Übersicht
Dieses Richtlinien-Kombipaket vereint SME- und Enterprise-Pakete und liefert ein skalierbares, auditbereites Set aus 74 Cybersicherheitsrichtlinien, vollständig zugeordnet zu ISO/IEC 27001, GDPR, NIS2, DORA, NIST und COBIT, und stellt Compliance für Organisationen jeder Größe oder Komplexität sicher.
Audit-Ready Documentation
Schreibt Versionskontrolle, Ausnahmenregister, Risikobehandlung und Audit-Trails für eine einfache Zertifizierung und externe Audits vor.
Full Regulatory Alignment
Zugeordnet zu ISO/IEC 27001:2022, GDPR, NIS2, DORA, NIST und COBIT-Normen für KMU und Unternehmen gleichermaßen.
Role-Adaptive Policies
Enthält Richtlinien für von General Managern geführte KMU und funktionsübergreifende Unternehmensteams – ohne Lücken, mit klaren Verantwortlichkeiten.
Inclusive IT Governance
Deckt IT, Sicherheit, Risiko, Recht, Compliance, Audit, Personalwesen und IT-Betrieb über Unternehmensgrößen und Branchen hinweg ab.
Vollständige Übersicht lesen
Inhalt
Grenzen des Anwendungsbereichs und Regeln der Zusammenarbeit
Rollen- und Verantwortlichkeitsmatrix
Audit-, rechtliche und regulatorische Compliance-Prozesse
Verfahren zur Zugangskontrolle und zum Änderungsmanagement
Datenschutz- und Privatsphäre-Regeln
Incident-Response und Umgang mit Beweismitteln
Framework-Konformität
🛡️ Unterstützte Standards & Frameworks
Dieses Produkt ist auf die folgenden Compliance-Frameworks ausgerichtet, mit detaillierten Klausel- und Kontrollzuordnungen.
| Framework | Abgedeckte Klauseln / Kontrollen |
|---|---|
| ISO/IEC 27001:2022 | |
| ISO/IEC 27002:2022 | |
| NIST SP 800-53 Rev.5 |
AC-1AC-2AC-4AC-5AC-6AC-8AC-17AC-19AU-2AU-6AU-8AU-9AU-12BAI03BAI05BAI07CA-1CA-2CA-3CA-5CA-7CM-2CM-5CM-6CP-1CP-2CP-4CP-9CP-10DSS01DSS02DSS04DSS05DSS06IA-1IA-2IA-4IA-5IR-1IR-4IR-5IR-6IR-9MEAO1MEA03MP-5MP-6PL-1PL-2PL-4PL-8PM-1PM-5PM-11PM-13PM-21PM-23PS-4PS-5PS-7PT-2PT-3RA-3RA-5R-1SA-3SA-4SA-9SA-9(5)SA-10SA-11SA-15SC-7SC-12SC-12(3)SC-13SC-17SC-28SC-28(1)SC-32SC-45SI-2SI-3SI-4SI-10SR-3SR-5
|
| EU GDPR |
Article 5Article 6Articles 12–23Article 17Article 24Article 25Article 28Article 30Article 32Article 33Article 34Article 39Recital 39Recital 49Recital 78
|
| EU NIS2 Directive |
Article 15Article 20Article 21Article 21(2)Article 21(3)Article 23Article 27
|
| EU DORA | |
| COBIT 2019 | |
| ISO 31000:2018 |
Leadership commitmentRisk management principlesContinuous improvement
|
| ISO/IEC 27005:2024 |
Context EstablishmentRisk IdentificationRisk AnalysisRisk EvaluationRisk TreatmentRisk AcceptanceRisk CommunicationRisk Monitoring and Review
|
| ISO 22301:2019 |
Business Continuity Management SystemBusiness Impact AnalysisRequirements
|
Verwandte Richtlinien
Richtlinie zur Überwachung von Audit und Compliance
Diese Richtlinie legt den Ansatz der Organisation für die Durchführung interner Audits, Sicherheitsprüfungen von Kontrollen und kontinuierliche Überwachung der Einhaltung fest.
