Vorlagen für die IT-Dokumentation –
Beispiele für Richtlinien und Betriebshandbücher

KI-Tools machen es heute leicht, schnelle Entwürfe für Vorlagen und Muster zu generieren. Die eigentliche Herausforderung beginnt jedoch erst danach: Damit aus einem Textbaustein eine eigene Dokumentation wird, muss er exakt an Ihre Organisation angepasst, in Ihre bestehenden Strukturen integriert und mit Ihren Prozessen verknüpft werden.

Unsere nachfolgenden Beispiele unterstützen Sie hierbei. Wir unterscheiden dabei zwei grundlegende Anwendungsfälle:

1. Zentrale Vorgabedokumente: Hierbei handelt es sich um Dokumente, die es in Ihrer Organisation nur einmal gibt, wie z. B. ein IT-Sicherheitskonzept oder eine Cloud-Richtlinie. Sie definieren den verbindlichen Rahmen und regeln das „Was“ und „Wie“ für alle Beteiligten.
2. Vorlagen zur Erstellung standardisierter Dokumente für den Betrieb (Templates): Hierbei geht es um Dokumente, die für viele gleichartige Objekte (z. B. IT-Systeme, Anwendungen oder Server) erstellt werden müssen. In diesem Fall ist es sinnvoll, ein Template (Schablone) bereitzustellen, das sicherstellt, dass alle wesentlichen Informationen strukturiert und einheitlich erfasst werden.

Praxisbeispiele: Um diesen Unterschied greifbar zu machen, zeigen wir Ihnen im Folgenden, wie Sie methodisch vorgehen und wie solche Dokumente konkret aufgebaut sein können – beginnend mit der Erstellung einer Richtlinie zur Nutzung von Cloud-Diensten.

Beispiel: Methodik zur Erstellung von Richtliniendokumenten

Die Erstellung einer neuen Richtlinie beginnt oft mit der Frage: „Was muss eigentlich alles geregelt werden?“

Statt das Rad neu zu erfinden, empfiehlt es sich, zunächst einen fachlich vollständigen Rahmen (Framework) zu erstellen, der auf etablierten Standards basiert. Erst im zweiten Schritt füllen Sie diesen Rahmen mit Ihren organisationsspezifischen Inhalten.

Dank moderner KI-Modelle müssen Sie Normen heute nicht mehr mühsam wälzen, um eine Gliederung zu erhalten. Mit einem gezielten Prompt liefert Ihnen die KI das Gerüst.

Beispiel-Prompt

Um beispielsweise die Anforderungen der ISO/IEC 27001 (Control A.5.23) sicher abzudecken, nutzen wir folgenden Befehl:

„Ich benötige eine themenspezifische Richtlinie gemäß ISO/IEC 27001 zur Umsetzung der Anforderungen des Controls A.5.23 ‚Informationssicherheit für die Nutzung von Cloud-Diensten‘. Bitte strukturiere die Richtlinie mit Zweck, Geltungsbereich, Rollen, Anforderungen entlang des Lebenszyklus und technischen Mindestkontrollen.“

Empfohlene Inhalte der Cloudnutzungs-Richtlinie

Als Ergebnis erhalten Sie eine ausführliche Struktur, die typischerweise folgende Punkte umfasst:

1. Zweck und Zielsetzung

• Zweck der Richtlinie (Warum regeln wir das?)
• Ziele bei der Nutzung von Cloud-Diensten (z. B. Flexibilität, Kosten, Sicherheit)
• Verankerung des Shared-Responsibility-Prinzips (Klarstellung, dass Verantwortung für Daten beim Kunden bleibt)

2. Geltungsbereich (Scope)

• Organisatorisch: Welche Abteilungen/Tochtergesellschaften sind betroffen?
• Fachlich: Welche Cloud-Service-Modelle (IaaS, PaaS, SaaS) sind gemeint?
• Technisch: Gilt dies für Produktiv-, Test- und Entwicklungsumgebungen?

3. Begriffe

• Definition wichtiger Termini zur Vermeidung von Missverständnissen (z. B. Cloud Service Provider (CSP), Auftragsverarbeitung (AVV), Datenklassifizierung).

4. Referenzen

• Verweise auf relevante Normen und Gesetze (ISO/IEC 27001, ISO/IEC 27017/27018, DSGVO).
• Interne Verlinkung: Verweise auf übergeordnete Dokumente (z. B. Informationssicherheitsrichtlinie, Klassifikationsrichtlinie), um Redundanzen zu vermeiden.

5. Rollen und Verantwortlichkeiten

• Wer darf entscheiden? (Cloud-Strategy-Board, CISO, Datenschutzbeauftragter, Einkauf).
• Wer ist für den Betrieb verantwortlich? (Service Owner, Applikationsverantwortlicher).

6. Grundsätze

Übergeordnete Sicherheits- und Datenschutzprinzipien, die für jeden Cloud-Dienst gelten:

• Cloud-First vs. On-Premise-Strategie
• Verbot von Schatten-IT
• Privacy by Design / Default
• Vorgaben zur Verschlüsselung (BYOK/HYOK)

7. Anforderungen entlang des Lebenszyklus

• Bedarf: Kriterien für die Auswahl.
• Beschaffung: Prüfung des Anbieters (Vendor Risk Assessment) und Vertragsprüfung (SLA, AVV).
• Betrieb: Laufende Überwachung und Change-Management.
• Exit: Regelungen zur Datenrückgabe und Löschung bei Vertragsende.

8. Technische Mindestkontrollen

Verbindliche Vorgaben für die technische Absicherung:

• Multi-Faktor-Authentifizierung (MFA)
• Identitätsmanagement (SSO/RBAC)
• Verschlüsselung (Data in Transit / at Rest)
• Protokollierung (Audit-Logs)
• Schnittstellensicherheit (API-Security)

9. Überwachung, Messung und Reporting

• Definition von KPIs (z. B. Verfügbarkeit) und KRIs (z. B. Anzahl Sicherheitsvorfälle).
• Berichtswesen an das Management oder ISMS-Gremien.

10. Dokumentationspflichten

Welche Nachweise müssen je Cloud-Dienst vorliegen?

• Architektur- und Datenflussdiagramme
• Verträge und Zertifikate (SOC2, ISO 27001 des Providers)
• Härtungsdokumentation
• Notfall- und Exit-Konzepte

11. Schulung und Awareness

• Vorgaben zur Sensibilisierung der Mitarbeiter im Umgang mit Cloud-Diensten.

12. Ausnahmen

• Prozess für genehmigte Abweichungen (Risk Acceptance), befristete Ausnahmeregelungen und Kompensationsmaßnahmen.

13. Sanktionen

• Hinweis auf arbeits- oder vertragsrechtliche Konsequenzen bei Verstößen.

14. Überprüfung und Aktualisierung

• Turnus für den Review der Richtlinie (z. B. jährlich oder bei gravierenden technologischen Änderungen).

Die notwendigen Schritte zur eigenen Richtlinie

Identifizierung der unternehmensspezifischen Regelungen

Eine Richtlinie beschreibt das „Was“ (Was muss eingehalten werden?) und das „Warum“. Die Hauptarbeit liegt in der Ermittlung und Dokumentation Ihrer konkreten Vorgaben entlang der oben stehenden Struktur.

Modulare Dokumentationsstruktur

Richtlinien dürfen nicht isoliert betrachtet werden. Sie sind Teil des Gesamtsystems. Die Abbildung zeigt die von der ISO/IEC 27001 geforderten Dokumente am Beispiel der Dokumentenpyramide.