Informationssicherheitsleitlinie

Die Informationssicherheitsleitlinie ist das von der Geschäftsleitung verabschiedete Grunddokument eines ISMS: Sie legt Ziele, Geltungsbereich, Verantwortlichkeiten und den Verbindlichkeitsanspruch der Informationssicherheit fest. Sie ist kurz, sie ist unterschrieben, und sie ist der Bezugspunkt für jede nachgeordnete Richtlinie.

Aktualisiert am: 19.08.2026

Was hineingehört

Das Bekenntnis der Leitung, in eigenen Worten und mit Datum
Ziele der Informationssicherheit und der Geltungsbereich
Die Rollen: wer entscheidet, wer steuert, wer setzt um
Der Umgang mit Verstößen und der Turnus der Überprüfung

Leitlinie und Richtlinie

Die Leitlinie sagt, was gilt und warum; Richtlinien sagen, wie es im Einzelnen gemacht wird — Passwörter, Zugriffe, mobile Geräte, Lieferanten, Backup. Zwei Seiten Leitlinie sind besser als zwanzig: Was niemand liest, wirkt auch nicht. Ein Auditor prüft vor allem, ob Freigabe, Bekanntgabe und Überprüfung nachweisbar stattgefunden haben.

Wo das im Mandat vorkommt

In der ISO-27001-Beratung entsteht die Leitlinie in der Regel in einem Workshop mit der Geschäftsleitung. Vorformulierte Fassungen und die zugehörigen Richtlinien liegen im NIS2 Manager als Dokumentvorlagen bereit.

Häufige Frage

Wie lang sollte eine Informationssicherheitsleitlinie sein?

Ein bis drei Seiten reichen. Sie soll von jeder Beschäftigten gelesen werden können und dabei erkennbar von der Leitung stammen. Details gehören in nachgeordnete Richtlinien, nicht in die Leitlinie.