Richtlinie zu Governance-Rollen und Verantwortlichkeiten
Diese Richtlinie definiert, wie Governance-Verantwortlichkeiten für Informationssicherheit in der Organisation zugewiesen, delegiert und verwaltet werden, um vollständige Compliance mit ISO/IEC 27001:2022 und weiteren regulatorischen Verpflichtungen sicherzustellen.
Clean-Desk- und Clear-Screen-Richtlinie
Diese Richtlinie legt durchsetzbare Leitlinien fest, um eine sichere Arbeitsumgebung aufrechtzuerhalten, indem sichergestellt wird, dass Schreibtische, Arbeitsstationen und Bildschirme bei Abwesenheit frei von sichtbaren vertraulichen Informationen sind.
Richtlinie zu Endpunktschutz und Schutz vor Schadsoftware
Diese Richtlinie definiert die minimalen technischen, prozeduralen und verhaltensbezogenen Anforderungen zum Schutz aller Endpunktgeräte – wie Laptops, Desktops und mobile Geräte – vor bösartigem Code.
Informationssicherheitsleitlinie
Diese Richtlinie zeigt das Engagement unserer Organisation zum Schutz von Kunden- und Geschäftsinformationen, indem Verantwortlichkeiten und praktische Sicherheitsmaßnahmen klar definiert werden.
Richtlinie zur zulässigen Nutzung
Diese Richtlinie definiert die zulässige, verantwortungsvolle und sichere Nutzung von bereitgestellten Systemen, Geräten, Internetzugang, E-Mail, Cloud-Diensten sowie von privat genutzten Geräten für geschäftliche Zwecke.
Zugriffskontrollrichtlinie
Diese Richtlinie definiert, wie die Organisation den Zugriff auf Systeme, Daten und Einrichtungen verwaltet, um sicherzustellen, dass nur autorisierte Personen auf Informationen basierend auf geschäftlichem Bedarf zugreifen können.
Änderungsmanagement-Richtlinie
Diese Richtlinie stellt sicher, dass alle Änderungen an IT-Systemen, Konfigurationen, Geschäftsanwendungen oder Cloud-Diensten vor der Umsetzung geplant, einer änderungsbezogenen Risikobewertung unterzogen, getestet und genehmigt werden.
Risikomanagement-Richtlinie
Diese Richtlinie definiert, wie die Organisation Risiken im Zusammenhang mit Informationssicherheit, Betrieb, Technologie und Drittdienstleister identifiziert, bewertet und verwaltet.
Onboarding- und Offboarding-Richtlinie
Diese Richtlinie definiert den Prozess für das Onboarding neuer Mitarbeiter oder Auftragnehmer sowie den sicheren Entzug von Zugriffsrechten, wenn Personen das Unternehmen verlassen oder Rollen wechseln.
Informationssicherheits-Sensibilisierungs- und Schulungsrichtlinie
Diese Richtlinie stellt sicher, dass alle Mitarbeiter und Auftragnehmer ihre Verantwortlichkeiten in Bezug auf Informationssicherheit verstehen.
Telearbeitsrichtlinie
Diese Richtlinie legt Sicherheitsanforderungen für Mitarbeiter und Auftragnehmer fest, die remote arbeiten, einschließlich von zu Hause, aus gemeinsam genutzten Arbeitsbereichen oder auf Reisen.
Richtlinie zur Benutzerkonten- und Berechtigungsverwaltung
Diese Richtlinie legt Regeln für die Verwaltung von Benutzerkonten und Zugriffsrechten in einer sicheren, konsistenten und nachvollziehbaren Weise fest.
Richtlinie zum Asset-Management
Diese Richtlinie definiert, wie die Organisation ihre Informations-Assets identifiziert, nachverfolgt, schützt und außer Betrieb nimmt, einschließlich physischer und digitaler Komponenten.
Richtlinie zur Datenklassifizierung und Kennzeichnung
Diese Richtlinie definiert, wie alle von der Organisation verarbeiteten Informationen klassifiziert und gekennzeichnet werden müssen, um Vertraulichkeit, Integrität und Verfügbarkeit sicherzustellen.
Datenaufbewahrungsrichtlinie und Entsorgungsrichtlinie
Zweck dieser Richtlinie ist es, durchsetzbare Regeln für die Aufbewahrung und sichere Entsorgung von Informationen zu definieren.
Richtlinie zu Backup und Wiederherstellung
Diese Richtlinie definiert, wie die Organisation Backups durchführt und verwaltet, um Geschäftskontinuität sicherzustellen, vor Datenverlust zu schützen und eine zeitnahe Wiederherstellung nach Vorfällen zu ermöglichen.
Richtlinie zu Datenmaskierung und Pseudonymisierung
Diese Richtlinie definiert durchsetzbare Anforderungen für den Einsatz von Datenmaskierung und Pseudonymisierung zum Schutz sensibler, personenbezogener und vertraulicher Daten.
Datenschutzrichtlinie
Diese Richtlinie definiert, wie die Organisation personenbezogene Daten im Einklang mit rechtlichen Verpflichtungen, regulatorischen Rahmenwerken und internationalen Sicherheitsnormen schützt.
Richtlinie zu kryptografischen Kontrollen
Diese Richtlinie definiert verbindliche Anforderungen für den Einsatz von Verschlüsselung und kryptografischen Kontrollen zum Schutz von Vertraulichkeit, Integrität und Authentizität von Geschäfts- und personenbezogenen Daten.
Richtlinie zu Schwachstellenmanagement und Patch-Management
Diese Richtlinie definiert, wie die Organisation Schwachstellen über Systeme, Anwendungen und Infrastruktur hinweg identifiziert, bewertet und mindert.
Richtlinie zur Netzwerksicherheit
Zweck dieser Richtlinie ist es, sicherzustellen, dass alle internen und externen Netzwerkkommunikationen gegen unbefugten Zugriff, Manipulation, Abhören oder Missbrauch geschützt sind.
Protokollierungs- und Überwachungsrichtlinie
Diese Richtlinie legt verbindliche Audit-Protokollierung und Überwachung fest, um Sicherheit, Rechenschaftspflicht und die operative Integrität der IT-Systeme der Organisation sicherzustellen.
Richtlinie zur Zeitstempelung
Diese Richtlinie legt verbindliche Kontrollen zur Aufrechterhaltung genauer, synchronisierter Zeit über alle Systeme hinweg fest, die Daten speichern, übertragen oder verarbeiten.
Richtlinie zur sicheren Entwicklung
Diese Richtlinie stellt sicher, dass alle Software, Skripte und webbasierten Werkzeuge sicher entwickelt werden, um das Risiko von Schwachstellen zu minimieren.
Richtlinie zu Anwendungssicherheitsanforderungen
Diese Richtlinie definiert die minimalen verbindlichen Anwendungssicherheitskontrollen, die für alle von der Organisation genutzten Software- und Systemlösungen erforderlich sind.
Lieferantensicherheitsrichtlinie
Diese Richtlinie legt die verbindlichen Sicherheitsanforderungen für die Einbindung, Verwaltung und Beendigung von Beziehungen zu Drittparteien und Lieferanten fest.
Richtlinie zur Cloud-Nutzung
Diese Richtlinie definiert, wie Cloud-Dienste innerhalb der Organisation sicher genutzt werden dürfen.
Richtlinie zur ausgelagerten Entwicklung
Diese Richtlinie stellt sicher, dass ausgelagerte Softwareentwicklung sicher durchgeführt, vertraglich kontrolliert und anwendbaren rechtlichen und regulatorischen Anforderungen ausgerichtet wird.
