ISO 27001 Leitfaden für Einsteiger im Jahr 2026

ISO/IEC 27001:2022 schreibt direkt nur die Informationssicherheitspolitik vor , die in Abschnitt 5.2 dargelegt ist und die Absicht des Managements zum Schutz von Informationen sowie die grundlegenden Ziele für das ISMS festlegt.

Anhang A 5.1 setzt diese Richtlinie in die Praxis um und beschreibt Kontrollmechanismen und themenspezifische Richtlinien zur Unterstützung der in Klausel 5.2 dargelegten Erwartungen. Da nahezu keine Organisation A.5.1 von ihrer Anwendungserklärung ausschließt, werden unterstützende Richtlinien dadurch zu einer praktischen Verpflichtung und nicht nur zu einer wünschenswerten Option. 

Dieser Leitfaden enthält die Liste der notwendigen ISO 27001-Richtlinien, Richtlinienvorlagen und Hinweise zum Verfassen eigener Richtlinien. 

Was sind die Richtlinien der ISO 27001?

Die Richtlinien nach ISO 27001 sind grundlegende Dokumente, die die Protokolle und Informationsmanagementpraktiken der Organisation definieren und somit die Basis Ihres Informationssicherheitsmanagementsystems (ISMS) bilden. Daher durchläuft jede Richtlinie eine sorgfältige Definition, strenge Managementprüfungen, Genehmigungen und Überarbeitungen, um das ISMS stets auf dem neuesten Stand zu halten. Die Richtlinien einer Organisation werden maßgeblich durch Geschäftsanforderungen, rechtliche und gesetzliche Vorgaben sowie regulatorische Anforderungen bestimmt.

ISO 27001 schreibt vor, dass Organisationen Transparenz wahren und ihre Richtlinien gegenüber Stakeholdern, Kunden und der Geschäftsleitung kommunizieren müssen. Häufig wird von Organisationen im Rahmen ihrer Vertragsbedingungen die Vorlage ihrer Richtlinien verlangt. 

Liste der ISO 27001-Richtlinien

ISO 27001 schreibt eine Richtlinie vor; die übrigen Richtlinien ergeben sich aus Ihrer Systematik und der Zuständigkeit für die einzelnen Kontrollen. Daher variiert die Anzahl zwischen zwölf und dreißig. Die folgende Liste gruppiert die Richtlinien, die die meisten Organisationen benötigen, nach Kategorien und ordnet sie ihren Kontrollen für 2022 zu.

1. ISMS- und Governance-Richtlinien

Diese Ebene liegt in der Verantwortung des Top-Managements und konsolidiert am stärksten: Kleine Teams integrieren Rollen, Risiken und Verbesserungen in die Informationssicherheitsrichtlinie.

Politik	Status	Primärkontrolle 2022	Was es regelt
Informationssicherheitsrichtlinie	Verpflichtend	Klausel 5.2; A.5.1; A.5.2; A.5.4	Oberste Absicht, Ziele und Rahmen für alle anderen Richtlinien
Risikomanagement-Richtlinie	Fast immer	Klausel 6.1; A.5.1	Risikobewertung und Behandlungsmethoden
Richtlinie zur kontinuierlichen Verbesserung	Fast immer	Klausel 10; A.5.1	Umgang mit Abweichungen und Verbesserung des ISMS
Dokumenten- und Aufzeichnungsrichtlinie	Fast immer	Klausel 7.5; A.5.37; A.5.33	Versionskontrolle, Genehmigung und Schutz von Datensätzen

2. Richtlinien für den Umgang mit Vermögenswerten und Informationen

Diese bestimmen, was man in der Hand hält und wie es sich bewegt; die Klassifizierung ist das Rückgrat, an dem der Rest hängt.

