Übersicht
Das vollständige KMU-Paket (P01S-P37S) bietet ein vollständiges, auditbereites Set an Cybersicherheits- und IT-Governance-Richtlinien, das alle Anforderungen der Informationssicherheit für KMU abdeckt. Jede Richtlinie ist für Führungskräfte kleiner Unternehmen (General Manager) angepasst, ausdrücklich für Organisationen ohne dedizierte Sicherheitsteams konzipiert und vollständig auf ISO/IEC 27001:2022, DSGVO, NIS2, DORA und mehr ausgerichtet.
Vollständige KMU-Compliance
Umfasst 37 Richtlinien und stellt die vollständige Ausrichtung auf ISO/IEC 27001, DSGVO, NIS2, DORA und COBIT für KMU ohne große IT-Teams sicher.
Audit-Ready Controls
Alle Richtlinien enthalten Anforderungen an Audit-Aufzeichnungen, Versionskontrolle, Überprüfungsauslöser und Korrekturmaßnahmenprozesse.
Praktische KMU-Governance
Rollen sind auf General Manager und Teamleitungen abgebildet; kein CISO/SOC erforderlich. Konzipiert für inhabergeführte Unternehmen.
Durchsetzbare, klare Leitlinien
Schritt-für-Schritt-Regeln, Checklisten und Ausnahmebehandlung für benutzerfreundliche, durchsetzbare Cybersicherheitspraktiken.
Bereit für die ISO 27001-Zertifizierung
Direkte Zuordnung zu allen ISO/IEC 27001:2022- und 27002:2022-Klauseln für Audit- und Zertifizierungssicherheit.
Vollständige Übersicht lesen
Inhalt
Anwendungsbereich und Rules of Engagement
Rollen- und Verantwortlichkeitsmatrix
Verfahren zur Zugangskontrolle und zum Änderungsmanagement
Regeln zu Datenschutz und Datenminimierung
Incident-Response sowie Umgang mit Beweismitteln
Audit-, Rechts- und regulatorische Compliance-Prozesse
Framework-Konformität
🛡️ Unterstützte Standards & Frameworks
Dieses Produkt ist auf die folgenden Compliance-Frameworks ausgerichtet, mit detaillierten Klausel- und Kontrollzuordnungen.
| Framework | Abgedeckte Klauseln / Kontrollen |
|---|---|
| ISO/IEC 27001:2022 | |
| ISO/IEC 27002:2022 | |
| NIST SP 800-53 Rev.5 | |
| EU GDPR |
Article 5Article 6Articles 12–23Article 28Article 32Article 33Article 34
|
| EU NIS2 Directive |
Article 20Article 21(2)(a–i)Article 23
|
| EU DORA | |
| COBIT 2019 |
Verwandte Richtlinien
Richtlinie zu Governance-Rollen und Verantwortlichkeiten – KMU
Diese Richtlinie definiert, wie Governance-Verantwortlichkeiten für Informationssicherheit in der Organisation zugewiesen, übertragen und verwaltet werden, um die vollständige Compliance mit ISO/IEC 27001:2022 und anderen regulatorischen Verpflichtungen sicherzustellen.
Clean-Desk- und Clear-Screen-Richtlinie – KMU
Diese Richtlinie legt durchsetzbare Leitlinien zur Aufrechterhaltung einer sicheren Arbeitsumgebung fest, indem sichergestellt wird, dass Schreibtische, Arbeitsstationen und Bildschirme frei von sichtbar vertraulichen Informationen sind, wenn sie unbeaufsichtigt sind.
Endpunktschutz- und Malware-Richtlinie – KMU
Diese Richtlinie definiert die minimalen technischen, verfahrensbezogenen und verhaltensbezogenen Anforderungen zum Schutz aller Endpunktgeräte – wie Laptops, Desktops, mobile Geräte und portable Medien – vor bösartigem Code.
