Sicherheitsdokumentation muss nicht aus Dutzenden von Richtlinien bestehen, die niemand liest. Entscheidend ist, dass eine Organisation über die Regeln verfügt, die sie tatsächlich benötigt – und dass klar ist, wer dafür verantwortlich ist und ob diese Regeln in der Praxis eingehalten werden.
Eine Sicherheitsrichtlinie bedeutet noch keine Sicherheit
Beim Aufbau der Cybersicherheit ist es einfach, mit Dokumenten zu beginnen. Man sucht eine Vorlage für eine Sicherheitsrichtlinie, ergänzt den Namen der Organisation, lässt das Dokument genehmigen und legt es ab.
Formal existiert das Dokument. Die Frage ist jedoch, ob es auch beschreibt, was in der Organisation tatsächlich geschieht.
Wenn eine Richtlinie festlegt, dass Benutzerberechtigungen regelmäßig überprüft werden, sollte klar sein, wer diese Überprüfungen durchführt, wie häufig sie stattfinden und was bei festgestellten Problemen zu tun ist. Wenn ein Business-Continuity-Plan besagt, dass die Organisation einen wichtigen Dienst wiederherstellen kann, sollte bekannt sein, ob dieses Verfahren jemals getestet wurde.
Sicherheitsdokumentation sollte daher kein Selbstzweck sein. Sie soll die Regeln, Verantwortlichkeiten und Verfahren beschreiben, nach denen die Organisation ihre Sicherheit tatsächlich steuert. Dieser Grundsatz entspricht auch den Anforderungen des slowakischen Cybersicherheitsgesetzes, wonach die genehmigte Sicherheitsdokumentation aktuell sein und den tatsächlichen Gegebenheiten entsprechen muss.
Die schlechteste Sicherheitsrichtlinie ist nicht die kurze. Die schlechteste ist diejenige, die Sicherheitsmaßnahmen beschreibt, die in der Organisation in Wirklichkeit gar nicht existieren.
Wie viele Sicherheitsrichtlinien brauchen Sie?
Eine allgemeingültige Zahl gibt es nicht.
Eine kleinere Organisation benötigt nicht unbedingt für jedes Sicherheitsthema ein eigenes Dokument. Zusammengehörige Regeln können in einer Richtlinie zusammengefasst werden. Wenn die Organisation wächst, neue Systeme oder Lieferanten hinzukommen oder zusätzliche Verpflichtungen entstehen, können einzelne Themen später in separaten Dokumenten behandelt werden.
Deshalb ist es sinnvoller zu fragen:
„Haben wir alle Regeln abgedeckt, die wir tatsächlich benötigen?“
statt:
„Wie viele Sicherheitsrichtlinien müssen wir haben?“
Ein praktischer Einstieg: Überblick über die wichtigsten Bereiche
Wenn eine kleinere Organisation bei null anfängt, kann sie ihre grundlegenden Sicherheitsregeln beispielsweise zunächst in sechs Dokumenten strukturieren.
1. Sicherheitsrichtlinie und Sicherheitsorganisation
Das Dokument sollte die grundlegenden Regeln der Cybersicherheit erläutern und vor allem festlegen, wer wofür verantwortlich ist.
Wer steuert die Sicherheit? Wer ist für Assets und Risiken verantwortlich? Wer genehmigt Sicherheitsmaßnahmen? Wem werden schwerwiegende Probleme gemeldet?
Es muss kein umfangreiches Dokument sein. Wichtig ist, dass Aufgaben und Verantwortlichkeiten klar definiert sind. Sicherheit darf nicht allein der IT-Abteilung überlassen werden. Die Unternehmensleitung genehmigt Maßnahmen, überwacht deren Umsetzung und trägt dafür die Verantwortung. In einem kleineren Unternehmen bedeutet dies häufig, dass wichtige Entscheidungen, beispielsweise die Akzeptanz eines Risikos, direkt von der Geschäftsführung genehmigt werden.
2. Asset- und Risikomanagement
Eine Organisation muss wissen, was sie schützt.
