Sicherheitsleitlinie nach NIS-2 – Freigabe und Geltungsbereich einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/sicherheitsleitlinie

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Die Informationssicherheitsleitlinie ist die von der Geschäftsleitung freigegebene NIS-2-Grundlage: Geltungsbereich, Ziele, Verantwortung. Fehlt das Datum der Freigabe, bleibt sie ein Entwurf. Catenis führt die Leitlinie als Maßnahme und Dokument.

Die Leitlinie ist das kurze Fundament, nicht das Betriebshandbuch. Sie sagt, welche Dienste und Systeme gemeint sind, welches Schutzziel gilt, wer entscheidet, wer ausführt. Technische Einzelheiten zu Backup, Vorfall und Lieferanten sitzen in den angebundenen Policies. Wer alles in ein 80-Seiten-Werk packt, das niemand freigibt, hat keinen Grundstein.

Ohne Datum und ohne Version ist sie ein Entwurf, auch wenn sie im Intranet steht. Die Geschäftsleitung muss die geltende Fassung billigen. Catenis führt genau das: Dokument, Version, Sign-off, Maßnahme „Leitlinie freigegeben“. Grün heißt, der Nachweis der Freigabe liegt. Es heißt nicht, jedes Team habe den Text gelesen.

Die Leitlinie steuert den Rest. Vorfallprozess, Lieferantenregel und Zugriffskonzept müssen in denselben Geltungsbereich zeigen. Widerspricht die Firewall-Ausnahme der Leitlinie, gewinnt später die Akte, die datiert und freigegeben ist – oder keine von beiden, wenn nichts zusammenpasst.

Sprache und Länge entscheiden, ob jemand sie liest. Ein Text, den Schicht und Einkauf nicht verstehen, erreicht den Geltungsbereich nicht. Catenis speichert die Fassung, die gilt. Es schreibt sie nicht und übersetzt sie nicht in Schulungen. Das bleibt Sache des Betriebs.

Geltungsbereich

Pflichtig ist die erfasste Einrichtung. Der Geltungsbereich muss die IT treffen, die die Dienste trägt: eigene Systeme, Cloud, typische Dienstleister. Ein Text „gilt für alle Mitarbeitenden weltweit“, der die Produktions-IT und den MSP auslässt, ist zu weit und zu leer zugleich.

Tochtergesellschaften und getrennte Mandanten brauchen eine klare Aussage: eigene Leitlinie, übernommene Konzernleitlinie mit lokalem Zusatz, oder bewusst außerhalb. Catenis dokumentiert die gewählte Fassung. Die rechtliche Reichweite entscheidet es nicht.

ISO-27001-Statements können als Rohstoff dienen. Sie ersetzen die GF-Freigabe auf der NIS-2-Fassung nicht, wenn Version und Datum nicht passen. Ein englisches Konzernstatement ohne Bezug auf die deutschen Dienste ist für den Mittelstand oft unbrauchbar.

Leiharbeit, Homeoffice und Werkverträge gehören in den Geltungsbereich, sobald sie Systeme berühren. Ein Satz „nur Stammbelegschaft“ lässt genau die Zugänge außen vor, die später wehtun. Die Leitlinie muss sagen, wer gemeint ist; die Zugriffskontrolle muss dasselbe tun.

Was zu tun ist

Geltungsbereich, Ziele und Rollen auf eine lesbare Länge bringen. Owner der Leitlinie benennen. In Catenis die Maßnahme führen und das Dokument ablegen. Die Vorlage P1 ist ein Start, kein Freibrief; sie muss zum Betrieb passen.

Freigabe durch die Geschäftsleitung mit Version und Datum. Danach die abhängigen Policies (Vorfall, Lieferkette, Backup) auf denselben Geltungsbereich ziehen. Widersprüche in der Akte vermerken oder lösen, nicht ignorieren.

Review-Frist setzen. Nach personellen oder technischen Schnitten die Fassung anfassen: neuer MSP, neues Werk, neue Leitung. Eine Leitlinie aus dem Einführungsjahr ohne Wiedervorlage ist ein Risiko für die nächste Prüfung.

Verteilen, wo gearbeitet wird: Intranet reicht nicht, wenn Schicht und Einkauf sie nie sehen. Der Nachweis der Kenntnisnahme kann schlank sein. Der Nachweis der Freigabe darf es nicht.

Alte Fassungen archivieren, nicht überschreiben ohne Spur. Der Prüfer fragt, welche Version im Vorfalljahr galt. Catenis hält Dokument und Sign-off; die inhaltliche Qualität der Sätze bleibt beim Verfasser und bei der Leitung, die sie billigt.

Abhängige Policies nachziehen, sobald die Leitlinie wechselt: Vorfall, Lieferkette, Backup. Sonst gilt oben ein neuer Geltungsbereich und unten noch der alte MSP-Name. In Catenis werden abhängige Texte oft wieder Entwurf; die Freigabe muss danach erneut durch die Inbox.

Typischer Fehler

Der häufigste Fehler: eine kopierte Mustervorlage ohne Geltungsbereich, die „die Geschäftsleitung“ als Rolle kennt, aber keine Namen. Der zweite: Freigabe per Chat („passt so“) ohne Version. Beides überlebt die erste Nachfrage nicht.

Der dritte: die Leitlinie mit der Zugriffskontrolle zu verwechseln. Der Text kann MFA fordern. Umgesetzt ist MFA erst, wenn Konten, Ausnahmen und Reviews existieren. Catenis fragt beides: Dokument und Maßnahme.

Der vierte: nach jedem Guide-Lauf die Policy zurück auf Entwurf zu setzen und die Freigabe zu vergessen. Dann steht intern ein neuer Text, die GF-Inbox ist voll, die Ampel bleibt offen. Freigabe ist der Schluss der Änderung, nicht der Anfang. Wer die Leitlinie jedes Quartal umschreibt, ohne dass sich Systeme geändert haben, erzeugt nur neue Entwürfe.

Grenze

Das Lexikon schreibt keine Leitlinie für ein konkretes Unternehmen und bewertet nicht, ob der Text aufsichtsfest ist.

Catenis führt Leitlinie als Maßnahme und Dokument. Es reicht sie nicht beim BSI ein und ersetzt keine anwaltliche Freigabe. Behördenmeldung und Einordnung bleiben extern. Grün heißt: Freigabe liegt, nicht: der Text ist aufsichtsfest. Geltungsbereich, Ziele und Verantwortung müssen in der geltenden Fassung stehen, sonst ist die Unterschrift leer. Fehlt das Datum, bleibt sie Entwurf, auch im Intranet. Die abhängigen Policies müssen denselben Geltungsbereich tragen, sonst widerspricht die Akte sich selbst nach der nächsten Freigabe. Version und Sign-off gehören zusammen.