certvia/seed/isms-vorlagenpaket-v2/richtlinien/R01_ISMS-Organisation-und-Rollen.md

Richtlinie ISMS-Organisation und Rollen

Dokumenteninformation	Wert
Dokumententyp	Richtlinie
Geltungsbereich	{{ISMS_SCOPE}}
Organisation	{{ORG_NAME}}
Verantwortlich	{{ROLE_ISB}}
Freigabe durch	{{ROLE_MANAGEMENT}}
Version	{{DOC_VERSION}}
Datum	{{DOC_DATE}}
Status	{{DOC_STATUS}}

1. Zweck

Diese Richtlinie regelt Aufbau, Steuerung und Verantwortlichkeiten des Informationssicherheits-Managementsystems (ISMS) der {{ORG_NAME}} sowie die Berücksichtigung der Informationssicherheit in Projekten. Sie konkretisiert die Informationssicherheitsleitlinie ({{LINK:L00}}) und dient der Erfüllung der Anforderungen des VDA ISA 2027.

2. Geltungsbereich

Diese Richtlinie gilt innerhalb des definierten ISMS-Geltungsbereichs ({{ISMS_SCOPE_DESCRIPTION}}).

3. Anforderungen und Umsetzung

Aufbau je Abschnitt: Anforderung (normativ, aus VDA ISA; [MUSS]/[SOLL]) und Umsetzung bei {{ORG_NAME}} (tatsächliche Ausgestaltung, anzupassen wo erforderlich).

3.1 Steuerung der Informationssicherheit (ISA 1.2.1)

Anforderung

• [MUSS] Der Geltungsbereich des ISMS (Organisation, Standorte, Prozesse) ist bestimmt und dokumentiert.

• [MUSS] Das ISMS wird durch die Leitung initiiert, gesteuert und überwacht; erforderliche Ressourcen werden bereitgestellt.

• [MUSS] Die Wirksamkeit des ISMS wird regelmäßig durch die Leitung bewertet (Managementbewertung). {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Informationssicherheitsziele sind messbar formuliert und werden nachverfolgt (KPI). {{/if}}

Umsetzung bei {{ORG_NAME}}

Der ISMS-Geltungsbereich (Organisation, Standorte, Prozesse) ist im ISMS-Tool ({{TOOL_NAME}}) dokumentiert, versioniert und wird dort gepflegt; wesentliche Änderungen gibt {{ROLE_ISB}} frei.

Die {{ROLE_MANAGEMENT}} hat das ISMS per Managementbeschluss beauftragt, stellt Personal- und Budgetressourcen bereit und trägt die Gesamtverantwortung; die operative Steuerung liegt bei {{ROLE_ISB}}.

Die Wirksamkeit wird mindestens {{REVIEW_CYCLE}} in einer dokumentierten Managementbewertung anhand von Zielen, Kennzahlen sowie Audit- und Vorfallsergebnissen geprüft; Protokoll und Maßnahmen werden im ISMS-Tool ({{TOOL_NAME}}) abgelegt. {{#if FLAG_INCLUDE_SHOULD}}

Messbare Informationssicherheitsziele und KPI (z. B. Schulungsquote, offene Maßnahmen, Patch-Compliance) sind definiert und werden im ISMS-Tool ({{TOOL_NAME}}) nachverfolgt. {{/if}}

3.2 Organisation der Verantwortlichkeiten (ISA 1.2.2)

Anforderung

• [MUSS] Verantwortlichkeiten für Informationssicherheit sind definiert, zugewiesen und dokumentiert.

• [MUSS] Eine für Informationssicherheit verantwortliche Rolle ist benannt, verfügt über ausreichende Kompetenzen und einen direkten Berichtsweg zur Leitung. {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] In Konflikt stehende Aufgaben und Verantwortungsbereiche sind getrennt (Funktionstrennung). {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Kontakte zu relevanten Behörden und Interessengruppen werden gepflegt. {{/if}}

Umsetzung bei {{ORG_NAME}}

Verantwortlichkeiten sind in der Rollen-/Verantwortungsmatrix (Abschnitt 5) und im ISMS-Tool ({{TOOL_NAME}}) dokumentiert und den Rolleninhabern kommuniziert.

