Richtlinien on .kais blog

Die Schubladen-Leitlinie

Fri, 28 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich frage nach der Informationssicherheitsleitlinie und bekomme einen Vorlagentext: generische Sätze, austauschbar, ohne erkennbaren Absender. In der Organisation kennt sie kaum jemand. Hervor holt sie nur, wer das Audit vorbereitet.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Clause 5.2 verlangt von der obersten Leitung eine Leitlinie, die Richtung vorgibt und ihr Bekenntnis zur Informationssicherheit dokumentiert. Sie ist das eine Dokument, mit dem Führung sichtbar wird.

Regeln auf Vorrat

Wed, 01 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Eine Richtlinie verlangt, den Bildschirm zu sperren – das System tut es längst nach fünf Minuten. Eine Regel schreibt vor, die Tür zum Serverraum zu schließen – die alle ohnehin zuziehen. Eine zwölfseitige Nutzungsvereinbarung unterschreiben alle, niemand liest sie. Ich erlebe, wie für fast jeden Fall eine Regel entsteht – meist zur Beschwichtigung der Prüfenden, selten zur Steuerung.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist legitim: Verlässlichkeit, Nachvollziehbarkeit, Schutz vor Willkür. Ein klarer Soll-Zustand schafft Orientierung; auf Missstände muss man reagieren dürfen.

Mehr Deckblatt als Inhalt

Fri, 12 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich öffne eine Richtlinie und scrolle erst einmal. Deckblatt, Klassifizierungsstempel, Änderungshistorie, Freigabematrix, Verteilerliste – Seite um Seite. Die eigentliche Aussage steht in drei Sätzen, irgendwo hinter dem Verwaltungsapparat.

🎯 Was soll eigentlich erreicht werden?

Die Absicht ist legitim: ISO 27001 verlangt, dokumentierte Information zu lenken – Identifikation, Version, Freigabe, Nachvollziehbarkeit. Ohne diese Kontrolle ist ein Dokument wertlos.

⚠️ Warum funktioniert das nicht?

Weil die Norm Kontrolle verlangt, nicht Tabellen im Dokument. Clause 7.5 fordert, dass Version und Freigabe gelenkt werden – nicht, dass sie als Ballast die Seiten füllen. Wer die Metainformation in den Text presst, verwechselt das Dokument mit dem Dokumentenmanagement. Bei sechs Teilen Verwaltung auf einen Teil Inhalt liest niemand mehr bis zur Regel. Und was niemand liest, steuert kein Verhalten.

Richtlinien für alle – Richtlinien für keinen

Wed, 06 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Jährlich landen bei allen Beschäftigten dieselben Richtlinien im Posteingang. Die Entwicklerin liest die Sicherheitsrichtlinie für physische Aktenräume. Der Buchhalter liest die Patch-Management-Policy. Manche Systeme erzwingen Mindestlesezeiten, damit niemand überspringt. Das Ergebnis: ein grünes Häkchen, kein Wissenszuwachs.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Annex A.6.3 fordert Sicherheitsbewusstsein für Beschäftigte mit relevantem Informationszugang. Der Nachweis ist einfach: Bestätigungsquote 100 %, Auditor zufrieden.

Die KI-Richtlinie

Fri, 10 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Policies für ISO 27001 werden mit KI-Tools generiert: korrekt formatiert, mit den richtigen Klauseln. Risikoabschätzungen folgen demselben Muster. Im Audit kommt die Frage: „Warum ist dieses Risiko so bewertet worden?" – und niemand kann antworten. Nicht weil Dokumentation fehlt, sondern weil kein Mensch die Bewertung tatsächlich durchgeführt hat.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 verlangt Richtlinien und Risikoabschätzungen, die den Organisationskontext widerspiegeln – als Grundlage für echte Sicherheitsentscheidungen, nicht als Compliance-Nachweis.