Im Zuge der Ein­füh­rung eines ISMS nach ISO 27001, TISAX® oder NIS2 besteht für jedes Unter­neh­men das Erfor­der­nis neue Richt­li­ni­en zu erstel­len. Vie­le Unter­neh­men wer­den, wie in der Ver­gan­gen­heit auch, Ali­bi-Richt­li­ni­en erstel­len, um einem Prü­fer oder Audi­tor gerecht zu wer­den. Nicht mehr, nicht weniger.

Bezo­gen auf ein Manage­ment­sys­tem für Infor­ma­ti­ons­si­cher­heit sind das bei­spiels­wei­se: Sicher­heits­richt­li­ni­en, Risi­ko­ma­nage­men­t­richt­li­nie, Richt­li­nie zur Sicher­heit von Lie­fer­ket­ten, Zugangs­steue­rungs­richt­li­nie und die Richt­li­nie zum Umgang mit Cyber­si­cher­heits­vor­fäl­len. 

  • Aber wel­che Indi­ka­to­ren gibt es, um Ali­bi-Richt­li­ni­en zu erken­nen und wie schaf­fen Infor­ma­ti­ons­si­cher­heits­ver­ant­wort­li­che es mit anspre­chen­den Richt­li­ni­en einen tat­säch­li­chen Mehr­wert für das Unter­neh­men zu erstel­len? 

Indi­ka­to­ren für Ali­bi-Richt­li­ni­en 

Um fest­zu­stel­len, ob es in Ihrem Unter­neh­men Ali­bi­richt­li­ni­en gibt, betrach­ten Sie die jewei­li­ge Richt­li­nie unter fol­gen­den Gesichts­punk­ten und beant­wor­ten Sie für sich die jewei­li­gen Fra­gen. 

Aktua­li­tät 

Vie­le Richt­li­ni­en ent­spre­chen nicht mehr den aktu­el­len Gege­ben­hei­ten oder pas­sen zu Ent­wick­lun­gen im Unter­neh­men – geschäft­lich, orga­ni­sa­to­risch oder unter­neh­mens­po­li­tisch. 

  • Ist die zu prü­fen­de Richt­li­nie bezo­gen auf die Gege­ben­hei­ten im Unter­neh­men noch aktu­ell? 
  • Gibt es Richt­li­ni­en die län­ger als 2 Jah­re nicht aktua­li­siert wur­de? 
Wirk­sam­keit und Nut­zen 

Das A und O einer Richt­li­nie ist, dass sie nicht nur erstellt, son­dern im Berufs­all­tag von den Mit­ar­bei­te­rIn­nen ange­wen­det wird.  Ist das nicht der Fall, gibt es kei­nen Nut­zen für die Orga­ni­sa­ti­on.  

  • Wird die jewei­li­ge Richt­li­nie von den Betrof­fe­nen ange­nom­men und beach­tet?  
  • Sind die dazu­ge­hö­ri­gen Pro­zes­se mit der Richt­li­nie abge­gli­chen und ggf. adap­tiert wor­den? 
  • Falls nicht, war­um wird die Richt­li­nie nicht ange­nom­men und beach­tet? 
  • Wur­den rele­van­te Pro­zes­se in der Richt­li­nie berück­sich­tigt? 
  • Gibt es Kon­se­quen­zen für die Nicht­be­ach­tung der Richt­li­ni­en? 
Kom­ple­xi­tät 

Häu­fig wird eine Richt­li­nie nicht beach­tet, weil Sie zu kom­plex, zu umfang­reich und zu wenig pra­xis­ori­en­tiert ist. 

  • Wird die Richt­li­nie ver­stan­den oder ist sie zu kom­pli­ziert? 
  • Gibt es zu vie­le Richt­li­ni­en, die den Mit­ar­bei­te­rIn­nen oft  gar nicht bekannt sind? 
Kom­mu­ni­ka­ti­on 

Zu guter Letzt wer­den Richt­li­ni­en sehr oft nicht aus­rei­chend kom­mu­ni­ziert und sind vie­len Mit­ar­bei­tern schlicht­weg gar nicht bekannt.  

  • Wur­de bzw. wird alles getan, um die Richt­li­nie und deren Not­wen­dig­keit im Unter­neh­men zu kom­mu­ni­zie­ren? 
  • Haben alle, die einer Richt­li­nie unter­lie­gen auch dar­auf Zugriff?  
  • Wur­den sie aus­rei­chend geschult in Bezug auf die Anwen­dung der Richtlinie?

Emp­feh­lun­gen zur Stei­ge­rung der Wirksamkeit

Sichern Sie sich die Unter­stüt­zung der Unternehmensleitung

Set­zen Sie orga­ni­sa­to­risch ein inter­nes Pro­jekt auf, das das Ziel ver­folgt, alle bestehen­den Richt­li­ni­en unter den oben genann­ten Aspek­ten zu prü­fen. Im Ide­al­fall über­nimmt die Patro­nanz jemand aus der obers­ten Füh­rungs­ebe­ne, um dem Pro­jekt im Unter­neh­men die erfor­der­li­che Gewich­tung zu geben. 

