Eine Sicherheitsrichtlinie ist ein schriftliches Regelwerk, das festlegt, wie in einem Unternehmen mit Informationen, Systemen und Zugängen umzugehen ist. Sie beantwortet praktische Fragen: Wer erhält welche Zugriffsrechte, welche Anforderungen gelten für Passwörter, wie werden Geräte und Wechseldatenträger genutzt, was ist im Homeoffice erlaubt, wie wird ein Vorfall gemeldet, welche Cloud-Dienste dürfen eingesetzt werden.
Ihr Wert entsteht nicht durch Vollständigkeit, sondern durch Verbindlichkeit und Verständlichkeit, denn ein achtzigseitiges Dokument, das niemand liest, ändert kein Verhalten. Bewährt hat sich eine knappe Grundrichtlinie mit wenigen ergänzenden Regelungen für einzelne Themen, jeweils mit benannter Zuständigkeit und Überprüfungsdatum.
Arbeitsrechtlich ist die Einbindung wichtig, denn Regelungen, die das Verhalten der Mitarbeiter betreffen, wirken erst, wenn sie nachweislich bekanntgemacht wurden, und Kontrollmaßnahmen können in Betrieben mit Betriebsrat zustimmungspflichtig sein (§ 96 Abs 1 Z 3 ArbVG). Datenschutzrechtlich sind schriftliche Regelungen zugleich ein Baustein der Rechenschaftspflicht, weil sie belegen, dass angemessene organisatorische Maßnahmen getroffen wurden (Art. 24, 32 DSGVO).