Nach [BSI, Oktober 2017BSI, Bundesamt für Sicherheit in der Informationstechnik (Oktober 2017): "BSI-Standard 200-2: IT-Grundschutz-Methodik". (Link)], S. 33f. sollten dabei die nachfolgenden Schritte berücksichtigt werden:
Festlegung von Geltungsbereich und Inhalt
Formulierung der Sicherheitsleitlinie (kurz und bündig)
Bekanntgabe der Sicherheitsleitlinie
Regelmäßige Überarbeitung der Sicherheitsleitlinie (alle zwei Jahre)
Inhaltlich sollte die Sicherheitsleitlinie die nachfolgenden Fragen beantworten [BSI, Oktober 2017BSI, Bundesamt für Sicherheit in der Informationstechnik (Oktober 2017): "BSI-Standard 200-2: IT-Grundschutz-Methodik". (Link)], S. 33f.:
Welche Stellenwert wird der Informationssicherheit im Unternehmen zugeschrieben?
In welcher Beziehung stehen die Informationssicherheitsziele zu den Geschäftszielen?
Was sind die konkreten Ziele und Kernelemente der Sicherheitsstrategie für die Geschäftsprozesse im Unternehmen und die zur Unterstützung eingesetzte IT?
Welche Organisationsstruktur wird für die Umsetzung des Informationssicherheitsprozesses etabliert?
Welche Aufgaben und Zuständigkeiten bestehen im Sicherheitsprozess für die handelnden Personen?
Am Ende sollte außerdem eine Zusicherung der Umsetzung und der Erfolgskontrolle durch die Geschäftsführung erfolgen.