Politik	Status	Primärkontrolle 2022	Was es regelt
Vermögensverwaltungsrichtlinie	Fast immer	A.5.9; A.5.11	Inventar, Eigentum, Rückgabe von Vermögenswerten
Acceptable Use Policy	Fast immer	A.5.10	Zulässige Nutzung von Informationen und Vermögenswerten
Richtlinie zur Klassifizierung und zum Umgang mit Informationen	Fast immer	A.5.12; A.5.13	Klassifizierung und Kennzeichnung von Informationen
Richtlinie zum Informationsaustausch	Fast immer	A.5.14	Sichere interne und externe Informationsübertragung
Datenschutzrichtlinie	Fast immer	A.5.34; A.8.11; A.8.12	Datenschutz und Schutz personenbezogener Daten gemäß DSGVO und ähnlichen Gesetzen
Datenaufbewahrungsrichtlinie	Fast immer	A.5.33; A.8.10	Aufbewahrungsfristen und sichere Löschung

3. Zugriffs- und Identitätsrichtlinien

Der am häufigsten geprüfte Bereich bei jedem ISO 27001-Audit; die meisten Teams verwenden ein einziges Dokument, es sei denn, verschiedene Eigentümer verwalten die Zugriffsrechte und den Identitätsanbieter.

Politik	Status	Primärkontrolle 2022	Was es regelt
Zugriffskontrollrichtlinie	Fast immer	A.5.3; A.5.15; A.5.16; A.5.17; A.5.18; A.8.2; A.8.3; A.8.5; A.8.18	Zugriffsrechte, privilegierter Zugriff, Authentifizierung, Beschränkung

4. Personensicherheitsrichtlinien

Gehört der Personalabteilung, nicht der Sicherheitsabteilung, weshalb die Prüfer die Übergaben genau untersuchen.

Politik	Status	Primärkontrolle 2022	Was es regelt
Personalsicherheitsrichtlinie	Fast immer	A.6.1; A.6.2; A.6.4; A.6.5; A.6.6	Screening, Bedingungen, Disziplinarverfahren, nach Beendigung des Arbeitsverhältnisses
Richtlinie zur Sensibilisierung und Schulung im Bereich Informationssicherheit	Fast immer	A.6.3; Klausel 7.3	Bewusstsein, Kompetenz und Ausbildung (erfüllt auch Klausel 7.3)
Richtlinie für Fernarbeit	Fast immer	A.6.6; A.6.7	Fern- und mobiles Arbeiten sowie Vertraulichkeit

5. Richtlinien zur physischen Sicherheit

Die einzige Familie, die ein vollständig remote arbeitendes Unternehmen ausschließen kann, sofern die Erklärung der Geschäftsbedingungen dies rechtfertigt.

Politik	Status	Primärkontrolle 2022	Was es regelt
Richtlinie zur physischen und umweltbezogenen Sicherheit	Bedingt (Standorte im Geltungsbereich)	A.7.1–A.7.14	Sicherheitsbereiche, Zugang, Aufstellung von Ausrüstung
Richtlinie „Clear Desk“ und „Clear Screen“.	Bedingt (Standorte im Geltungsbereich)	A.7.7	Erwartungen an den Arbeitsbereich; oft ein Bereich, nicht eigenständig

6. Richtlinien für den Technologiebetrieb

Die größte Familie und diejenige, die es am meisten wert ist, nach Eigentümern aufgeteilt zu werden, da jede Police ihre eigenen kontinuierlichen Beweise liefert.

Politik	Status	Primärkontrolle 2022	Was es regelt
Richtlinie für sichere Konfiguration	Fast immer	A.8.9; A.8.19; A.5.37; A.8.6	Grundkonfiguration und Installation von Software auf Systemen
Änderungsverwaltungsrichtlinie	Fast immer	A.8.32	Kontrollierte Änderung von Informationssystemen
Sicherungsrichtlinie	Fast immer	A.8.13	Sicherung und Wiederherstellung
Protokollierungs- und Überwachungsrichtlinie	Fast immer	A.8.15; A.8.16; A.8.17; A.8.34	Protokollierung, Überwachung, Zeitsynchronisation
Malware- und Antivirenrichtlinie	Fast immer	A.8.7	Schutz vor Malware
Netzwerksicherheit Verwaltungsrichtlinie	Fast immer	A.8.20–A.8.23	Netzwerksteuerung, Dienste, Segmentierung, Webfilterung
Richtlinie zum Management technischer Schwachstellen	Fast immer	A.8.8	Identifizierung und Behebung von Sicherheitslücken
Richtlinie für Endgeräte und mobile Geräte	Fast immer	A.8.1	Sichere Konfiguration und die Handhabung von Benutzerendpunkten

7. Kryptographierichtlinien

Die Aufteilung in zwei Bereiche erfolgt, da Schlüsselverwaltung und Verschlüsselungsnutzung oft separat verwaltet und überprüft werden.