P01 Informationssicherheitspolitik – KMU
Diese Richtlinie zeigt das Engagement unserer Organisation zum Schutz von Kunden- und Unternehmensinformationen, indem Verantwortlichkeiten und praktische Sicherheitsmaßnahmen klar definiert werden – geeignet für Organisationen ohne dedizierte IT-Teams.
Richtlinie zur zulässigen Nutzung – KMU
Diese Richtlinie definiert die zulässige, verantwortungsvolle und sichere Nutzung von bereitgestellten Systemen, Geräten, Internetzugang, E-Mail, Cloud-Diensten sowie von privat genutzten Geräten, die für geschäftliche Zwecke verwendet werden.
Zugriffskontrollrichtlinie – KMU
Diese Richtlinie definiert, wie die Organisation den Zugriff auf Systeme, Daten und Einrichtungen verwaltet, um sicherzustellen, dass nur autorisierte Personen auf Informationen entsprechend dem geschäftlichen Bedarf zugreifen können.
P05 Change-Management-Richtlinie – KMU
Diese Richtlinie stellt sicher, dass alle Änderungen an IT-Systemen, Konfigurationseinstellungen, Geschäftsanwendungen oder Cloud-Diensten vor der Umsetzung geplant, einer änderungsbezogenen Risikobewertung unterzogen, getestet und genehmigt werden.
Richtlinie zum Risikomanagement – KMU
Diese Richtlinie definiert, wie die Organisation Risiken in Bezug auf Informationssicherheit, Betrieb, Technologie und Drittdienstleister identifiziert, bewertet und verwaltet.
Onboarding- und Offboarding-Richtlinie – KMU
Diese Richtlinie definiert den Prozess für das Onboarding neuer Mitarbeiter oder Auftragnehmer sowie den sicheren Entzug von Zugriffsrechten, wenn Personen das Unternehmen verlassen oder Rollen wechseln.
Informationssicherheits-Sensibilisierungs- und Schulungsrichtlinie – KMU
Diese Richtlinie stellt sicher, dass sämtliche Mitarbeiter und Auftragnehmer ihre Verantwortlichkeiten in Bezug auf Informationssicherheit verstehen.
Telearbeitsrichtlinie – KMU
Diese Richtlinie legt Sicherheitsanforderungen für Mitarbeiter und Auftragnehmer fest, die remote arbeiten, einschließlich von zu Hause, aus gemeinsam genutzten Arbeitsbereichen oder auf Reisen.
Richtlinie zur Benutzerkonten- und Berechtigungsverwaltung – KMU
Diese Richtlinie legt Regeln für die sichere, konsistente und nachvollziehbare Verwaltung von Benutzerkonten und Zugriffsrechten fest.
Asset-Management-Richtlinie – KMU
Diese Richtlinie definiert, wie die Organisation ihre Informations-Assets identifiziert, nachverfolgt, schützt und außer Betrieb nimmt, einschließlich physischer und digitaler Komponenten.
Richtlinie zur Datenklassifizierung und Kennzeichnung – KMU
Diese Richtlinie definiert, wie alle von der Organisation verarbeiteten Informationen klassifiziert und gekennzeichnet werden müssen, um sicherzustellen, dass Vertraulichkeit, Integrität und Verfügbarkeit über den gesamten Informationslebenszyklus hinweg gewahrt bleiben.
Richtlinie zur Datenaufbewahrung und Entsorgung – KMU
Zweck dieser Richtlinie ist es, durchsetzbare Regeln für die Datenaufbewahrung und die sichere Entsorgung von Informationen in einer KMU-Umgebung festzulegen.
Richtlinie zu Backup und Wiederherstellung – KMU
Diese Richtlinie definiert, wie die Organisation Backups durchführt und verwaltet, um die Geschäftskontinuität sicherzustellen, vor Datenverlust zu schützen und eine zeitnahe Wiederherstellung nach Vorfällen zu ermöglichen.