Ana­ly­se nach Aktua­li­tät, Wirk­sam­keit, Kom­ple­xi­tät und Kom­mu­ni­ka­ti­on 

Betrach­ten Sie jede Richt­li­nie unter den oben genann­ten 4 The­men­be­rei­chen und erstel­len Sie eine indi­vi­du­el­le Bewer­tung. Aus der Betrach­tung und dar­aus resul­tie­ren­den Bewer­tung lei­ten sich ein­deu­ti­ge Hand­lungs­not­wen­dig­kei­ten ab.   

Adap­tie­ren Sie die Richt­li­ni­en 

Set­zen Sie alles, was aus Ihrer Ana­ly­se her­vor­geht, um und erstel­len Sie eine adap­tier­te Richt­li­nie. 

Aus unse­rer Erfah­rung sind dabei fol­gen­de Punk­te ziel­füh­rend, wenn es dar­um geht aus Ali­bi-Richt­li­ni­en „ech­te“ Richt­li­ni­en zu machen: 

„Redu­ce to the Max“  

Redu­zie­ren Sie den Umfang und gestal­ten Sie kna­cki­ge Richt­li­ni­en mit Pra­xis­bei­spie­len. 

„Richt­li­ni­en Ver­ant­wor­tung“  

Soll­ten es das nicht geben: Defi­nie­ren Sie je Richt­li­nie eine(n) Verantwortliche(e). Der/die jewei­li­ge Ver­ant­wort­li­che soll die regel­mä­ßi­ge Aktua­li­sie­rung und die kon­ti­nu­ier­li­che Ver­bes­se­rung der Inhal­te über­neh­men. 

„Ein­be­zug der Fach­be­rei­che“ 

Alle Fach­be­rei­che die die Richt­li­ni­en ein­hal­ten sol­len müs­sen in der Pla­nungs­pha­se der Richt­li­ni­en ein­be­zo­gen wer­den und Rück­mel­dun­gen zu den Ent­wür­fen müs­sen sorg­fäl­tig abge­wo­gen und kon­struk­tiv berück­sich­tigt wer­den. 

„Vor­ga­ben, aber kei­ne kon­kre­ten Umset­zun­gen“ 

Richt­li­ni­en soll­ten kla­re Vor­ga­ben für die Umset­zung in den Fach­be­rei­chen beinhal­ten, aber kei­ne spe­zi­fi­sche Umset­zung fest­schrei­ben. Z.B. die Vor­ga­be wel­che Infor­ma­tio­nen bei einem IT-Asset-Manage­ment erho­ben wer­den müs­sen, aber nicht mit wel­chem Tool das Asset-Manage­ment durch­ge­führt wird. 

„Kei­ne Über­las­tung der Fach­be­rei­che“ 

Bei der Ent­wick­lung von Richt­li­ni­en ver­zich­ten Sie dar­auf ein­zel­ne Abtei­lun­gen im Zuge der Umset­zung zu über­las­ten. Star­ten sie bei neu­en Richt­li­ni­en im ers­ten Jahr mit rea­lis­tisch umsetz­ba­ren Zie­len, jedoch kön­nen Sie bei der Über­ar­bei­tung im Fol­ge­jahr die Anfor­de­run­gen schritt­wei­se ange­ho­ben wer­den.  

„ziel­ge­rich­te­te Kom­mu­ni­ka­ti­on“  

Kom­mu­ni­zie­ren Sie die Richt­li­nie früh­zei­tig und an alle rele­van­ten Par­tei­en – ent­wi­ckeln Sie hier­zu gemein­sam mit der Per­so­nal- und Mar­ke­ting­ab­tei­lung ein Kon­zept, 

Schu­len Sie die Richt­li­nie aus­rei­chend und in regel­mä­ßi­gen Abstän­den. Berück­sich­ti­gen Sie dabei aber aus­schließ­lich die Ziel­grup­pe der jewei­li­gen Richt­li­ni­en. 

Com­pli­ance Manage­ment Sys­te­me kön­nen hel­fen die Akzep­tanz der Richt­li­ni­en durch die Mit­ar­bei­te­rIn­nen zu doku­men­tie­ren. 

„Zei­gen Sie Kon­se­quenz“ 

Füh­rungs­kräf­te müs­sen eine Vor­bild­funk­ti­on bei der Ein­hal­tung von Richt­li­ni­en ein­neh­men. Mit­ar­bei­te­rIn­nen die Vor­ga­ben aus Richt­li­ni­en nicht ken­nen oder die­se nicht ein­hal­ten müs­sen über die Wich­tig­keit der Inhal­te auf­ge­klärt und nach­ge­schult wer­den. Vor­sätz­li­ches Nicht­ein­hal­ten von Richt­li­ni­en muss geahn­det wer­den.