Politik	Status	Primärkontrolle 2022	Was es regelt
Kryptografierichtlinie	Fast immer	A.8.24	Schlüsselverwaltung und wo und wie Verschlüsselung angewendet wird

8. Richtlinien für eine sichere Entwicklung

Gilt nur für Softwareentwickler und ist leicht zu überdehnen; üblicherweise deckt ein Dokument den gesamten Lebenszyklus ab.

Politik	Status	Primärkontrolle 2022	Was es regelt
Richtlinie für sichere Entwicklung	Bedingt (dev im Gültigkeitsbereich)	A.5.8; A.8.25–A.8.31; A.8.33; A.8.4	Sicherer Softwareentwicklungszyklus, Trennung der Umgebungen, Code-Review, Tests

9. Lieferanten- und Cloud-Richtlinien

Immer häufiger verbringen Wirtschaftsprüfer dort die meiste Zeit, da der größte Teil Ihres Risikos mittlerweile in der Infrastruktur anderer liegt.

Politik	Status	Primärkontrolle 2022	Was es regelt
Drittanbieter Sicherheitspolitik	Fast immer	A.5.19–A.5.23	Lieferantenintegration, Verträge, Lieferkette, Cloud-Dienste

10. Richtlinien zum Umgang mit Zwischenfällen

Die Richtlinie sollte kurz und überprüfbar sein; die operativen Details gehören in einen separaten Reaktionsplan und ein separates Verfahren.

Politik	Status	Primärkontrolle 2022	Was es regelt
Richtlinie zum Umgang mit Sicherheitsvorfällen im Informationsbereich	Fast immer	A.5.5; A.5.24–A.5.28; A.6.8	Ereignisberichterstattung, Reaktion, Beweise, gewonnene Erkenntnisse

Hier finden Sie eine Beispielrichtlinie zum Vorfallmanagement, die Sie herunterladen können:

11. Kontinuitäts- und Resilienzstrategien

Die Kontrollmechanismen setzen Wiederherstellungsziele und Tests voraus. Legen Sie daher einen RTO, einen RPO und einen Testrhythmus fest, den Sie nachweisen können.

Politik	Status	Primärkontrolle 2022	Was es regelt
Geschäftskontinuitätsrichtlinie	Fast immer	A.5.29; A.5.30; A.8.14	Kontinuität, IKT-Bereitschaft, katastrophale ErholungRedundanz

12. Bedrohungs- und Compliance-Richtlinien

Die Ebene, die dafür sorgt, dass das ISMS ehrlich und aktuell bleibt; Bedrohungsanalyse und Compliance unterstehen oft unterschiedlichen Verantwortlichen.

Politik	Status	Primärkontrolle 2022	Was es regelt
Richtlinie zur Bedrohungsanalyse	Fast immer	A.5.6; A.5.7	Sammlung und Nutzung von Bedrohungsinformationen
Richtlinie zur Einhaltung der Vorschriften und zur unabhängigen Überprüfung	Fast immer	A.5.31; A.5.32; A.5.35; A.5.36	Rechtliche und regulatorische Verpflichtungen, geistiges Eigentum, unabhängige Überprüfung

Was sollte jede ISO 27001-Richtlinie enthalten?

Jede ISO-27001-Richtlinie besteht aus denselben acht Bestandteilen: Zweck, Anwendungsbereich, Rollen und Verantwortlichkeiten, Regeln, Ausnahmen, Nachweise, Überprüfungsintervalle sowie Genehmigungs- und Versionshistorie. Obwohl die ISO-27001-Leitlinien den Schwerpunkt auf die Regeln legen, gewährleisten die übrigen sieben Abschnitte der Richtlinie deren Rechtssicherheit im Rahmen eines Audits. 

