Unter „Richtlinien“ verwalten Sie die gelenkten Vorgaben Ihres ISMS: die Informationssicherheitsleitlinie, Richtlinien, Weisungen und Reglemente. Jedes Dokument ist versioniert und wird über einen eigenen Freigabeweg mit Unterschriften freigegeben. Diese Anleitung richtet sich an ISMS-Verantwortliche und an die verantwortlichen Personen der Dokumente.
Bevor Sie beginnen
- Richtlinien anlegen und bearbeiten Personen mit den entsprechenden Rechten auf „Richtlinien“, standardmässig die ISMS-Verantwortlichen. Lesen dürfen standardmässig alle Mitarbeitenden.
- Die Fachrollen, die freigeben sollen (z. B. Oberste Leitung), müssen besetzt sein. Wie das geht, steht in Fachrollen und Rechte festlegen.
- Übrige Dokumente wie Handbücher, Protokolle oder Verträge gehören zu Dokumente & Nachweise.
- Anlegen und Fassung erfassen
Mit verantwortlicher Person, Überprüfungsintervall und Freigabeweg.
- Zur Prüfung einreichen
Danach ist die Version nicht mehr änderbar.
- FreigabestellenUnterschreiben
Stufe für Stufe; mit der letzten Unterschrift ist die Version gültig.
- MitgliederZur Kenntnis nehmen
Nur wenn die Kenntnisnahme verlangt ist, bei jeder neuen gültigen Version.
Die Version geht mit Begründung zurück, die bisherigen Unterschriften entfallen.
30 Tage vor Ablauf des Intervalls: unverändert bestätigen oder eine neue Version anlegen.
Eine Richtlinie wird mit Freigabeweg angelegt und die Fassung zur Prüfung eingereicht. Die Freigabestellen unterschreiben Stufe für Stufe; mit der letzten Unterschrift ist die Version gültig. Wird die Kenntnisnahme verlangt, bestätigen alle Mitglieder mit Zugriff. Bei einer Zurückweisung geht die Version mit Begründung zurück. 30 Tage vor Ablauf des Überprüfungsintervalls entsteht die Pendenz „Dokument überprüfen“.
Richtlinie anlegen
- Öffnen Sie Richtlinien. Solange keine Leitlinie besteht, beginnen Sie mit Informationssicherheitsleitlinie erfassen; sonst klicken Sie auf Dokument anlegen bzw. Weiteres Dokument anlegen.
- Schritt 1 – Dokument: Geben Sie Titel und Zweck ein, wählen Sie die verantwortliche Person und legen Sie fest, alle wie viele Monate (1 bis 120) das Dokument überprüft wird. Pflicht sind Titel, verantwortliche Person, Überprüfungsintervall und der Freigabeweg: Fachrollen je Stufe. Alle Stellen derselben Stufe unterschreiben in beliebiger Reihenfolge, die nächste Stufe kommt erst danach.
- Schritt 2 – Erste Fassung: Laden Sie eine Datei hoch (PDF oder Word als .docx, höchstens 50 MB), geben Sie einen Link an oder wählen Sie Später erfassen. Wählen Sie dann Neu – in Varmo freigeben lassen oder Bereits freigegeben (bestehendes ISMS).
- Bei einer neuen Fassung öffnen Sie das Dokument und klicken auf Zur Prüfung einreichen. Danach ist die Version nicht mehr änderbar.
Freigeben
Die Freigabestellen öffnen die Version und wählen Unterschreiben bzw. Freigeben. Mit der letzten Unterschrift wird die Version gültig und ersetzt die bisherige. Mit Zurückweisen geht die Version mit Begründung zurück; die bisherigen Unterschriften entfallen.
Es gilt das Vier-Augen-Prinzip ohne Ausnahme: Wer eine Version erstellt oder eingereicht hat, unterschreibt sie nicht, auch nicht als Tenant Admin. Hat eine Freigabestelle niemanden ausser Ihnen, können Sie nicht einreichen; die Seite zeigt dann Freigabeweg ändern oder Fachrollen besetzen. Mehr dazu in Freigaben regeln mit dem Vier-Augen-Prinzip.
Bestehende Freigaben übernehmen
Haben Sie eine Richtlinie schon ausserhalb von Varmo verabschiedet, müssen Sie sie nicht erneut freigeben lassen. Wählen Sie bei der ersten Fassung Bereits freigegeben (bestehendes ISMS) oder bei einer offenen Version Bestehende Freigabe übernehmen. Halten Sie fest, wer freigegeben hat, an welchem Datum und ab wann die Fassung gilt. Ein PDF-Nachweis, etwa ein unterschriebenes Dokument oder Sitzungsprotokoll, ist freiwillig.
Die Fassung gilt sofort und bleibt als übernommen gekennzeichnet. Die nächste Version geht wieder über den Freigabeweg.
Kenntnisnahme
Für Dokumente wie die Leitlinie oder eine Nutzungsrichtlinie können Sie verlangen, dass alle sie lesen:
- Öffnen Sie das Dokument.
- Setzen Sie in der Karte Kenntnisnahme das Häkchen Kenntnisnahme durch alle Mitglieder verlangen.
- Alle Mitglieder mit Zugriff auf die Richtlinien erhalten eine Pendenz und bestätigen mit Zur Kenntnis genommen. Den Stand („… von … haben Version … zur Kenntnis genommen“) sehen Sie in derselben Karte.
Bei jeder neuen gültigen Version werden alle erneut gefragt. Die Kenntnisnahme erreicht nur Personen mit einem Varmo-Zugang. Für Mitarbeitende ohne Zugang brauchen Sie einen anderen Nachweis, etwa eine Schulung mit Teilnahmeliste.
Was danach passiert
- Die Freigabestellen erhalten beim Einreichen eine Pendenz in Meine Pendenzen, bei mehreren Stufen nacheinander.
- Nach einer Zurückweisung erhält die erstellende Person die Pendenz, den Entwurf zu überarbeiten und erneut einzureichen.
- 30 Tage vor Ablauf des Überprüfungsintervalls erhält die verantwortliche Person die Pendenz „Dokument überprüfen“. Gilt das Dokument unverändert, bestätigt ein Mitglied einer Freigabestelle des Dokuments mit Überprüfung ohne Änderung bestätigen; sonst legt die verantwortliche Person eine Neue Version an.
Archivieren
Richtlinien mit eingereichten oder freigegebenen Versionen lassen sich nicht löschen, damit Nachweise erhalten bleiben. Archivieren Sie sie stattdessen mit Begründung; das dürfen Personen mit dem Recht, Richtlinien zu löschen. Das Dokument gilt dann nicht mehr: keine Überprüfungen, Unterschriften oder Kenntnisnahmen. Versionen, Unterschriften und Bestätigungen bleiben erhalten. Archivierte Dokumente stehen unter Archiviert und lassen sich mit Wiederherstellen zurückholen. Während einer laufenden Freigabe ist Archivieren nicht möglich.
Häufige Fragen
Gibt es einen Standard-Freigabeweg?
Nein. Jedes Dokument erhält beim Anlegen seinen eigenen Freigabeweg. Später ändern Sie ihn auf dem Dokument mit Freigabeweg ändern.
Wie belege ich mit einer Richtlinie eine Anforderung?
Verknüpfen Sie die gültige Richtlinie auf der Anforderung im Abschnitt „Nachweise“ mit Richtlinie verknüpfen…. Siehe Anwendbarkeit festlegen und SoA freigeben.