Richtlinie zu Datenmaskierung und Pseudonymisierung – KMU
Diese Richtlinie definiert durchsetzbare Anforderungen an die Nutzung von Datenmaskierung und Pseudonymisierung zum Schutz sensibler, personenbezogener und vertraulicher Daten in kleinen und mittleren Unternehmen (KMU).
Richtlinie zu Datenschutz und Privatsphäre – KMU
Diese Richtlinie definiert, wie die Organisation personenbezogene Daten im Einklang mit rechtlichen Verpflichtungen, regulatorischen Rahmenwerken und internationalen Sicherheitsnormen schützt.
Richtlinie zu kryptografischen Kontrollen – KMU
Diese Richtlinie definiert verbindliche Anforderungen an die Nutzung von Verschlüsselung und kryptografischen Kontrollen zum Schutz der Vertraulichkeit, Integrität und Authentizität von Geschäfts- und personenbezogenen Daten.
Richtlinie zu Schwachstellenmanagement sowie Patch- und Firmware-Management – KMU
Diese Richtlinie definiert, wie die Organisation Schwachstellen über Systeme, Anwendungen und Infrastruktur hinweg identifiziert, bewertet und mindert.
Richtlinie zur Netzwerksicherheit – KMU
Zweck dieser Richtlinie ist es sicherzustellen, dass alle internen und externen Netzwerkkommunikationen durch klar definierte Sicherheitskontrollen gegen unbefugten Zugriff, Manipulation, Abhören oder Missbrauch geschützt sind.
Protokollierungs- und Überwachungsrichtlinie – KMU
Diese Richtlinie legt verbindliche Audit-Protokollierungs- und Überwachungskontrollen fest, um Sicherheit, Rechenschaftspflicht und die operative Integrität der IT-Systeme der Organisation sicherzustellen.
Richtlinie zur Zeitsynchronisation – KMU
Diese Richtlinie legt verbindliche Kontrollen zur Aufrechterhaltung einer genauen, synchronisierten Zeit über alle Systeme hinweg fest, die Organisationsdaten speichern, übertragen oder verarbeiten.
Richtlinie zur sicheren Entwicklung – KMU
Diese Richtlinie stellt sicher, dass alle Software, Skripte und webbasierten Werkzeuge, die von der Organisation oder ihren externen Partnern erstellt oder geändert werden, sicher entwickelt werden, um das Risiko von Schwachstellen zu minimieren.
Richtlinie zu Anwendungssicherheitsanforderungen – KMU
Diese Richtlinie definiert die minimalen verbindlichen Anwendungssicherheitskontrollen, die für alle Software- und Systemlösungen gelten, die von der Organisation genutzt werden – unabhängig davon, ob sie intern entwickelt oder von externen Lieferanten beschafft werden.
Richtlinie zu Drittparteien- und Lieferantensicherheit – KMU
Diese Richtlinie legt die verbindlichen Sicherheitsanforderungen für die Aufnahme, Verwaltung und Beendigung von Beziehungen zu Drittparteien und Lieferanten fest, die auf die Daten, Systeme oder Dienste der Organisation zugreifen oder diese beeinflussen.
Richtlinie zur Cloud-Nutzung – KMU
Diese Richtlinie definiert, wie Cloud-Dienste innerhalb der Organisation sicher genutzt werden dürfen. Sie stellt sicher, dass in der Cloud verarbeitete oder gespeicherte Daten geschützt sind, der Zugriff kontrolliert wird und Risiken verantwortungsvoll verwaltet werden.
Richtlinie zur ausgelagerten Entwicklung – KMU
Diese Richtlinie stellt sicher, dass jede ausgelagerte Softwareentwicklung – ob durch Freelancer, Agenturen oder Drittdienstleister – sicher durchgeführt, vertraglich gesteuert und anwendbaren rechtlichen, regulatorischen und Audit-Anforderungen ausgerichtet wird.
Richtlinie zu Testdaten und Testumgebungen – KMU
Diese Richtlinie definiert, wie Testdaten und Testumgebungen verwaltet werden müssen, um unbeabsichtigte Offenlegung, Datenschutzverletzungen oder operative Störungen während Testaktivitäten zu verhindern.