Betrachten wir also die Anatomie einer ISO 27001-Richtlinie im Detail:

• Zweck: In diesem Abschnitt erläutern Sie, warum die Richtlinie existiert und welches Risiko sie abdeckt, und stellen dabei einen Bezug zu Ihren Risikobewertungen her.
• Umfang: Der Geltungsbereich listet die Systeme, Personen, Standorte und Daten auf, die von der Richtlinie abgedeckt werden, und beschreibt, was bewusst ausgeschlossen ist. Vorlagen sind hierbei zwar hilfreich, müssen aber dennoch individuell angepasst werden, damit der Geltungsbereich Ihrer Richtlinien Ihre geschäftlichen Gegebenheiten widerspiegelt. 
• Rollen und Verantwortlichkeiten: In diesem Abschnitt müssen Sie die Richtlinien, Kontrollen und Verantwortlichkeiten den richtigen Verantwortlichen zuordnen und dabei Details wie die Person, die für die Überprüfung, Ausführung, Genehmigung und Pflege der Regeln zuständig ist, berücksichtigen. 
• Die Regeln: Dieser Abschnitt beschreibt detailliert, was geschehen muss, was nicht geschehen darf und unter welchen Bedingungen. Formulieren Sie die Regeln so, dass ihre Einhaltung nachvollziehbar ist. Stellen Sie außerdem sicher, dass diese Regeln überprüfbar sind. 
• Ausnahmen: Beschreiben Sie, wie eine Ausnahme beantragt wird, wer sie genehmigen kann, wie lange sie gültig ist und wo der Eintrag gespeichert wird. 
• Beweis: Sie benötigen handfeste Beweise, sogenannte Artefakte, um nachzuweisen, dass Ihr ISMS wie vorgesehen funktionierte und dass etwaige Abweichungen rechtzeitig erkannt und behoben wurden. Daher muss die Richtlinie genau festlegen, welches Artefakt welcher Regel oder Kontrolle zugeordnet ist und welche Parameter für die Pflege dieser Nachweise gelten.
• Kadenz und Auslöser überprüfen: Dies umfasst in der Regel, wie oft die Richtlinie überprüft wird, sowie die Ereignisse, die eine außerplanmäßige Überprüfung auslösen. 
• Genehmigungs- und Versionsverlauf: Führen Sie eine Versionshistorie aller Änderungen und der dazugehörigen Genehmigungen, um sicherzustellen, dass jede Änderung einen Verantwortlichen hatte und wie beabsichtigt ausgeführt wurde. 

Wie formuliert und implementiert man die ISO 27001-Richtlinien?

Um ein Richtlinienset für ISO 27001 zu erstellen und zu implementieren, definieren Sie zunächst den Geltungsbereich Ihres ISMS und führen Sie eine Risikoanalyse durch, um die relevanten Kontrollen auszuwählen. Entscheiden Sie anschließend, welche dieser Kontrollen ein eigenes Dokument benötigen, erstellen Sie die entsprechenden Entwürfe und leiten Sie jedes Dokument an eine Person weiter, die zur Unterzeichnung, Kommunikation und Einholung von Bestätigungen berechtigt ist. 

Hier finden Sie eine Schritt-für-Schritt-Anleitung zum Erstellen und Implementieren Ihrer Richtlinien für ISO 27001:

Schritt 1: Abgrenzung und Bewertung des Risikos

ISO/IEC 27003 betrachtet den Geltungsbereich als Grundlage für alles Weitere. Daher müssen Sie zunächst eine Grenze definieren, anhand derer Ihr ISMS bewertet wird. Welche Geschäftsbereiche, Standorte, Systeme und Daten dazu gehören und – im Umkehrschluss – was außerhalb liegt, muss genau aufgelistet werden. 

Sobald der Umfang festgelegt ist, müssen Sie die Risiken identifizieren, die für die im Umfang enthaltenen Vermögenswerte gelten, und diese nach der Wahrscheinlichkeit ihres Eintretens und ihrer Auswirkungen ordnen. 