Zu Beginn muss nicht jeder Monitor oder jedes Kabel erfasst werden. Die Organisation sollte jedoch ihre wichtigen Dienste, Informationen, Systeme und sonstigen Assets kennen und wissen, wer dafür verantwortlich ist. Auch eine einfache Klassifizierung von Informationen nach ihrer Vertraulichkeit – beispielsweise öffentlich, intern und vertraulich – hilft den Mitarbeitenden zu verstehen, wie sie mit unterschiedlichen Informationen umgehen sollen.
Auf dem Asset-Verzeichnis baut das Risikomanagement auf: Wie werden Risiken identifiziert und bewertet? Wie wird mit ihnen umgegangen? Wer ist für Sicherheitsmaßnahmen verantwortlich? Und wer darf entscheiden, dass die Organisation ein bestimmtes Risiko akzeptiert?
3. Zugriffsmanagement und Betriebssicherheit
Dazu gehören Regeln für die Vergabe und den Entzug von Zugriffsrechten, die Überprüfung von Berechtigungen, Systemaktualisierungen, den Schutz vor Schadsoftware sowie weitere grundlegende Anforderungen an einen sicheren Betrieb.
Auch die Durchführung von Datensicherungen gehört dazu – was gesichert wird, wie häufig und wer dafür verantwortlich ist.
Dies ist jedoch etwas anderes als die Frage, ob sich Systeme und Daten aus einer Sicherung tatsächlich wiederherstellen lassen. Darauf gehen wir beim Business Continuity Management ein.
4. Management von Sicherheitsvorfällen
Wenn ein Sicherheitsvorfall eintritt, ist nicht der richtige Zeitpunkt, um erst herauszufinden, wen man anrufen soll.
Es sollte klar sein, wie ein Vorfall gemeldet wird, wer ihn bearbeitet, wann er eskaliert wird, wer die Geschäftsführung informiert und wer gegebenenfalls die Meldung an die zuständigen Behörden sicherstellt.
Auch aktuelle Kontaktdaten sind wichtig. Ein Incident-Response-Plan mit der Telefonnummer einer Person, die das Unternehmen bereits vor zwei Jahren verlassen hat, ist wenig hilfreich.
5. Geschäftskontinuität und Wiederherstellung
Eine Organisation sollte wissen, welche Dienste für ihren Betrieb wichtig sind, wie lange diese ausfallen dürfen und wie sie im Falle einer Störung wiederhergestellt werden können.
Dabei geht es nicht nur darum, ob Datensicherungen durchgeführt werden, sondern auch darum, ob Systeme oder Daten daraus tatsächlich wiederhergestellt werden können – und ob dies innerhalb der benötigten Zeit möglich ist.
Deshalb gehören auch Business-Continuity- und Wiederherstellungspläne sowie deren Tests zu diesem Bereich.
6. Sicherheitsregeln für Mitarbeitende
Mitarbeitende müssen wissen, was von ihnen beim Umgang mit Passwörtern, E-Mails, Arbeitsgeräten oder Informationen erwartet wird und was sie tun sollen, wenn ihnen etwas Verdächtiges auffällt.
Die Regeln sollten auch den Eintritt neuer Mitarbeitender, Änderungen ihrer Aufgaben und das Ausscheiden aus der Organisation berücksichtigen.
Und was ist mit Lieferanten?
Wenn ein externer Lieferant Zugriff auf Systeme oder Daten der Organisation hat, ein System für sie betreibt oder an der Bereitstellung eines wichtigen Dienstes beteiligt ist, muss auch seine Sicherheit berücksichtigt werden.
Die Organisation sollte wissen, welche Sicherheitsanforderungen sie an den Lieferanten stellt, über welche Zugriffsrechte er verfügt, was er bei einem Sicherheitsvorfall tun muss und welche Informationen er der Organisation melden muss.
In einer kleineren Organisation können diese Regeln Bestandteil einer anderen Sicherheitsrichtlinie sein. Besteht eine größere Abhängigkeit von Lieferanten, kann es sinnvoll sein, sie in einem separaten Dokument zu behandeln. Für Organisationen, die unter NIS2 fallen, gehört die Sicherheit der Lieferkette außerdem zu den Bereichen der Maßnahmen zum Management von Cybersicherheitsrisiken.
