msolarczekandClaude Opus 4.8
eab16c861d
Delta-Update des VDA-ISA-2027-Vorlagenpakets eingepflegt: - Aktualisiertes Seed-Paket (ersetzt bisherigen Stand): 316 Anforderungen (122 MUSS · 132 SOLL · 43 HOCH · 19 SEHR HOCH) über 45 Controls; VA-01/VA-05 jetzt enthalten (13 Verfahren vollständig). Beschädigte RACI-Tokens (VA-05/08/09/ 10/12/13) repariert. Importer: Umsetzungstext aus den .md-IMPL-Ankern extrahiert (mapping.json führt ihn nicht mehr), neue Obligation-Typen HOCH/SEHR HOCH. - Neue Schutzbedarf-Flags (variables.schema): FLAG_HIGH_PROTECTION, FLAG_VERY_HIGH_PROTECTION, FLAG_ELEVATED_PROTECTION (abgeleitet). Render-Helper applyProtection: HIGH stets an, VERY_HIGH aus Global/Override, ELEVATED = HIGH||VH (nie manuell) — angewandt in Lese-, Bearbeiten-, Handbuch- und Coverage-Rendering. - TISAX-Level-Schalter (AL2/AL3) zentral auf der Bibliothek (setGlobalTisaxLevel); AL2 = MUSS/SOLL/HOCH, AL3 = zusätzlich SEHR HOCH. Override je Richtlinie im Bearbeitungsmodus (setProtectionOverride, Feld protection_override); effektiver Wert = Dokument-Override sonst global. - KPIs zeigen 316 Anforderungen mit Aufschlüsselung; Coverage/Badges für HOCH/SEHR HOCH; Control-Titel-Fallback. Verifiziert: Import 316/45; Rendering rückstandsfrei über AL2/AL3 × Flag-Kombis; Override R04→AL3 zeigt SEHR-HOCH-Inhalt, R02 (global AL2) nicht; global bleibt AL2. Architektur-Hinweis: applyProtection kapselt das Level→Flags-Mapping, sodass die globale Ebene später ohne Umbau zur TISAX-AL2/AL3-Auswahl wird (bereits so gebaut). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
7.6 KiB
Informationssicherheitsleitlinie
| Dokumenteninformation | Wert |
|---|---|
| Dokumententyp | Leitlinie |
| Geltungsbereich | {{ISMS_SCOPE}} |
| Organisation | {{ORG_NAME}} |
| Verantwortlich | {{ROLE_ISB}} |
| Freigabe durch | {{ROLE_MANAGEMENT}} |
| Version | {{DOC_VERSION}} |
| Datum | {{DOC_DATE}} |
| Status | {{DOC_STATUS}} |
1. Zweck
Diese Informationssicherheitsleitlinie beschreibt die grundsätzlichen Anforderungen, Ziele und Verantwortlichkeiten der {{ORG_NAME}} zum Schutz von Informationen, IT-Systemen, Geschäftsprozessen und unterstützenden Werten. Die Anforderungen der Informationssicherheit sind bestimmt, dokumentiert und an den Zielen der {{ORG_NAME}} ausgerichtet.
Ziel ist es, ein angemessenes Informationssicherheitsniveau sicherzustellen und die Anforderungen des VDA ISA 2027 im Bereich Informationssicherheit zu erfüllen.
2. Geltungsbereich
Diese Leitlinie gilt für den definierten ISMS-Geltungsbereich:
{{ISMS_SCOPE_DESCRIPTION}}
Sie gilt für:
- alle Mitarbeitenden innerhalb des Geltungsbereichs,
- Führungskräfte,
- externe Dienstleister, soweit diese Zugriff auf Informationen, Systeme oder Prozesse der Organisation haben,
- relevante IT-Systeme, Informationen, Anwendungen, Standorte und Geschäftsprozesse innerhalb des ISMS-Scopes.
3. Ziele der Informationssicherheit
Die Leitlinie benennt die Ziele und die Bedeutung der Informationssicherheit. Die Organisation verfolgt mit dem ISMS insbesondere folgende Ziele:
- Schutz vertraulicher Informationen vor unbefugtem Zugriff,
- Sicherstellung der Integrität von Informationen und Systemen,
- Sicherstellung der Verfügbarkeit geschäftskritischer Informationen, Systeme und Services,
- Einhaltung gesetzlicher, regulatorischer und vertraglicher Anforderungen,
- angemessener Schutz von Kundeninformationen, personenbezogenen Daten, Geschäftsgeheimnissen und weiteren schutzbedürftigen Informationen,
- strukturierte Erkennung, Bewertung und Behandlung von Informationssicherheitsrisiken,
- kontinuierliche Verbesserung der Informationssicherheit.
4. Grundsätze der Informationssicherheit
Die Informationssicherheit basiert auf folgenden Grundsätzen:
4.1 Risikoorientierung
Informationssicherheitsmaßnahmen werden risikoorientiert geplant, umgesetzt, überprüft und verbessert. Risiken werden im eingesetzten ISMS-Tool ({{TOOL_NAME}}) bewertet und nachverfolgt (siehe {{LINK:R03}}).
4.2 Angemessenheit
Schutzmaßnahmen müssen dem Schutzbedarf der Informationen, Systeme und Prozesse angemessen sein. Dabei werden Vertraulichkeit, Integrität und Verfügbarkeit berücksichtigt.
4.3 Verantwortung
Informationssicherheit ist eine gemeinsame Verantwortung aller Mitarbeitenden. Die {{ROLE_MANAGEMENT}} trägt die Gesamtverantwortung für das ISMS.