Incident-Response-Richtlinie (P30) – KMU
Diese Richtlinie definiert, wie die Organisation Informationssicherheitsvorfälle erkennt, meldet und darauf reagiert, die ihre digitalen Systeme, Daten oder Dienste betreffen.
Richtlinie zu Beweissammlung und Forensik – KMU
Diese Richtlinie definiert, wie die Organisation digitale Beweismittel im Zusammenhang mit Sicherheitsvorfällen, Datenschutzverletzungen oder internen Untersuchungen handhabt.
Richtlinie zu Geschäftskontinuität und Notfallwiederherstellung – KMU
Diese Richtlinie stellt sicher, dass die Organisation den Geschäftsbetrieb aufrechterhalten und wesentliche IT-Dienste während und nach störenden Ereignissen wiederherstellen kann.
Richtlinie zu Audit und Compliance-Überwachung – KMU
Diese Richtlinie legt den Ansatz der Organisation zur Durchführung interner Audits, Sicherheitsprüfungen von Kontrollen und kontinuierliche Überwachung der Einhaltung fest.
Richtlinie zu mobilen Geräten und Bring-Your-Own-Device (BYOD) – KMU
Diese Richtlinie definiert die verbindlichen Sicherheitsanforderungen für die Nutzung mobiler Geräte – einschließlich Smartphones, Tablets und Laptops – beim Zugriff auf Unternehmensinformationen, Systeme oder Dienste.
Richtlinie zur IoT/OT-Sicherheit – KMU
Diese Richtlinie definiert die verbindlichen Regeln für die sichere Nutzung und Verwaltung von IoT-Systemen und Operational-Technology-(OT)-Systemen innerhalb der Organisation.
Richtlinie zu Social Media und externer Kommunikation – KMU
Diese Richtlinie legt verbindliche Leitlinien für jede öffentliche Kommunikation fest – einschließlich Social-Media-Nutzung, Pressearbeit und externer digitaler Inhalte – wenn auf das Unternehmen, sein Personal, Kunden, Systeme oder interne Praktiken Bezug genommen wird.
Richtlinie zu rechtlicher und regulatorischer Compliance – KMU
Diese Richtlinie definiert den Ansatz der Organisation zur Identifizierung, Einhaltung und zum Nachweis der Einhaltung rechtlicher, regulatorischer und vertraglicher Anforderungen.
Über Clarysec-Richtlinien - Vollständiges KMU-Paket (P01S-P37S)
Generische Sicherheitsrichtlinien sind häufig für Großunternehmen erstellt, wodurch kleine Unternehmen Schwierigkeiten haben, komplexe Regeln und nicht definierte Rollen anzuwenden. Diese Richtlinie ist anders. Unsere KMU-Richtlinien sind von Grund auf für die praktische Umsetzung in Organisationen ohne dedizierte Sicherheitsteams konzipiert. Wir weisen Verantwortlichkeiten den Rollen zu, die Sie tatsächlich haben – wie dem General Manager und Ihrem IT-Anbieter – und nicht einer Vielzahl von Spezialisten, die Sie nicht haben. Jede Anforderung ist in eine eindeutig nummerierte Klausel (z. B. 5.2.1, 5.2.2) heruntergebrochen. Dadurch wird die Richtlinie zu einer klaren Schritt-für-Schritt-Checkliste, die sich leicht umsetzen, auditieren und anpassen lässt, ohne ganze Abschnitte neu schreiben zu müssen.
Häufig gestellte Fragen
Von Führungskräften – für Führungskräfte
Diese Richtlinie wurde von einer Sicherheitsführungskraft mit über 25 Jahren Erfahrung in der Implementierung und Auditierung von ISMS-Frameworks für globale Unternehmen verfasst. Sie ist nicht nur als Dokument gedacht, sondern als belastbares Rahmenwerk, das einer Prüfung durch Auditoren standhält.
