Sie definiert, was die Organisation erwartet und warum, bestimmt ihren Geltungsbereich und ihre Leitprinzipien und weist Verantwortung für Entscheidungen und Aufsicht zu. Eine Richtlinie kann organisationsweit gelten oder ein bestimmtes Thema, System, Verfahren oder Risiko adressieren.
Brauchbare Richtlinien übersetzen Verpflichtungen und Risikoentscheidungen in Anforderungen, die Menschen anwenden können. Sie sollten an spezifischere Standards, Baselines, Verfahren, Vertragsbedingungen und technische Konfigurationen anknüpfen, statt jedes Implementierungsdetail selbst enthalten zu wollen.
Wichtigste Punkte
RichtlinieninhaltZweck, Geltungsbereich, verbindliche Anforderungen, verantwortliche Rollen, Entscheidungsbefugnisse, Durchsetzung sowie die treibenden Gesetze, Verträge, Risiken oder organisatorischen Selbstverpflichtungen festlegen.
NutzbarkeitVerantwortliche Genehmigung einholen, die Richtlinie an die Betroffenen kommunizieren, zugänglich halten und die nötigen Trainings, Standards, Verfahren und Ressourcen für ihre Befolgung bereitstellen.
Ausnahmen und ÄnderungFür Ausnahmen Genehmigungen, kompensierende Maßnahmen, Eigentümer und Ablaufdaten dokumentieren; die Richtlinie turnusgemäß und nach wesentlichen Änderungen von Geschäft, Technologie, Bedrohung oder Regulierung überprüfen.
Wichtige EinschränkungDie Veröffentlichung einer Richtlinie begründet weder Implementierung noch Compliance oder wirksame Sicherheit. Anforderungen müssen durchführbar sein, in die Praxis übersetzt und überwacht werden — mit Korrekturen, wenn Belege Lücken oder unbeabsichtigte Folgen zeigen.