4.4 Nachvollziehbarkeit
Entscheidungen, Bewertungen, Freigaben und wesentliche Maßnahmen im Zusammenhang mit Informationssicherheit sind nachvollziehbar zu dokumentieren.
4.5 Kontinuierliche Verbesserung
Das ISMS wird regelmäßig überprüft und bei Bedarf angepasst. Erkenntnisse aus Audits, Vorfällen, Risiken, Änderungen und Managementbewertungen fließen in die Verbesserung ein.
5. Informationssicherheitsanforderungen
{{#if FLAG_INCLUDE_SHOULD}}Die Informationssicherheitsanforderungen basieren auf der Strategie der {{ORG_NAME}}; gesetzliche und vertragliche Vorgaben werden berücksichtigt. {{/if}}Die Organisation bestimmt und dokumentiert Informationssicherheitsanforderungen auf Basis von:
- gesetzlichen und regulatorischen Anforderungen,
- vertraglichen Anforderungen, insbesondere von Kunden und Partnern,
- Anforderungen aus dem VDA ISA,
- internen Geschäftsanforderungen,
- Ergebnissen aus Risikoanalysen,
- Schutzbedarf von Informationen, Prozessen und IT-Systemen,
- Anforderungen aus Projekten, Änderungen und externen IT-Services.
Die jeweils relevanten Anforderungen werden im ISMS berücksichtigt und über geeignete Richtlinien, Prozesse, technische Maßnahmen und Nachweise umgesetzt.
6. Rollen und Verantwortlichkeiten
Die Organisation definiert Rollen und Verantwortlichkeiten für Informationssicherheit. Dazu gehören mindestens:
| Rolle | Grundsätzliche Verantwortung |
|---|---|
| {{ROLE_MANAGEMENT}} | Gesamtverantwortung, Freigabe der Informationssicherheitsleitlinie, Bereitstellung angemessener Ressourcen |
| {{ROLE_ISB}} | Steuerung, Pflege und Weiterentwicklung des ISMS |
| Führungskräfte | Umsetzung der Anforderungen im jeweiligen Verantwortungsbereich |
| {{ROLE_IT_LEAD}} | Umsetzung technischer und organisatorischer Sicherheitsmaßnahmen im IT-Bereich |
| Asset Owner / Prozessverantwortliche | Bewertung und Pflege relevanter Informationen, Prozesse und Assets im ISMS-Tool |
| Mitarbeitende | Einhaltung der Richtlinien und Meldung von Sicherheitsereignissen |
| Externe Dienstleister | Einhaltung vertraglich vereinbarter Sicherheitsanforderungen |
Die konkrete Rollen- und Verantwortlichkeitszuordnung wird im ISMS-Tool ({{TOOL_NAME}}) oder in einer ergänzenden Rollenmatrix gepflegt (siehe auch {{LINK:R01}}).
7. Verbindlichkeit
Diese Leitlinie ist durch die {{ROLE_MANAGEMENT}} genehmigt und für alle betroffenen Personen im Geltungsbereich verbindlich. {{#if FLAG_INCLUDE_SHOULD}}Verstöße gegen Informationssicherheitsanforderungen können zu organisatorischen, arbeitsrechtlichen oder vertraglichen Maßnahmen führen. {{/if}}Alle Mitarbeitenden sind verpflichtet:
- die geltenden Informationssicherheitsrichtlinien einzuhalten,
- schutzbedürftige Informationen angemessen zu behandeln,
- Sicherheitsereignisse oder Verdachtsfälle unverzüglich zu melden,
- nur freigegebene Systeme, Anwendungen und Dienste zu nutzen,
- erkannte Schwachstellen oder Risiken an die zuständige Stelle zu melden.
8. Veröffentlichung und Kommunikation
Die Informationssicherheitsleitlinie wird den relevanten Personen in geeigneter Form bekannt gemacht; über relevante Änderungen werden Mitarbeitende und betroffene externe Partner informiert. Dies kann erfolgen über:
- Veröffentlichung im ISMS-Tool ({{TOOL_NAME}}),
- internes Wiki oder Dokumentenmanagementsystem,
- Onboarding-Prozess,
- Awareness-Schulungen (siehe {{LINK:R05}}),
- direkte Kommunikation an betroffene Zielgruppen.
9. Überprüfung und Aktualisierung
Diese Leitlinie wird regelmäßig überprüft, mindestens jedoch:
- {{REVIEW_CYCLE}},
- bei wesentlichen Änderungen des ISMS-Geltungsbereichs,
- bei wesentlichen organisatorischen oder technischen Änderungen,
- bei relevanten Sicherheitsvorfällen,
- bei neuen oder geänderten regulatorischen, gesetzlichen oder vertraglichen Anforderungen.
Änderungen werden dokumentiert und durch die {{ROLE_MANAGEMENT}} genehmigt.
10. Nachweise
Die Nachweise zur Umsetzung dieser Leitlinie werden nicht in diesem Dokument geführt, sondern zentral im Nachweisregister ({{LINK:NACHWEISREGISTER}}) sowie in den zugehörigen Einträgen des ISMS-Tools ({{TOOL_NAME}}).
11. Verwandte Dokumente
Weitere themenspezifische Sicherheitsrichtlinien (R01–R14) sind etabliert und aufeinander abgestimmt.
- Technische Sicherheits-Baseline: {{LINK:BASELINE}}
- ISA-Mapping-Matrix: {{LINK:ISA_MAPPING}}
- Nachweisregister: {{LINK:NACHWEISREGISTER}}
- ISMS-Organisation und Rollen: {{LINK:R01}}
- Alle thematischen Richtlinien: {{LINK:R01}} … {{LINK:R14}}