Die meisten Organisationen haben Richtlinien; aber nur wenige haben Richtlinien, die tatsächlich befolgt werden.
Das Problem liegt nicht am Inhalt. Es liegt an der Komplexität, dem Fachjargon und der Tatsache, dass die meisten Richtlinien so aussehen, als wären sie von Juristen verfasst worden, die die Anwender nie kennengelernt haben.
Ein echtes GRC-Programm beginnt mit klaren, praxisorientierten Richtlinien, die Teams verstehen, übernehmen und tatsächlich in ihrer täglichen Arbeit anwenden.
Hier sind die 10 wesentlichen Richtlinien, die jede Organisation benötigt; kein Füllmaterial, kein Ballast, nur das, was funktioniert.
Sie brauchen keine 40 Richtlinien. Sie brauchen ein schlankes, kohärentes Policy-Framework, das Governance, Sicherheit, Daten, Risiko und Betrieb abdeckt; ohne Ihre Teams in Papierkram zu ertränken.
Jede Richtlinie sollte drei Fragen beantworten:
- Was wird verlangt?
- Wer ist verantwortlich?
- Wie weisen wir es nach?
Diese 10 Richtlinien bilden das Rückgrat jedes ernsthaften GRC-Programms. Sehen wir sie uns im Detail an.
1. Informationssicherheitsrichtlinie (Die Master-Richtlinie)
Das ist Ihr Nordstern. Sie definiert die Sicherheitsziele, Verpflichtungen und Erwartungen der Organisation.
Sie sollte:
- das ISMS oder den Security-Governance-Rahmen definieren
- Verantwortlichkeiten zuweisen (CISO, Eigentümer, Manager)
- übergeordnete Sicherheitsprinzipien festlegen
- die Grundlage für alle anderen Richtlinien schaffen
- auf ISO 27001, NIS2, DORA abgestimmt sein
Eine gute Informationssicherheitsrichtlinie ist kurz, klar und verbindlich; kein 25-seitiger Roman.
2. Zugangskontrollrichtlinie
Hier passieren die meisten Sicherheitsverletzungen, und Regulatoren schauen zuerst hier hin.
Muss enthalten:
- wie Konten erstellt werden
- wie Konten gelöscht werden
- MFA-Anforderungen
- Regeln für privilegierten Zugang
- regelmäßige Zugriffsüberprüfungen
- Joiner-Mover-Leaver-Workflow (JML)
- Authentifizierungsstandards
Anmerkung: Bei 90 % der NIS2-Audits ist eine schwache Zugangskontrolle der erste Befund. Diese Richtlinie behebt das.
3. Asset-Management-Richtlinie
Sie können nicht schützen, was Sie nicht identifizieren können.
Abdecken:
- Hardware-Inventar
- Software-Inventar
- Cloud-Assets
- Datenklassifizierung
- Eigentumsregeln
- Drittanbietersysteme
- Konfigurationsbaselines
Hier beginnt auch der AI Act: AI-Assets identifizieren, bevor man sie regelt.
4. Risikomanagement-Richtlinie
Das Rückgrat jedes GRC-Programms. Ohne sie haben Ihre Kontrollen keine Grundlage.
Muss definieren:
- Risikometodologie
- Bedrohungsquellen
- Eintrittswahrscheinlichkeits- und Auswirkungsskalen
- Genehmigung der Risikoakzeptanz
- Verknüpfung mit Behandlungsplänen
- Rollen und Verantwortlichkeiten
- Überprüfungsfrequenz
Wer seine Methodik nicht dokumentiert, hat kein verteidigungsfähiges Risikoregister.
5. Incident-Response-Richtlinie
NIS2 und DORA machen dies zur Pflicht; mit strikten Meldepflichten.
Beinhaltet:
- Schweregrade
- Eskalationswege
- Rollen (technisch, rechtlich, Führungsebene, Kommunikation)
- 24h/72h-Meldeworkflow
- Kommunikationsregeln
- Beweissicherung
- CSIRT-Interaktion
- Nachbereitung nach Vorfällen
A policy that spells out “how we handle bad days” is non-negotiable.
6. Business-Continuity- und Disaster-Recovery-Richtlinie (BC/DR)
Ihr Resilienz-Blueprint.
Abdecken:
- BIA-Anforderungen
- Wiederherstellungsziele (RTO/RPO)
- Backup-Strategie
- Krisenmanagement
- DR-Tests
- Ausweichstandorte
- Plan-Ownership
Regulatoren wollen den Nachweis, dass Sie den Betrieb aufrechterhalten können; auch wenn Lieferanten ausfallen.
7. Lieferanten- und Drittanbieter-Sicherheitsrichtlinie
Die am meisten unterschätzte Anforderung von NIS2.
- Lieferantenklassifizierung (kritisch / wichtig / nicht kritisch)
- Due-Diligence-Schritte
- vertragliche Sicherheitsklauseln
- laufendes Monitoring
- Onboarding/Offboarding
- Transparenz bei Subprozessoren
- Exit-Strategie
Wenn Ihre Lieferanten nicht gesteuert werden, sind Sie nicht compliant.
8. Datenschutz- und Privatsphärerichtlinie
GDPR macht dies zur Pflicht, aber Teams interpretieren sie häufig falsch.
Sollte enthalten:
- Rechtsgrundlage der Verarbeitung
- Betroffenenrechte
- Aufbewahrungsregeln
- Datenminimierung
- Datenübermittlungen
- DPIA-Kriterien
- Meldepflichten bei Datenpannen
- Privacy-by-Design-Anforderungen
Praxisorientiert formulieren; nicht in Juristensprache.
9. Acceptable Use Policy (AUP)
Ihre erste Verteidigungslinie gegen menschliche Fehler.
Sollte klar festhalten:
- zulässige Nutzung von IT-Systemen
- Einschränkungen (z. B. private E-Mail, USB-Sticks)
- Regeln zur KI-Nutzung
- Passwortanforderungen
- Anforderungen an Remote-Arbeit
- Meldung verdächtigen Verhaltens
Die AUP sollte kurz genug sein, damit Mitarbeitende sie tatsächlich lesen.
10. Richtlinie für sichere Entwicklung und Change Management
Die Richtlinie, die Engineering und Governance in Einklang hält.
- Erwartungen an sicheres Coding
- Anforderungen an Code-Reviews
- Pipeline-Sicherheit
- Dependency-Management
- Change-Genehmigungsworkflow
- Testanforderungen
- Funktionstrennung
- Infrastructure-as-Code-Governance
Hier muss auch KI-generierter Code auf Sicherheit geprüft werden.
Zusätzliche Richtlinien (je nach Kontext)
Falls für Ihre Organisation relevant, ziehen Sie folgende Ergänzungen in Betracht:
- Kryptografierichtlinie
- Logging- und Monitoring-Richtlinie
- KI-Governance-Richtlinie (abgestimmt auf EU AI Act und ISO 42001)
- Schwachstellenmanagement-Richtlinie
- Remote-Work-Richtlinie
- Mobile-Device-Richtlinie
- Aufbewahrungsrichtlinie für Unterlagen
Diese sind nicht für alle verpflichtend; die Top 10 schon.
Kostenlose Vorlagen
Nachfolgend finden Sie vereinfachte, sofort einsetzbare Richtlinienvorlagen, die Sie anpassen können. Sie sind bewusst kurz und praxisorientiert gehalten.
Abschließende Gedanken
Richtlinien sind keine Dokumente; sie sind explizit formulierte Erwartungen.
Wenn Ihre Richtlinien zu lang, zu theoretisch oder in Juristensprache verfasst sind, wird Ihr GRC-Programm unter seinem eigenen Gewicht zusammenbrechen.
Starten Sie schlank. Schreiben Sie klar. Weisen Sie Ownership zu. Überprüfen Sie regelmäßig. Und machen Sie Richtlinien zum lebendigen Rückgrat Ihrer Governance; nicht zum Papierkram für den Auditor.
Wenn Sie Richtlinienvorlagen benötigen, die auf ISO 27001, NIS2, DORA, GDPR und den EU AI Act abgestimmt sind, genau das teilen wir in den Cyber Academy Lead Implementer-Kursen. Melden Sie sich für die nächste Session an und erhalten Sie sofortigen Zugang.