtlinien.
Ein häufiger Fehler ist eine 30-seitige Politik voller technischer Regeln: Sie ist schwer freizugeben, niemand liest sie, und jede Änderung muss zurück zur Geschäftsleitung.
Themenspezifische Richtlinien: Maßnahme 5.1 aus Anhang A
Maßnahme 5.1 verlangt, die Informationssicherheitspolitik und themenspezifische Richtlinien festzulegen, von der Leitung freigeben zu lassen, zu veröffentlichen, den betroffenen Personen bekannt zu machen (die den Erhalt bestätigen) und in geplanten Abständen oder bei wesentlichen Änderungen zu überprüfen. Die Hinweise in ISO/IEC 27002:2022 nennen Themen wie Zugangssteuerung, physische Sicherheit, Verwaltung der Werte, Informationsübertragung, Endgeräte, Netzwerksicherheit, Vorfallmanagement, Datensicherung, Kryptografie, Klassifizierung, technische Schwachstellen und sichere Entwicklung.
Die Norm legt weder eine geschlossene Liste noch ein Format fest: Sie können eine Richtlinie je Thema schreiben, mehrere Themen in einem Dokument bündeln oder die Regeln in Verfahren festhalten. Der Auditor prüft, ob für jede anwendbare Maßnahme Regeln existieren, die festgelegt, freigegeben, bekannt gemacht und aktuell sind.
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)Liste der Richtlinien und der Maßnahmen, die sie abdecken
| Richtlinie im Kit | Maßnahmen aus Anhang A | Wann brauchen Sie sie? |
|---|---|---|
| ISMS-POL-00 Informationssicherheitspolitik | Abschnitt 5.2 und 5.1 | Immer. |
| ISMS-POL-01 Zulässige Nutzung von Werten | 5.10 | Fast immer: alle nutzen Geräte und Daten. |
| ISMS-POL-02 Inventar und Verwaltung der Werte | 5.9, 5.11 | Sobald es Informationswerte gibt (also immer). |
| ISMS-POL-03 Klassifizierung und Kennzeichnung von Informationen | 5.12, 5.13 | Wenn Sie Informationen unterschiedlicher Schutzbedarfe verarbeiten. |
| ISMS-POL-04 Zugangssteuerung und Identitätsmanagement | 5.15 bis 5.18, 8.2 bis 8.5 | Immer. |
| ISMS-POL-05 Sicherheit in Lieferantenbeziehungen | 5.19 bis 5.22 | Wenn Dritte auf Ihre Informationen oder Systeme zugreifen. |
| ISMS-POL-06 Nutzung von Cloud-Diensten | 5.23 | Wenn Sie Cloud-E-Mail, -Speicher oder -Anwendungen nutzen. |
| ISMS-POL-07 Management von Informationssicherheitsvorfällen | 5.24 bis 5.28, 6.8 | Immer. |
| ISMS-POL-08 Business Continuity und IKT-Bereitschaft | 5.29, 5.30 | Fast immer. |
| ISMS-POL-09 Rechtskonformität und Datenschutz | 5.31 bis 5.34 | Sobald Sie personenbezogene Daten verarbeiten. |
| ISMS-POL-10 Personelle Sicherheit | 6.1 bis 6.6 | Sobald Sie Beschäftigte haben. |
| ISMS-POL-11 Remote-Arbeit | 6.7 | Bei mobiler Arbeit oder Homeoffice. |
| ISMS-POL-12 Aufgeräumter Arbeitsplatz und Bildschirmsperre | 7.7 | Wenn es Büros oder geteilte Arbeitsplätze gibt. |
| ISMS-POL-13 Speichermedien und sichere Entsorgung | 7.10, 7.14, 8.10 | Wenn Sie Datenträger nutzen oder Geräte aussondern. |
| ISMS-POL-14 Endgeräte | 8.1 | Wenn Beschäftigte Laptops oder Smartphones mit Firmendaten nutzen. |
| ISMS-POL-15 Schutz gegen Schadsoftware | 8.7 | Immer. |
| ISMS-POL-16 Handhabung technischer Schwachstellen | 8.8 | Sobald Sie Systeme betreiben oder verwalten. |
| ISMS-POL-17 Datensicherung | 8.13 | Immer. |
| ISMS-POL-18 Protokollierung und Überwachung | 8.15, 8.16 | Wenn Sie Server, Cloud oder Anwendungen verwalten. |
| ISMS-POL-19 Kryptografie | 8.24 | Wenn Sie Daten oder Verbindungen verschlüsseln (fast immer). |
| ISMS-POL-20 Änderungssteuerung und sichere Entwicklung | 8.25 bis 8.29, 8.32 | Wenn Sie Software entwickeln oder Produktivsysteme ändern. |
| ISMS-POL-21 Physische und umgebungsbezogene Sicherheit | 7.1 bis 7.13 | Bei Büros, Serverraum oder eigener Hardware. |
| ISMS-POL-22 Netzwerksicherheit und Betrieb | 8.20 bis 8.22 | Wenn Sie eigene Netze verwalten. |
So ist das deutsche ISO-27001-Kit von NexoDocs aufgebaut: die Politik ISMS-POL-00 im Ordner „03_Fuehrung“ und 22 themenspezifische Richtlinien im Ordner „03_RICHTLINIEN_UND_MASSNAHMEN“, jede mit ihren Maßnahmen nach Nummer. Die Spalte „Wann brauchen Sie sie?“ ist nur eine Orientierung: Die Entscheidung ergibt sich aus Ihrer Risikobeurteilung und der Erklärung zur Anwendbarkeit.