Dieser Überblick stellt keine regulatorischen Mindestanforderungen dar
Die genannten Bereiche bieten einen praktischen Ansatz, mit dem kleinere Organisationen beginnen können. Es handelt sich jedoch nicht um eine Checkliste, deren Erfüllung automatisch die Einhaltung von NIS2 oder der slowakischen Gesetzgebung gewährleistet.
Beispielsweise legt die Verordnung Nr. 227/2025 Slg. der slowakischen Nationalen Sicherheitsbehörde (NBÚ) für Betreiber wesentlicher Dienste detailliertere Anforderungen an die Sicherheitsdokumentation fest. Gemäß § 4 umfasst diese neben einer genehmigten Cybersicherheitsstrategie und Sicherheitsrichtlinien auch die Klassifizierung von Informationen, die Kategorisierung von IKT und OT, eine Risikoanalyse einschließlich eines Asset-Verzeichnisses, die Dokumentation des Umfangs und der Art der Umsetzung von Sicherheitsmaßnahmen sowie weitere vorgeschriebene Dokumente.
Der Umfang der allgemeinen Sicherheitsmaßnahmen wird gemäß dieser Verordnung auf Grundlage einer Risikoanalyse festgelegt.
Wenn Ihre Organisation in den Anwendungsbereich des Gesetzes fällt, betrachten Sie diesen Überblick über die grundlegenden Bereiche als Möglichkeit, Ihre Dokumentation zu strukturieren – nicht als Ersatz für die Anforderungen der Verordnung. Achten Sie beim Zusammenführen von Dokumenten darauf, dass keine verpflichtenden Bestandteile fehlen.
Eine Vorlage ist ein Anfang, keine fertige Richtlinie
Es ist nicht notwendig, jedes Dokument von Grund auf neu zu erstellen. Eine gute Vorlage kann bei der Strukturierung helfen und an Themen erinnern, die nicht übersehen werden sollten. Sie muss jedoch an die jeweilige Organisation angepasst werden.
Wenn eine Vorlage Rollen, Prozesse oder Sicherheitsmaßnahmen beschreibt, die in der Organisation tatsächlich nicht existieren, führt ihre unveränderte Übernahme nicht zu einer besseren Dokumentation. Sie schafft lediglich eine Diskrepanz zwischen dem, was geschrieben steht, und dem, was tatsächlich getan wird.
Eine Richtlinie ohne Nachweise belegt nichts. Wenn eine Richtlinie festlegt, dass Berechtigungen überprüft, Backups getestet und Mitarbeitende geschult werden, sollten entsprechende Nachweise vorhanden sein – etwa ein Prüfprotokoll, das Ergebnis eines Wiederherstellungstests oder eine Liste der geschulten Mitarbeitenden. Bei einem Audit oder einer Kontrolle zählt nicht nur, was dokumentiert ist, sondern auch, womit Sie nachweisen können, dass die beschriebenen Maßnahmen tatsächlich durchgeführt werden.
Prüfen Sie vor der Genehmigung einer Richtlinie:
- Ist eine verantwortliche Person für das Dokument eindeutig festgelegt?
- Weiß die Unternehmensleitung, was sie genehmigt, und unterstützt sie die festgelegten Regeln?
- Entspricht das Dokument der tatsächlichen Arbeitsweise unserer Organisation?
- Sind die Verantwortlichkeiten konkreten Rollen zugewiesen?
- Wissen die betroffenen Mitarbeitenden, was sie tun müssen?
- Können wir nachweisen, dass diese Regeln eingehalten werden?
- Ist klar, wann und von wem das Dokument erneut überprüft wird?
Wenn Sie eine dieser Fragen mit „Nein“ beantworten, wird eine zusätzliche Richtlinie das Problem wahrscheinlich nicht lösen.
Wie Tazilla bei der Sicherheitsdokumentation hilft
Tazilla enthält eine Bibliothek mit Vorlagen für die Sicherheitsdokumentation. So müssen CISOs nicht bei jedem Thema von Grund auf neu beginnen.
