Richtlinien für mehrere Frameworks abbilden, nicht neu schreiben

Ein typisches Muster: Ein Unternehmen erstellt ein Richtlinienset für ISO 27001. Dann fragt ein Kunde nach SOC 2, und jemand kauft ein zweites Vorlagenpaket. Anschließend kommt PCI DSS mit eigenen Anforderungen. Drei sich überschneidende Richtliniensets, jedes etwas veraltet, keines entspricht dem, was die Mitarbeitenden tatsächlich tun. Richtlinien müssen nicht frameworkspezifisch sein. Sie müssen organisationsspezifisch sein und zugeordnet werden.

Struktur: drei Ebenen

1. Eine Informationssicherheitsrichtlinie: kurz, von der Leitung genehmigt, mit Zielen, Geltungsbereich, Verantwortlichkeiten und Verpflichtung der Leitung. ISO 27001 Klausel 5.2 und PCI DSS 12.1.1 verlangen beide eine solche Richtlinie.
2. Themenrichtlinien (etwa ein Dutzend): Zugriffskontrolle, akzeptable Nutzung, Asset-Management, Kryptografie, Incident Response, Business Continuity, Lieferantensicherheit, sichere Entwicklung, Schwachstellen- und Patch-Management, Protokollierung und Überwachung, physische Sicherheit, Personalsicherheit.
3. Verfahren und Standards darunter, in denen Fristen, Einstellungen und Schritte festgelegt sind. Diese ändern sich häufiger und sollten nicht bei jeder Änderung die Freigabe durch die Leitung benötigen.

Frameworkspezifische Details gehören in Verfahren, nicht in Richtlinien: "Zugriffe werden alle sechs Monate überprüft" gehört in das Verfahren zur Zugriffsprüfung, wo die Frequenz von PCI DSS stehen kann, ohne die Richtlinie aufzublähen.

Zuordnen, nicht neu schreiben

Führen Sie eine Zuordnungstabelle: eine Zeile pro Richtlinienabschnitt, mit den Anforderungen, die er in jedem Framework adressiert. Das Thema Governance Policy zeigt, was jedes Framework auf oberster Ebene erwartet:

Framework	Governance-Richtlinie	Verknüpfung
NIST CSF 2.0	GV.PO-01GV.PO-02	Themendefinition
ISO 27001	A.5.1A.5.37Clause 5.2	Crosswalk
CIS v8.1	—	Keine Zuordnung in unseren Daten
SOC 2	CC5.3CC1.1	Redaktionell
PCI DSS	12.1.112.1.2	Crosswalk
CMMC	—	Keine Zuordnung in unseren Daten
800-53	PM-1PL-1	Crosswalk
HIPAA	§164.316(a)§164.316(b)(2)(iii)	Crosswalk
GDPR	Art.24(2)	Redaktionell
NIS2	1.1	Crosswalk
Essential Eight	—	Keine Zuordnung in unseren Daten

Vollständige Details und die Begründung für jede Verknüpfung: Governance-Richtlinie über Frameworks hinweg →

Wenn ein neues Framework hinzukommt, führen Sie eine Lückenanalyse durch und prüfen die Anforderungen an Governance und Richtlinien: Die meisten lassen sich einer vorhandenen Richtlinie zuordnen, die übrigen werden zu neuen Abschnitten oder Verfahren.

Was Frameworks ausdrücklich schriftlich verlangen

• ISO 27001: eine Informationssicherheitsrichtlinie (5.2) und bei Bedarf themenspezifische Richtlinien (A.5.1), die kommuniziert und überprüft werden.
• SOC 2: Richtlinien, die festlegen, was erwartet wird, und die über Verfahren umgesetzt werden (CC5.3).
• PCI DSS: Für jede seiner zwölf Anforderungen dokumentierte, aktuelle Richtlinien und Verfahren (x.1.1) sowie zugewiesene Rollen (x.1.2), mindestens jährlich überprüft.
• NIS2: eine Richtlinie zur Sicherheit von Netz- und Informationssystemen und themenspezifische Richtlinien (Durchführungsverordnung, Punkt 1).
• NIST CSF 2.0: Richtlinien sind festgelegt, kommuniziert und werden durchgesetzt (GV.PO).

Ein minimales Richtlinienset

Für die meisten kleinen und mittelgroßen Organisationen decken diese Dokumente die Richtlinienanforderungen von ISO 27001, SOC 2, NIST CSF, PCI DSS und NIS2 ab:

1. Informationssicherheitsrichtlinie (oberste Ebene, von der Leitung genehmigt)
2. Richtlinie zur akzeptablen Nutzung
3. Richtlinie zur Zugriffskontrolle
4. Richtlinie zu Asset-Management und Datenklassifizierung
5. Richtlinie zur Kryptografie
6. Richtlinie zu sicherer Entwicklung und Change-Management
7. Richtlinie zu Schwachstellen- und Patch-Management
8. Richtlinie zur Protokollierung und Überwachung
9. Richtlinie zur Incident Response (mit Meldepflichten)
10. Richtlinie zu Business Continuity und Backup
11. Richtlinie zur Lieferantensicherheit
12. Richtlinie zur Personalsicherheit
13. Richtlinie zur physischen Sicherheit

Dreizehn Dokumente, die meisten einige Seiten lang, jedes mit einem Verantwortlichen und einem Überprüfungsdatum. Die Details stehen in den Verfahren, die sich häufiger ändern.

Wichtigste Erkenntnisse

• Richtlinien sollten organisationsspezifisch und zugeordnet sein, nicht frameworkspezifisch.
• Fristen und Einstellungen gehören in die Verfahren.
• Dreizehn kurze Richtlinien decken die meisten Frameworks ab.
• PCI DSS verlangt, dass seine Richtlinien und Verfahren mindestens jährlich überprüft werden.

Aktuell halten

• Schreiben Sie auf, was Sie tun, nicht was eine Vorlage sagt. Auditoren prüfen Richtlinien gegen die Praxis.
• Jährlich überprüfen sowie nach wesentlichen Änderungen, mit dokumentierter Genehmigung.
• Kurz schlägt vollständig: Eine zweiseitige Richtlinie zur Zugriffskontrolle, die die Mitarbeitenden tatsächlich lesen, ist besser als zwanzig Seiten, die niemand liest.

Ein vollständiges gemeinsames Kontrollset auf Basis derselben Idee finden Sie unter ein Kontrollset für SOC 2 und ISO 27001.

Fragen

Wie viele Sicherheitsrichtlinien brauchen Sie?

Weniger, als die meisten Vorlagen nahelegen. Eine oberste Informationssicherheitsrichtlinie plus etwa ein Dutzend Themenrichtlinien (Zugriff, akzeptable Nutzung, Incident Response, Lieferantensicherheit und so weiter) decken in der Regel ISO 27001, SOC 2, NIST und PCI DSS ab.

Verlangt PCI DSS bestimmte Richtlinien?

Ja. Jede PCI-DSS-Anforderung beginnt mit der Vorgabe dokumentierter, aktueller Richtlinien und Verfahren für den jeweiligen Bereich (x.1.1), ergänzt um Rollen und Verantwortlichkeiten (x.1.2).