Jedes ernsthafte Cybersicherheits-Rahmenwerk beginnt mit demselben Dokument: einer schriftlichen, von der Geschäftsleitung genehmigten Informationssicherheitsleitlinie (ISSP). Die NIS2-Richtlinie nennt sie an erster Stelle unter den Risikomanagementmaßnahmen des Artikels 21, und ISO/IEC 27001 fordert sie in Klausel 5.2. Security Policy Express begleitet ein europäisches KMU durch einen geführten Online-Workshop und erstellt daraus eine strukturierte erste Fassung im Namen des Unternehmens: einen Arbeitsentwurf, den Ihre Berater prüfen sollten, keine Rechtsberatung.
Die Antwort in einer Minute, für eine Geschäftsführerin oder einen Geschäftsführer, der kein IT-Spezialist ist.
Eine Informationssicherheitsleitlinie (oft abgekürzt ISSP, im Französischen PSSI) ist das Dokument, in dem Ihre Geschäftsleitung schriftlich festhält, wie das Unternehmen seine Informationen und IT-Systeme schützt, wer wofür verantwortlich ist und welche Regeln alle einhalten müssen. Auf oberster Ebene ist sie kurz (eine von der Geschäftsleitung unterzeichnete Grundsatzerklärung), darunter folgen detailliertere Ebenen (themenspezifische Regeln und operative Verfahren). Sie ist kein technisches Handbuch, sondern eine schriftlich festgehaltene Entscheidung der Geschäftsleitung, auf die sich alle weiteren Sicherheitsmaßnahmen stützen können.
ISO/IEC 27001 weist die Leitlinie der „obersten Leitung“ zu, und die NIS2-Richtlinie verlangt in Artikel 20, dass die Leitungsorgane der betroffenen Einrichtungen die Maßnahmen zum Cybersicherheitsrisikomanagement genehmigen und deren Umsetzung überwachen. Ihr IT-Dienstleister kann beim Verfassen helfen; verantworten kann sie nur Ihre Geschäftsleitung.
Quellen: Richtlinie (EU) 2022/2555, Art. 20 · ISO/IEC 27001:2022, Klausel 5Bewährte Praxis unterscheidet drei Ebenen. Die Leitlinie legt Grundsätze und Verantwortlichkeiten fest. Themenspezifische Richtlinien (Zugriffskontrolle, Datensicherung, Kryptografie, Lieferanten ...) übersetzen sie je Fachbereich. Verfahren beschreiben, wer was wann Schritt für Schritt tut, wenn etwas passiert. ISO/IEC 27001 Maßnahme 5.1 nennt ausdrücklich sowohl die Leitlinie als auch themenspezifische Richtlinien.
Quelle: ISO/IEC 27001:2022, Anhang A, Maßnahme 5.1Kein europäischer Text schreibt eine einzige Vorlage vor. Die NIS2-Richtlinie verlangt in Artikel 21 Absatz 1 Maßnahmen, die „geeignet und verhältnismäßig“ sind, und berücksichtigt dabei die Risikoexposition der Einrichtung, ihre Größe sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen. Ein Hersteller mit 40 Beschäftigten und ein Krankenhaus werden nicht dieselbe Leitlinie schreiben, und das sollen sie auch nicht.
Quelle: Richtlinie (EU) 2022/2555, Art. 21 Abs. 1Eine einmal geschriebene und abgelegte Leitlinie schützt nichts. Die Rahmenwerke erwarten, dass sie den Mitarbeitenden bekannt gemacht, von ihnen bestätigt und in geplanten Abständen sowie bei wesentlichen Änderungen überprüft wird. Deshalb sollte Ihre Leitlinie von Anfang an einen eigenen Überprüfungszyklus, Verantwortliche und einen Versionsverlauf enthalten.
Quelle: ISO/IEC 27001:2022, Klausel 5.2 und Maßnahme 5.1Die meisten kleinen und mittleren Unternehmen wenden bereits einige Sicherheitsregeln an. Meist fehlt die schriftliche, genehmigte und in sich stimmige Fassung, die eine Aufsichtsbehörde, ein Prüfer, ein Versicherer oder ein Großkunde tatsächlich einsehen will.
Die NIS2-Richtlinie erweitert die EU-Cybersicherheitsregeln auf viele mittelgroße Unternehmen in Sektoren wie Industrie, Lebensmittel, Abfallwirtschaft, Transport oder digitale Dienste. Für betroffene Einrichtungen sind „Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme“ die erste in Artikel 21 Absatz 2 genannte Maßnahme.
Die NIS2-Richtlinie verlangt in Artikel 21 Absatz 2 Buchstabe d, dass betroffene Einrichtungen die Sicherheit der Lieferkette adressieren, einschließlich sicherheitsrelevanter Aspekte ihrer Beziehungen zu unmittelbaren Lieferanten. Auch wenn Sie nicht in den Anwendungsbereich fallen, können größere Kunden in ihren Lieferantenfragebögen eine schriftliche Sicherheitsleitlinie von Ihnen verlangen.
Eine Leitlinie zu schreiben heißt, viele Fragen auf einmal zu beantworten: Was sind unsere kritischen Werte, wer entscheidet, was tun wir bei einem Ransomware-Angriff, wie lange bewahren wir Backups auf? Ohne Struktur wird die Aufgabe von Quartal zu Quartal verschoben.
Heruntergeladene Vorlagen beschreiben oft eine Organisation mit einem Sicherheitsbeauftragten, einem Security Operations Center und einem eigenen Budget. Ein Dokument, das nicht zur Wirklichkeit passt, ist schlechter als keines: Es wird nicht angewendet, und ein Prüfer bemerkt die Lücke zwischen Papier und Praxis.
Dasselbe Dokument erfüllt mehrere Vorgaben zugleich. Hier steht, was jede davon tatsächlich sagt, jeweils mit Link zur amtlichen Quelle; nationale Umsetzungen können weitere Details ergänzen.
Wesentliche und wichtige Einrichtungen müssen „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“ ergreifen, um Cybersicherheitsrisiken zu beherrschen, auf Grundlage eines gefahrenübergreifenden Ansatzes. Die Liste in Artikel 21 Absatz 2 beginnt mit „a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme“. Artikel 20 ergänzt, dass die Leitungsorgane diese Maßnahmen genehmigen, ihre Umsetzung überwachen und Schulungen absolvieren.
Klausel 5.2 verlangt, dass die oberste Leitung eine Informationssicherheitsleitlinie festlegt, die zum Zweck der Organisation passt, einen Rahmen für Sicherheitsziele bietet und Verpflichtungen zur Erfüllung der anwendbaren Anforderungen und zur fortlaufenden Verbesserung enthält. Sie muss dokumentiert, intern kommuniziert und interessierten Parteien bei Bedarf zugänglich gemacht werden. Anhang A, Maßnahme 5.1 erstreckt dies auf themenspezifische Richtlinien, die genehmigt, veröffentlicht, bestätigt und überprüft werden.
Artikel 24 Absatz 2 bestimmt, dass die Maßnahmen des Verantwortlichen, soweit dies in Bezug auf die Verarbeitungstätigkeiten verhältnismäßig ist, „die Umsetzung geeigneter Datenschutzvorkehrungen“ umfassen. Artikel 32 verlangt geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau. Die Sicherheitsleitlinie ist der naheliegende Ort, um diese Maßnahmen zu dokumentieren.
Für bestimmte digitale Einrichtungen (zum Beispiel Cloud-Computing-, Rechenzentrums- und Managed-Service-Anbieter) hat die Kommission detaillierte technische und methodische Anforderungen erlassen. Ihr Anhang beginnt mit einer „Strategie für die Sicherheit von Netz- und Informationssystemen“ und beschreibt, wie sie genehmigt, dokumentiert und überprüft wird. Auch wenn Ihr Unternehmen nicht zu diesen Einrichtungsarten gehört, ist der Anhang eine nützliche, öffentlich zugängliche Vorlage für den Aufbau einer Leitlinie.
Für Finanzunternehmen verlangt DORA, dass sie eine Informationssicherheitsleitlinie entwickeln und dokumentieren, die Regeln zum Schutz der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten, Informationswerten und IKT-Assets festlegt. Sind Sie IKT-Dienstleister einer Bank oder eines Versicherers, müssen Sie damit rechnen, dass Ihr Kunde wissen will, wie Ihre eigene Leitlinie dazu passt.
Nationale Cybersicherheitsbehörden veröffentlichen kostenlose Leitfäden, auf denen eine Leitlinie aufbauen kann. In Frankreich legt der ANSSI-Leitfaden zur IT-Hygiene 42 wesentliche Maßnahmen für die Verantwortlichen der Informationssicherheit einer Organisation fest. ENISA, die Agentur der EU für Cybersicherheit, veröffentlicht Leitlinien zur Unterstützung der NIS2-Umsetzung in der gesamten Union.
