2.2 Richtlinie Informationssicherheitspolitik

Diese Informationssicherheitspolitik ist als Vorlage zu verstehen und muss vor der praktischen Anwendung an die jeweilige Organisation, den festgelegten ISMS-Geltungsbereich sowie an die tatsächlichen Geschäftsprozesse, Informationswerte, IT-Systeme und organisatorischen Rahmenbedingungen angepasst werden. Insbesondere sind Verantwortlichkeiten, Rollen im ISMS, interne Freigabe- und Berichtswege, geltende gesetzliche, regulatorische und vertragliche Anforderungen, Informationssicherheitsziele, Kriterien zur Wirksamkeitsbewertung sowie Verweise auf ergänzende Richtlinien und Verfahren organisationsspezifisch zu prüfen und bei Bedarf zu konkretisieren. Einzelne Regelungen sind bewusst allgemein formuliert, da Schutzbedarf, Risikoprofil, technische Umsetzung, Organisationsgröße und regulatorische Anforderungen je nach Organisation unterschiedlich ausfallen können. Ohne diese Anpassung, dokumentierte Prüfung und formale Freigabe ist die Vorlage nicht als unmittelbar gültige oder vollständig auditfähige Informationssicherheitspolitik zu verwenden.