So entscheiden Sie, welche Richtlinien Ihr Unternehmen braucht
- Gehen Sie von der Risikobeurteilung (6.1.2) und der Erklärung zur Anwendbarkeit (6.1.3) aus: Jede anwendbare Maßnahme braucht irgendwo schriftliche Regeln.
- Bündeln Sie Themen in kleinen Unternehmen: Remote-Arbeit, Endgeräte und aufgeräumter Arbeitsplatz passen in eine einzige Arbeitsplatzrichtlinie.
- Schreiben Sie keine Richtlinien für ausgeschlossene Maßnahmen: Wenn Sie keine Software entwickeln, begründen Sie den Ausschluss von 8.25 bis 8.28 in der Erklärung zur Anwendbarkeit.
- Schreiben Sie auf, was Sie tatsächlich tun: Der Auditor vergleicht die Richtlinie mit der Praxis und den Aufzeichnungen.
- Geben Sie jeder Richtlinie einen Verantwortlichen, ein Überprüfungsdatum und eine Version.
Richtlinien in Deutschland: BSI, NIS2 und Betriebsrat
Wer nach IT-Grundschutz arbeitet, kennt die „Leitlinie zur Informationssicherheit“ aus BSI-Standard 200-2: Sie entspricht weitgehend der Politik nach Abschnitt 5.2, und die Richtlinien des Kits lassen sich den passenden Bausteinen zuordnen. Fällt Ihr Unternehmen unter die NIS2-Umsetzung im BSIG, helfen dokumentierte Richtlinien, die Risikomanagementmaßnahmen nach § 30 BSIG zu belegen, etwa zu Vorfallbewältigung, Lieferkette, Kryptografie und Zugangssteuerung. Achtung bei Protokollierung, Überwachung und Endgeräten: Regeln, die Verhalten oder Leistung von Beschäftigten technisch überwachen können, unterliegen in Betrieben mit Betriebsrat der Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG). Planen Sie dafür Zeit ein, oft in Form einer Betriebsvereinbarung. Das ist keine Rechtsberatung.
Was der Auditor bei Ihren Richtlinien prüft
- Freigabe durch die Leitung (Unterschrift, Protokoll oder Freigabevermerk) und die aktuelle Version.
- Nachweis der Bekanntmachung: E-Mail, Intranet, Einarbeitung oder Bestätigung der Beschäftigten.
- Überprüfung in geplanten Abständen: Datum der letzten Überprüfung und dokumentierte Änderungen.
- Übereinstimmung mit der Erklärung zur Anwendbarkeit: keine anwendbare Maßnahme ohne Regeln und keine Richtlinien für ausgeschlossene Maßnahmen.
- Praxis wie im Text: Steht in der Richtlinie „tägliche Datensicherung, quartalsweise getestet“, müssen Aufzeichnungen dieser Tests vorliegen.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Wie viele Richtlinien verlangt ISO 27001?
In den Abschnitten ist nur eine ausdrücklich verlangt: die Informationssicherheitspolitik (5.2). Die themenspezifischen Richtlinien nach Maßnahme 5.1 hängen davon ab, welche Maßnahmen aus Anhang A Sie als anwendbar erklären; eine feste Zahl gibt es nicht.
Müssen themenspezifische Richtlinien eigene Dokumente sein?
Nein. Die Norm verlangt, dass sie existieren, freigegeben, bekannt gemacht und überprüft werden, schreibt aber kein Format vor. Ein kleines Unternehmen kann mehrere Themen in einem Dokument bündeln.
Wie oft müssen Richtlinien überprüft werden?
In geplanten Abständen und bei wesentlichen Änderungen. Üblich ist eine jährliche Überprüfung vor der Managementbewertung.
Ist „Leitlinie“ dasselbe wie „Politik“?
Im Sprachgebrauch des BSI heißt das übergeordnete Dokument Leitlinie zur Informationssicherheit; in ISO 27001 ist es die Informationssicherheitspolitik nach Abschnitt 5.2. Ein gut geschriebenes Dokument kann beide Erwartungen erfüllen.
Reicht eine Vorlage für Richtlinien?
Als Ausgangspunkt ja: Sie spart Struktur und Grundtext. Sie müssen sie trotzdem an das anpassen, was das Unternehmen wirklich tut; eine nicht angepasste Vorlage ist eine typische Auditfeststellung.
Verwandte Leitfäden
ISO 27001 Pflichtdokumente: Liste nach Kapiteln
Welche dokumentierten Informationen ISO/IEC 27001:2022 Kapitel für Kapitel verlangt (Leitlinie, Risiken, SoA, Ziele, Audit) und was für Anhang A üblich ist.
Leitfaden lesen →Erklärung zur Anwendbarkeit (SoA) nach ISO 27001: was sie ist und wie man sie erstellt
SoA nach ISO/IEC 27001:2022: was die Erklärung zur Anwendbarkeit für die 93 Maßnahmen enthalten muss, Ausschlüsse begründen, häufige Fehler. Mit Excel-Vorlage.
Leitfaden lesen →Checkliste für das interne Audit nach ISO 27001: Aufbau, Bewertung, Vorlage
Checkliste für das interne Audit nach ISO/IEC 27001:2022: Abschnitte 4 bis 10 und 93 Maßnahmen aus Anhang A, Bewertung der Feststellungen und Nachweise.
Leitfaden lesen →Aktualisiert: 2026-10-30