Schritt 2: Auswahl des Sets

Ihre Richtlinien hängen direkt von den in Ihrer Handlungsrichtlinie (SoA) genannten Kontrollen ab, da diese bestimmten Richtlinien zugeordnet sein müssen. Typischerweise listet ein Richtlinienregister jedes Dokument, dessen Verantwortlichen und die darin enthaltenen Kontrollen auf. 

Um Ihr Set zu erstellen, nehmen Sie die Liste der Steuerelemente, die Ihr SoA als zutreffend gekennzeichnet hat, und gruppieren Sie sie danach, wer die Arbeit ausführt. 

Schritt 3: Entwurf

Jede Richtlinie muss die drei in Klausel 7.5.2 geforderten Elemente enthalten: Identifizierung und Beschreibung (Titel, Datum, Autor und Referenznummer), ein festgelegtes Format und Medium sowie die Prüfung und Genehmigung vor der Veröffentlichung.

Schreiben Sie also jedes Dokument nach der gleichen Vorlage und geben Sie jeder Regel eine Häufigkeit, einen Verantwortlichen und den von ihr erzeugten Datensatz an. 

Schritt 4: Überprüfung und Genehmigung

Leiten Sie jede Richtlinie an ihren Verantwortlichen weiter und erfassen Sie die Genehmigung als Datensatz mit Angabe des Genehmigers, der Version und des Datums. Hierbei dienen Unterschriften, GRC-Workflows oder Ticketgenehmigungen als Nachweis. 

Schritt 5: Kommunikation und Bestätigung

A.5.1 sieht vor, dass Richtlinien veröffentlicht, kommuniziert und bestätigt werden. Alle drei Kriterien müssen erfüllt sein. Veröffentlichen Sie daher Versionen an einem leicht zugänglichen Ort, versenden Sie Aktualisierungsbenachrichtigungen an die betroffenen Mitarbeiter für jede Richtlinie und sammeln Sie Empfangsbestätigungen für jede Versionsnummer. 

Schritt 6: Bedienen, überprüfen und aktualisieren

Anhang A 5.1 sieht eine Überprüfung in geplanten Abständen und bei wesentlichen Änderungen vor. 

Legen Sie daher für jede Police ein Überprüfungsdatum fest, benennen Sie die Auslöser für eine vorzeitige Überprüfung und protokollieren Sie jede Überprüfung, auch solche, die keine Änderungen bewirken. Als Auslöser können beispielsweise ein Vorfall, ein Ergebnis einer internen Revision, eine Kontrolländerung, eine Infrastrukturmigration, eine neue Verordnung oder eine Umstrukturierung, bei der der Policenverantwortliche aus dem Unternehmen ausscheidet, genannt werden.

Automatisieren Sie ISO 27001-Richtlinien mit Sprinto

Die Verwaltung von ISO 27001-Richtlinien kann schnell zu einem manuellen, zeitaufwändigen Prozess werden, insbesondere bei wachsenden Unternehmen.

Sprinto vereinfacht das Richtlinienmanagement, indem es Richtlinien automatisch den entsprechenden Kontrollen zuordnet, Lücken identifiziert, Zusammenfassungen erstellt und Verbesserungen zur besseren Verständlichkeit und Auditvorbereitung vorschlägt.

Zu den KI-Funktionen gehören außerdem ein Richtliniengenehmigungsassistent zur Beschleunigung von Prüfungen und Freigaben, Vorschläge zur Richtlinienverbesserung zur Stärkung der Richtliniensprache sowie mehr als 15 vorkonfigurierte KI-Aktionen, die gängige Compliance-Workflows abdecken, und die Möglichkeit, benutzerdefinierte Aktionen ohne Programmierung zu erstellen.

In Kombination mit der Unterstützung von mehr als 200 Compliance-Frameworks , mehr als 300 Integrationen und mehr als 4,000 Kunden , die Sprinto nutzen, helfen diese Funktionen Teams dabei, ihre ISO 27001-Richtlinien aufeinander abzustimmen, umsetzbar zu gestalten und kontinuierlich mit ihrem umfassenderen Compliance-Programm zu verbinden.