Die Rolle {{ROLE_ISB}} ist schriftlich benannt, mit Zeit-/Budgetressourcen und Weisungsrechten ausgestattet und berichtet direkt an die {{ROLE_MANAGEMENT}}. {{#if FLAG_INCLUDE_SHOULD}}

In Konflikt stehende Tätigkeiten (Umsetzung vs. Kontrolle, Beantragung vs. Genehmigung) sind getrennt; unvermeidbare Doppelrollen werden dokumentiert und durch kompensierende Kontrollen (Vier-Augen-Prinzip) abgesichert. {{/if}} {{#if FLAG_INCLUDE_SHOULD}}

Kontakte zu Behörden, CERT/CSIRT und relevanten Branchengremien werden von {{ROLE_ISB}} gepflegt und im ISMS-Tool hinterlegt. {{/if}}

3.3 Informationssicherheit in Projekten (ISA 1.2.3)

Anforderung

• [MUSS] Projekte werden unter Berücksichtigung ihres Informationssicherheitsbedarfs klassifiziert.

• [MUSS] In Projekten werden Informationssicherheitsanforderungen ermittelt und berücksichtigt. {{#if FLAG_INCLUDE_SHOULD}}

• [SOLL] Verfahren und Kriterien zur Klassifizierung von Projekten sind dokumentiert und werden angewandt. {{/if}}

Umsetzung bei {{ORG_NAME}}

Projekte werden zu Beginn anhand eines Kriterienkatalogs hinsichtlich Informationssicherheitsbedarf bewertet und klassifiziert; die Einstufung wird im {{TOOL_TICKET}} bzw. ISMS-Tool dokumentiert.

Bei erhöhtem Schutzbedarf wird {{ROLE_ISB}} verbindlich eingebunden; ermittelte Sicherheitsanforderungen werden als Aufgaben im {{TOOL_TICKET}} nachgehalten und vor Projektabschluss geprüft. {{#if FLAG_INCLUDE_SHOULD}}

Der Kriterienkatalog zur Projekteinstufung ist dokumentiert und wird einheitlich angewandt. {{/if}}

4. Verbindlichkeit

Diese Richtlinie ist für alle betroffenen Rollen im Geltungsbereich verbindlich. Die Einhaltung wird durch {{ROLE_ISB}} überwacht.

5. Rollen und Verantwortlichkeiten

Rolle	Verantwortung in dieser Richtlinie
{{ROLE_MANAGEMENT}}	Beauftragung und Gesamtverantwortung ISMS, Ressourcen, Managementbewertung
{{ROLE_ISB}}	Operative Steuerung des ISMS, Pflege der Verantwortlichkeiten
{{ROLE_IT_LEAD}}	Technische Umsetzung ISMS-relevanter Maßnahmen
Asset Owner / Prozessverantwortliche	Pflege zugeordneter Assets/Prozesse im ISMS-Tool

6. Überprüfung und Aktualisierung

Diese Richtlinie wird mindestens {{REVIEW_CYCLE}} sowie anlassbezogen durch {{ROLE_ISB}} überprüft und durch {{ROLE_MANAGEMENT}} freigegeben.

7. Nachweise

Die Nachweise zur Umsetzung dieser Richtlinie werden nicht in diesem Dokument geführt, sondern zentral im Nachweisregister ({{LINK:NACHWEISREGISTER}}) sowie in den zugehörigen Einträgen des ISMS-Tools ({{TOOL_NAME}}).

8. Verwandte Dokumente

• Informationssicherheitsleitlinie: {{LINK:L00}}
• Technische Sicherheits-Baseline: {{LINK:BASELINE}}
• ISA-Mapping-Matrix: {{LINK:ISA_MAPPING}}
• Nachweisregister: {{LINK:NACHWEISREGISTER}}
• Weitere: {{LINK:L00}}, {{LINK:R03}}, {{LINK:R13}}