Richtlinie zu Testdaten und Testumgebung
Diese Richtlinie definiert, wie Testdaten und Testumgebungen verwaltet werden müssen, um unbeabsichtigte Offenlegung, Datenschutzverletzungen oder operative Störungen während Tests zu verhindern.
Incident-Response-Richtlinie (P30)
Diese Richtlinie definiert, wie die Organisation Informationssicherheitsvorfälle erkennt, meldet und darauf reagiert, die digitale Systeme, Daten oder Dienste betreffen.
Richtlinie zu Beweismittelsammlung und Forensik
Diese Richtlinie definiert, wie die Organisation digitale Beweismittel im Zusammenhang mit Sicherheitsvorfällen, Datenschutzverletzungen oder internen Untersuchungen behandelt.
Richtlinie zu Business Continuity und Disaster Recovery
Diese Richtlinie stellt sicher, dass die Organisation den Geschäftsbetrieb aufrechterhalten und wesentliche IT-Dienste während und nach störenden Ereignissen wiederherstellen kann.
Richtlinie zu mobilen Geräten und Bring-Your-Own-Device (BYOD)
Diese Richtlinie definiert die verbindlichen Sicherheitsanforderungen für die Nutzung mobiler Geräte beim Zugriff auf Unternehmensinformationen, Systeme oder Dienste.
Richtlinie zur IoT/OT-Sicherheit
Diese Richtlinie definiert die verbindlichen Regeln für die sichere Nutzung und Verwaltung von IoT-Systemen und Operational-Technology-(OT)-Systemen innerhalb der Organisation.
Richtlinie zu Social Media und externer Kommunikation
Diese Richtlinie legt verbindliche Leitlinien für alle öffentlichkeitswirksamen Kommunikationen fest – einschließlich Social-Media-Nutzung, Pressearbeit und externe digitale Inhalte – wenn auf das Unternehmen, sein Personal, Kunden, Systeme oder Praktiken Bezug genommen wird.
Richtlinie zu Recht und regulatorischer Compliance
Diese Richtlinie definiert den Ansatz der Organisation zur Identifizierung, Einhaltung und zum Nachweis der Einhaltung rechtlicher, regulatorischer und vertraglicher Anforderungen.
Über Clarysec-Richtlinien - Vollständiges SME+Enterprise-Kombipaket (74 Richtlinien)
Wirksame Sicherheitsgovernance erfordert mehr als nur Worte; sie verlangt Klarheit, Rechenschaftspflicht und eine Struktur, die mit Ihrer Organisation skaliert. Generische Vorlagen scheitern häufig und erzeugen Unklarheit durch lange Absätze und undefinierte Rollen. Diese Richtlinie ist darauf ausgelegt, das operative Rückgrat Ihres Sicherheitsprogramms zu sein. Wir weisen Verantwortlichkeiten den spezifischen Rollen zu, die in einem modernen Unternehmen vorkommen, einschließlich Chief Information Security Officer (CISO), IT- und Sicherheitsteams sowie relevanten Ausschüssen, und stellen damit klare Rechenschaftspflicht sicher. Jede Anforderung ist eine eindeutig nummerierte Klausel (z. B. 5.1.1, 5.1.2). Diese atomare Struktur macht die Richtlinie leicht umsetzbar, ermöglicht Audits gegen spezifische Kontrollen und erlaubt eine sichere Anpassung, ohne die Dokumentintegrität zu beeinträchtigen – und verwandelt sie von einem statischen Dokument in ein dynamisches, umsetzbares Rahmenwerk.
Häufig gestellte Fragen
Von Führungskräften – für Führungskräfte
Diese Richtlinie wurde von einer Sicherheitsführungskraft mit über 25 Jahren Erfahrung in der Implementierung und Auditierung von ISMS-Frameworks für globale Unternehmen verfasst. Sie ist nicht nur als Dokument gedacht, sondern als belastbares Rahmenwerk, das einer Prüfung durch Auditoren standhält.
