certvia/seed/isms-vorlagenpaket-v2/richtlinien/R02_Asset-und-Klassifizierungsrichtlinie.md

Richtlinie Asset- und Klassifizierungsrichtlinie

Dokumenteninformation	Wert
Dokumententyp	Richtlinie
Geltungsbereich	{{ISMS_SCOPE}}
Organisation	{{ORG_NAME}}
Verantwortlich	{{ROLE_IT_LEAD}}
Freigabe durch	{{ROLE_MANAGEMENT}}
Version	{{DOC_VERSION}}
Datum	{{DOC_DATE}}
Status	{{DOC_STATUS}}

1. Zweck

Diese Richtlinie regelt Identifikation, Inventarisierung, Klassifizierung und den geschützten Umgang mit Informationswerten und Assets der {{ORG_NAME}} sowie die Zulassung von Hard- und Software. Sie konkretisiert die Informationssicherheitsleitlinie ({{LINK:L00}}) und dient der Erfüllung der Anforderungen des VDA ISA 2027.

2. Geltungsbereich

Diese Richtlinie gilt innerhalb des definierten ISMS-Geltungsbereichs ({{ISMS_SCOPE_DESCRIPTION}}).

3. Anforderungen und Umsetzung

Aufbau je Abschnitt: Anforderung (normativ, aus VDA ISA; [MUSS]/[SOLL]) und Umsetzung bei {{ORG_NAME}} (tatsächliche Ausgestaltung, anzupassen wo erforderlich).

3.1 Identifikation von Assets (ISA 1.3.1)

Anforderung

• [MUSS] Informationswerte und weitere Assets, die Informationen verarbeiten, sind identifiziert und erfasst.

• [MUSS] Für jedes Asset ist ein Verantwortlicher (Owner) benannt. {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Ein Katalog der relevanten Informationswerte wird gepflegt und regelmäßig aktualisiert. {{/if}}

Umsetzung bei {{ORG_NAME}}

Informationswerte und Assets werden im ISMS-Tool ({{TOOL_NAME}}) im Asset-Inventar mit Attributen (Owner, Standort, Schutzbedarf) erfasst; Zu-/Abgänge werden über {{TOOL_TICKET}} ausgelöst.

Jedem Asset ist im Inventar ein verantwortlicher Owner zugeordnet, der Klassifizierung und Aktualität verantwortet. {{#if FLAG_INCLUDE_SHOULD}}

Das Asset-Inventar wird laufend gepflegt und mindestens {{REVIEW_CYCLE}} vollständig auf Aktualität geprüft (Review durch {{ROLE_IT_LEAD}}). {{/if}}

3.2 Klassifizierung (ISA 1.3.2)

Anforderung

• [MUSS] Informationswerte sind nach Schutzbedarf (Vertraulichkeit, Integrität, Verfügbarkeit) klassifiziert.

• [MUSS] Abhängig von der Klassifizierung sind Vorgaben zu Kennzeichnung, Handhabung, Speicherung, Uebertragung und Löschung definiert. {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Die Klassifizierung wird bei wesentlichen Aenderungen überprüft und angepasst. {{/if}}

Umsetzung bei {{ORG_NAME}}

Es gilt ein vierstufiges Klassifizierungsschema (Öffentlich / Intern / Vertraulich / Streng vertraulich); die Einstufung nach Vertraulichkeit, Integrität und Verfügbarkeit erfolgt durch den Asset Owner im ISMS-Tool.

Je Schutzklasse sind Handhabungsvorgaben zu Kennzeichnung, Speicherung, Übertragung (BL-CRY-01/04) und Löschung (BL-DEL-01) definiert und den Mitarbeitenden bekannt gemacht. {{#if FLAG_INCLUDE_SHOULD}}

Bei wesentlichen Änderungen wird die Klassifizierung durch den Asset Owner überprüft und im ISMS-Tool aktualisiert. {{/if}}

3.3 Zugelassene Hardware (ISA 1.3.3)

Anforderung

• [MUSS] Es ist sichergestellt, dass nur bewertete und freigegebene externe Hardware/IT-Komponenten eingesetzt werden. {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Nicht freigegebene Geräte werden technisch unterbunden. {{/if}}

Umsetzung bei {{ORG_NAME}}

Externe Hardware/IT-Komponenten werden vor Einsatz technisch und sicherheitsseitig bewertet und freigegeben; die Freigabeliste wird im ISMS-Tool ({{TOOL_NAME}}) geführt. {{#if FLAG_INCLUDE_SHOULD}}

Der Anschluss nicht freigegebener Geräte wird soweit möglich technisch unterbunden (z. B. Portkontrolle, {{TECH_MDM}}). {{/if}}

3.4 Zugelassene Software (ISA 1.3.4)

Anforderung

• [MUSS] Es ist sichergestellt, dass nur bewertete und freigegebene Software eingesetzt wird. {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Die Installation nicht freigegebener Software wird technisch eingeschränkt. {{/if}}

Umsetzung bei {{ORG_NAME}}

Software wird vor Einsatz freigegeben; eine Liste zugelassener Software (Whitelist) wird im ISMS-Tool gepflegt, Beschaffung/Freigabe läuft über {{TOOL_TICKET}}. {{#if FLAG_INCLUDE_SHOULD}}

Die Installation von Software ist für Standardnutzer technisch eingeschränkt (keine lokalen Adminrechte); Ausnahmen werden im {{TOOL_TICKET}} genehmigt. {{/if}}

4. Verbindlichkeit

Diese Richtlinie ist für alle betroffenen Rollen im Geltungsbereich verbindlich. Die Einhaltung wird durch {{ROLE_IT_LEAD}} überwacht.

5. Rollen und Verantwortlichkeiten

Rolle	Verantwortung in dieser Richtlinie
{{ROLE_IT_LEAD}}	Pflege des Asset-Inventars, Zulassung Hard-/Software
{{ROLE_ISB}}	Vorgabe des Klassifizierungsschemas
Asset Owner	Bewertung und Pflege einzelner Assets im ISMS-Tool

6. Überprüfung und Aktualisierung

Diese Richtlinie wird mindestens {{REVIEW_CYCLE}} sowie anlassbezogen durch {{ROLE_IT_LEAD}} überprüft und durch {{ROLE_MANAGEMENT}} freigegeben.

7. Nachweise

Die Nachweise zur Umsetzung dieser Richtlinie werden nicht in diesem Dokument geführt, sondern zentral im Nachweisregister ({{LINK:NACHWEISREGISTER}}) sowie in den zugehörigen Einträgen des ISMS-Tools ({{TOOL_NAME}}).

8. Verwandte Dokumente

• Informationssicherheitsleitlinie: {{LINK:L00}}
• Zugehörige Verfahren: {{LINK:VA-08}}
• Technische Sicherheits-Baseline: {{LINK:BASELINE}}
• ISA-Mapping-Matrix: {{LINK:ISA_MAPPING}}
• Nachweisregister: {{LINK:NACHWEISREGISTER}}
• Weitere: {{LINK:R01}}, {{LINK:R08}}, {{LINK:R11}}