Die verfügbaren Vorlagen decken die einzelnen Bereiche detaillierter ab. Das bedeutet jedoch nicht, dass jede Organisation automatisch jede Vorlage als eigenständige Richtlinie übernehmen muss.
Für CISOs, die gerade erst mit dieser Aufgabe beginnen, kann folgende Übersicht hilfreich sein:
| Grundlegender Bereich | Vorlagen in der Tazilla-Bibliothek |
|---|---|
| Sicherheitsrichtlinie und Sicherheitsorganisation | Sicherheitsrichtlinie; Organisation der Informationssicherheit |
| Assets und Risiken | Management von Assets, Bedrohungen und Risiken |
| Zugriffsmanagement und Betriebssicherheit | Zugriffsmanagement; Management der Betriebssicherheit; Netzwerk- und IKT-Sicherheitsmanagement; Kryptografische Maßnahmen; Physische Sicherheit und Umgebungssicherheit; Sicherheitsüberwachung, Sicherheitstests und Sicherheitsaudits |
| Sicherheitsvorfälle | Management von Cybersicherheitsvorfällen |
| Geschäftskontinuität und Wiederherstellung | BCM-Richtlinie; Management der Geschäftskontinuität; Business-Continuity-Plan (BCP); Disaster-Recovery-Plan (DRP) |
| Sicherheitsregeln für Mitarbeitende | Verhaltensregeln und bewährte Praktiken; Personalsicherheit |
| Lieferanten | Management von Lieferantendienstleistungen |
Diese grundlegenden Bereiche können dabei helfen, sich in den Vorlagen der Bibliothek zurechtzufinden. Jede Organisation kann diejenigen auswählen und anpassen, die sie entsprechend ihrer Arbeitsweise, ihrer Risiken und ihrer Verpflichtungen benötigt.
Eine Vorlage hilft Ihnen beim Einstieg. Zu Ihrer eigenen Richtlinie wird sie erst dann, wenn sie widerspiegelt, wie Ihre Organisation tatsächlich arbeitet.
Die Dokumentation muss sich mit der Organisation weiterentwickeln
Eine Sicherheitsrichtlinie sollte nicht über mehrere Jahre unverändert bleiben, nur weil sie einmal genehmigt wurde.
Ein neues System, ein neuer Lieferant, veränderte Verantwortlichkeiten, ein Sicherheitsvorfall, ein Audit oder ein Wiederherstellungstest können zeigen, dass bestimmte Regeln nicht mehr gelten oder nicht mehr ausreichen. Deshalb sollte die Dokumentation regelmäßig überprüft und bei Bedarf angepasst werden.
Die Anforderung, dass Sicherheitsdokumentation aktuell sein und den tatsächlichen Gegebenheiten entsprechen muss, ist auch im slowakischen Cybersicherheitsrecht verankert.
Hier verbindet sich die Dokumentation mit weiteren Bereichen der Tazilla-Plattform. Risiken und Sicherheitsmaßnahmen, die Erfassung von Sicherheitsvorfällen, Business Continuity und Mitarbeiterschulungen liefern Informationen darüber, ob die festgelegten Regeln funktionieren und wo Änderungen notwendig sind. So muss die Dokumentation nicht losgelöst vom täglichen Sicherheitsmanagement existieren.
Fazit
Gute Sicherheitsdokumentation muss nicht umfangreich sein. Sie muss jedoch zur Organisation, ihren Risiken und ihren Verpflichtungen passen.
Wenn Sie gerade erst beginnen, konzentrieren Sie sich zunächst auf die wichtigsten Bereiche, klare Verantwortlichkeiten und Regeln, die sich in der Praxis tatsächlich einhalten lassen. Ergänzen Sie weitere Dokumente dort, wo Ihre Organisation sie wirklich benötigt oder wo gesetzliche Verpflichtungen dies erfordern.
Es geht nicht darum, möglichst viele Sicherheitsrichtlinien zu haben. Entscheidend ist, dass die vorhandenen Richtlinien beschreiben, was Sie tatsächlich tun.