März 5, 2026

Klausel 5.2 Policy

(nach ISO/IEC 27001:2022)

Die Informationssicherheitspolitik bildet den normativen Rahmen des Informationssicherheitsmanagementsystems (ISMS). Sie definiert die grundsätzliche Ausrichtung, Ziele und Verpflichtungen der Organisation in Bezug auf den Schutz von Informationen. Diese Klausel stellt sicher, dass eine verbindliche Informationssicherheitspolitik festgelegt, kommuniziert, umgesetzt und regelmäßig überprüft wird.

Zweck der Klausel

Klausel 5.2 soll gewährleisten, dass die Organisation eine klare, angemessene und wirksame Informationssicherheitspolitik etabliert. Ziel ist es, einen verbindlichen Orientierungsrahmen für alle sicherheitsrelevanten Aktivitäten zu schaffen und die strategischen Ziele der Organisation im Bereich der Informationssicherheit zu unterstützen.

Anforderungen und Maßnahmen

1. Festlegung der Informationssicherheitspolitik

Die oberste Leitung muss eine Informationssicherheitspolitik festlegen, die:

  • zur Organisation, ihrem Kontext und ihrem Zweck passt
  • die strategische Ausrichtung der Organisation unterstützt
  • die Verpflichtung zur Informationssicherheit ausdrückt
  • den Rahmen für Informationssicherheitsziele vorgibt

Die Policy muss formell genehmigt sein.

2. Verpflichtung zur Erfüllung von Anforderungen

Die Informationssicherheitspolitik muss eine klare Verpflichtung enthalten:

  • zur Einhaltung rechtlicher, gesetzlicher und regulatorischer Anforderungen
  • zur Erfüllung vertraglicher Verpflichtungen
  • zur Einhaltung interner Richtlinien und Vorgaben
  • zur Berücksichtigung relevanter Normen und Standards

Dies schafft eine verbindliche Grundlage für Compliance.

3. Verpflichtung zur kontinuierlichen Verbesserung

Die Policy muss die Verpflichtung zur kontinuierlichen Verbesserung enthalten:

  • Weiterentwicklung des ISMS
  • Anpassung an neue Risiken und Bedrohungen
  • Nutzung von Audit- und Vorfallerkenntnissen
  • regelmäßige Überprüfung der Wirksamkeit

So wird Nachhaltigkeit sichergestellt.

4. Kommunikation der Informationssicherheitspolitik

Die Informationssicherheitspolitik muss bekannt gemacht werden:

  • Kommunikation an alle Mitarbeitenden
  • Berücksichtigung bei Schulungen und Awareness-Maßnahmen
  • Bereitstellung für relevante externe Parteien
  • verständliche und zugängliche Form

Nur bekannte Policies können wirksam sein.

5. Umsetzung und Unterstützung der Policy

Die Organisation muss sicherstellen, dass die Policy umgesetzt wird:

  • Ableitung konkreter Richtlinien und Verfahren
  • Unterstützung durch Führungskräfte
  • Integration in Prozesse und Arbeitsabläufe
  • Verankerung in der Organisationskultur

Die Policy dient als Leitplanke für das Handeln.

6. Verfügbarkeit für interessierte Parteien

Die Informationssicherheitspolitik muss verfügbar sein:

  • für interne Stakeholder
  • für Kunden oder Partner bei Bedarf
  • für Auditoren und Behörden
  • in geeigneter Form und Sprache

Dies unterstützt Transparenz und Vertrauen.

7. Regelmäßige Überprüfung und Aktualisierung

Die Policy muss regelmäßig überprüft werden:

  • im Rahmen von Managementbewertungen
  • bei wesentlichen organisatorischen Änderungen
  • bei neuen rechtlichen oder regulatorischen Anforderungen
  • bei Änderungen der Risikolage

So bleibt die Policy aktuell und wirksam.

8. Dokumentation und Nachweisführung

Die Informationssicherheitspolitik muss dokumentiert sein:

  • formell genehmigtes Dokument
  • Versionierung und Änderungsverfolgung
  • Nachweise über Kommunikation und Freigabe
  • Archivierung vorheriger Versionen

Die Dokumentation ist ein zentrales Auditkriterium.

Zusammenfassung

Klausel 5.2 fordert, dass Organisationen eine verbindliche Informationssicherheitspolitik festlegen, die strategisch ausgerichtet, angemessen kommuniziert und regelmäßig überprüft wird. Die Policy bildet das Fundament des ISMS und gibt die Richtung für alle Maßnahmen, Ziele und Prozesse der Informationssicherheit vor. Sie ist ein zentrales Steuerungsinstrument für ein wirksames Informationssicherheitsmanagementsystem nach ISO/IEC 27001:2022.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 5.2 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 5.2 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Zeigen Sie mir Ihre Informationssicherheitsleitlinie.“
Freigegeben, datiert, versioniert. Und passend zum Zweck der Organisation – eine Mustervorlage ohne Bezug zu Ihrem Geschäft fällt sofort auf.
„Wie ist sie den Mitarbeitenden bekannt gemacht worden?“
Klausel 5.2 d) verlangt Kommunikation innerhalb der Organisation. Eine Datei im Laufwerk ist keine Kommunikation.
„Ist die Leitlinie interessierten Parteien zugänglich?“
Klausel 5.2 e) verlangt Verfügbarkeit, soweit angemessen. Kunden und Auditoren müssen sie bekommen können.
„Was steht darin zur fortlaufenden Verbesserung?“
Die Leitlinie muss die Verpflichtung zur Verbesserung des ISMS enthalten. Genau dieser Satz fehlt in vielen Fassungen.
Das Dokument dazu

5.2-1 Informationssicherheitsleitlinie

Zweck, Geltung und Verbindlichkeit · Verpflichtung zur Erfüllung von Anforderungen und zur Verbesserung · Freigabe und Kommunikationsweg. In der ISMS-Plattform entsteht sie aus Ihren Angaben – gemeinsam mit A 5.1-1 Informationssicherheitsleitlinie und dem Dokumenten-Workflow mit Freigabe.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick