Files

T

msolarczekandClaude Opus 4.8 eab16c861d Richtlinien-Update: 316 Anforderungen/45 Controls + Schutzbedarf-/TISAX-Schalter

Delta-Update des VDA-ISA-2027-Vorlagenpakets eingepflegt:

- Aktualisiertes Seed-Paket (ersetzt bisherigen Stand): 316 Anforderungen
  (122 MUSS · 132 SOLL · 43 HOCH · 19 SEHR HOCH) über 45 Controls; VA-01/VA-05
  jetzt enthalten (13 Verfahren vollständig). Beschädigte RACI-Tokens (VA-05/08/09/
  10/12/13) repariert. Importer: Umsetzungstext aus den .md-IMPL-Ankern extrahiert
  (mapping.json führt ihn nicht mehr), neue Obligation-Typen HOCH/SEHR HOCH.
- Neue Schutzbedarf-Flags (variables.schema): FLAG_HIGH_PROTECTION,
  FLAG_VERY_HIGH_PROTECTION, FLAG_ELEVATED_PROTECTION (abgeleitet). Render-Helper
  applyProtection: HIGH stets an, VERY_HIGH aus Global/Override, ELEVATED = HIGH||VH
  (nie manuell) — angewandt in Lese-, Bearbeiten-, Handbuch- und Coverage-Rendering.
- TISAX-Level-Schalter (AL2/AL3) zentral auf der Bibliothek (setGlobalTisaxLevel);
  AL2 = MUSS/SOLL/HOCH, AL3 = zusätzlich SEHR HOCH. Override je Richtlinie im
  Bearbeitungsmodus (setProtectionOverride, Feld protection_override); effektiver
  Wert = Dokument-Override sonst global.
- KPIs zeigen 316 Anforderungen mit Aufschlüsselung; Coverage/Badges für HOCH/SEHR
  HOCH; Control-Titel-Fallback.

Verifiziert: Import 316/45; Rendering rückstandsfrei über AL2/AL3 × Flag-Kombis;
Override R04→AL3 zeigt SEHR-HOCH-Inhalt, R02 (global AL2) nicht; global bleibt AL2.

Architektur-Hinweis: applyProtection kapselt das Level→Flags-Mapping, sodass die
globale Ebene später ohne Umbau zur TISAX-AL2/AL3-Auswahl wird (bereits so gebaut).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-07-08 11:23:07 +02:00

6.2 KiB

Raw Blame History

Richtlinie Personalsicherheit und Awareness

Dokumenteninformation	Wert
Dokumententyp	Richtlinie
Geltungsbereich	{{ISMS_SCOPE}}
Organisation	{{ORG_NAME}}
Verantwortlich	{{ROLE_HR_LEAD}}
Freigabe durch	{{ROLE_MANAGEMENT}}
Version	{{DOC_VERSION}}
Datum	{{DOC_DATE}}
Status	{{DOC_STATUS}}

1. Zweck

Diese Richtlinie regelt Eignung, vertragliche Verpflichtung sowie Schulung und Sensibilisierung des Personals. Sie konkretisiert die Informationssicherheitsleitlinie ({{LINK:L00}}) und dient der Erfüllung der Anforderungen des VDA ISA 2027.

2. Geltungsbereich

Diese Richtlinie gilt innerhalb des definierten ISMS-Geltungsbereichs ({{ISMS_SCOPE_DESCRIPTION}}).

3. Anforderungen und Umsetzung

Aufbau je Abschnitt: Anforderung (1:1 aus VDA ISA; [MUSS]/[SOLL] und – bei entsprechendem Schutzbedarf – [HOCH]/[SEHR HOCH]) und Umsetzung bei {{ORG_NAME}} (gebündelt, anzupassen wo erforderlich).

3.1 Qualifikation für sensible Tätigkeiten (ISA 2.1.1)

Anforderung

[MUSS] Sensible Arbeitsbereiche und Tätigkeiten sind bestimmt.

[MUSS] Die Anforderungen an Beschäftigte hinsichtlich ihrer Stellenprofile sind bestimmt und erfüllt.

[MUSS] Die Identität potenzieller Beschäftigter wird verifiziert (z. B. Prüfung von Ausweisdokumenten). {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Die persönliche Eignung potenzieller Beschäftigter wird mit einfachen Methoden überprüft (z. B. Vorstellungsgespräch). {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Eine erweiterte Eignungsprüfung abhängig vom Arbeitsbereich und der Tätigkeit wird durchgeführt (z. B. Assessment-Center, Prüfung von Referenzen, Zeugnissen und Führungszeugnissen). {{/if}}

Umsetzung bei {{ORG_NAME}}

Sensible Tätigkeiten sind bestimmt; Anforderungen an Positionen sind in Stellenbeschreibungen hinterlegt und werden erfüllt. Die Identität wird bei Einstellung verifiziert; die persönliche Eignung wird im rechtlich zulässigen Rahmen geprüft (Gespräch, bei sensiblen Rollen erweiterte Prüfungen wie Referenzen/Führungszeugnis).

3.2 Vertragliche Verpflichtung des Personals (ISA 2.1.2)

Anforderung

[MUSS] Eine Vertraulichkeitsverpflichtung ist in Kraft.

[MUSS] Eine Verpflichtung zur Einhaltung der Informationssicherheitsrichtlinien ist in Kraft. {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Eine über den Arbeitsvertrag hinausgehende Vertraulichkeitsverpflichtung ist in Kraft. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Informationssicherheitsaspekte werden in den Arbeitsverträgen der Beschäftigten berücksichtigt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Ein Verfahren zum Umgang mit Verstößen gegen diese Verpflichtungen ist beschrieben. {{/if}}

Umsetzung bei {{ORG_NAME}}

Alle Beschäftigten werden bei Eintritt vertraglich zur Vertraulichkeit und zur Einhaltung der Informationssicherheitsrichtlinien verpflichtet ({{ROLE_HR_LEAD}}); Informationssicherheitsaspekte sind Bestandteil der Arbeitsverträge, die Vertraulichkeit gilt nachvertraglich fort. Ein Verfahren zum Umgang mit Verstößen ist beschrieben; der Nachweis wird in der Personalakte geführt.

3.3 Sensibilisierung und Schulung (ISA 2.1.3)

Anforderung

[MUSS] Beschäftigte werden geschult und sensibilisiert. {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Ein Konzept für Sensibilisierung und Schulung der Beschäftigten ist erstellt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Zielgruppen für Schulungs- und Sensibilisierungsmaßnahmen (z. B. Führungskräfte, Administratoren, Beschäftigte mit Zugang zu Kundennetzen, Fertigungspersonal) sind identifiziert und im Konzept berücksichtigt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Das Konzept ist durch die verantwortliche Leitung genehmigt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Schulungs- und Sensibilisierungsmaßnahmen werden regelmäßig und anlassbezogen durchgeführt. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Die Teilnahme an Schulungs- und Sensibilisierungsmaßnahmen wird dokumentiert. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

[SOLL] Ansprechpartner für Informationssicherheit sind den Beschäftigten bekannt. {{/if}}

Umsetzung bei {{ORG_NAME}}

Ein von der Leitung genehmigtes, rollenspezifisches Schulungs-/Awareness-Konzept (BL-HR-01) ist etabliert; Beschäftigte werden bei Eintritt und danach mindestens {{REVIEW_CYCLE}} sowie anlassbezogen geschult. Zielgruppen sind identifiziert, Teilnahmenachweise werden im {{TOOL_NAME}} geführt, Ansprechpartner für Informationssicherheit sind bekannt; die Wirksamkeit wird (z. B. Phishing-Simulation) geprüft.

4. Verbindlichkeit

Diese Richtlinie ist für alle betroffenen Rollen im Geltungsbereich verbindlich. Die Einhaltung wird durch {{ROLE_HR_LEAD}} überwacht.

5. Rollen und Verantwortlichkeiten

Rolle	Verantwortung in dieser Richtlinie
{{ROLE_HR_LEAD}}	Verpflichtung, Eignung
{{ROLE_ISB}}	Awareness/Schulung

6. Überprüfung und Aktualisierung

Diese Richtlinie wird mindestens {{REVIEW_CYCLE}} sowie anlassbezogen durch {{ROLE_HR_LEAD}} überprüft und durch {{ROLE_MANAGEMENT}} freigegeben.

7. Nachweise

Die Nachweise werden nicht in diesem Dokument geführt, sondern zentral im Nachweisregister ({{LINK:NACHWEISREGISTER}}) sowie in den zugehörigen Einträgen des ISMS-Tools ({{TOOL_NAME}}).

8. Verwandte Dokumente

Zugehörige Verfahren: {{LINK:VA-12}}
Technische Sicherheits-Baseline: {{LINK:BASELINE}}
ISA-Mapping-Matrix: {{LINK:ISA_MAPPING}}
Nachweisregister: {{LINK:NACHWEISREGISTER}}
Weitere: {{LINK:R01}}, {{LINK:R06}}

6.2 KiB Raw Blame History Unescape Escape

Richtlinie Personalsicherheit und Awareness

1. Zweck

2. Geltungsbereich

3. Anforderungen und Umsetzung

3.1 Qualifikation für sensible Tätigkeiten (ISA 2.1.1)

3.2 Vertragliche Verpflichtung des Personals (ISA 2.1.2)

3.3 Sensibilisierung und Schulung (ISA 2.1.3)

4. Verbindlichkeit

5. Rollen und Verantwortlichkeiten

6. Überprüfung und Aktualisierung

7. Nachweise

8. Verwandte Dokumente

6.2 KiB

Raw Blame History