Artikel 21 Absatz 2 der NIS2-Richtlinie nennt zehn Mindestmaßnahmen. Buchstabe a ist die Leitlinie selbst; eine gut aufgebaute Leitlinie ist aber zugleich der Ort, an dem die übrigen neun je einen Verantwortlichen, eine Regel und ein Verfahren erhalten. Genau so ist das erzeugte Dokument aufgebaut.
Die Grundsatzerklärung, der Geltungsbereich, die Rollen und die Methode, mit der Sie Risiken identifizieren und bewerten. Dies ist das Rückgrat des Dokuments.
Ein Verfahren zur Vorfallbehandlung: Erkennung, Einstufung, Eskalation, Eindämmung, Meldung und Nachbereitung (Lessons Learned).
Backup-Management, Notfallwiederherstellung und Krisenmanagement, wie die Leitlinie sie regelt: wer entscheidet, was zuerst wieder anläuft, wie oft Backups getestet werden.
Regeln für Auswahl, Vertragsgestaltung und Überwachung von IT-Lieferanten und Dienstleistern, einschließlich der Sicherheitsklauseln, die Sie von ihnen verlangen.
Wie neue Systeme ausgewählt und konfiguriert werden, wie Updates eingespielt werden und wie mit Schwachstellen umgegangen wird, auch bei deren Offenlegung.
Konzepte und Verfahren, um zu prüfen, ob die Maßnahmen wirken: Kennzahlen, interne Audits, Übungen und Managementbewertung.
Die Alltagsregeln (Passwörter, Updates, Phishing-Sensibilisierung) und ein Schulungsplan, auch für die Geschäftsleitung, wie ihn Artikel 20 Absatz 2 für die Leitungsorgane verlangt.
Wann Daten verschlüsselt werden müssen (Laptops, Sicherungen, Übertragungen), welche Protokolle zulässig sind und wer die Schlüssel verwaltet.
Eintritt, Wechsel und Austritt von Mitarbeitenden; wer welchen Zugriff erhält und wer ihn genehmigt; ein Inventar der Werte mit ihren Verantwortlichen.
Wo Multi-Faktor- oder kontinuierliche Authentifizierung erforderlich ist und wie Sprach-, Video-, Text- und Notfallkommunikation gesichert werden.
Die Verweise auf ISO/IEC 27001 sind richtungsweisende Zuordnungen, die wir zur Orientierung erstellt haben, und keine von ISO oder der Europäischen Kommission veröffentlichte amtliche Zuordnung. Quelle für die zehn Maßnahmen: Richtlinie (EU) 2022/2555, Art. 21 Abs. 2.
Das erzeugte Dokument folgt einer Struktur, die ein Prüfer, ein Versicherer oder ein Kunde wiedererkennt. Jedes Kapitel wird aus Ihren Antworten im Workshop gefüllt, damit es Ihr Unternehmen beschreibt und kein erfundenes.
Die Verpflichtung der Geschäftsleitung, in wenigen Absätzen, unterzeichnet und datiert.
Wer entscheidet, wer umsetzt, wer kontrolliert, auch wenn die IT ausgelagert ist.
Ein einfacher, wiederholbarer Weg, Risiken zu identifizieren, zu bewerten und zu behandeln.
Wissen, was man schützt, bevor man entscheidet, wie.
Wer worauf zugreifen darf und wie das nachgewiesen wird.
Die technische Grundlage, in einfacher Sprache beschrieben.
Wo Verschlüsselung erforderlich ist und wie sie verwaltet wird.
Sicherheit in Ihren Beziehungen zu IT-Dienstleistern und Cloud-Diensten.
Die menschliche Seite, von der Einstellung bis zum Austritt.
Räume, Serverräume und Geräte außerhalb des Büros.
Die Grundsätze; ausgeführt werden sie in den Verfahren weiter unten.
Wie die Leitlinie lebendig und richtig bleibt.
Eine Leitlinie sagt, was geschehen muss; ein Verfahren sagt, wer es tut, in welcher Reihenfolge und mit welchem Nachweis. Diese vier werden von Kunden und Prüfern am häufigsten angefordert und zählen am meisten, wenn etwas schiefgeht.
Von der ersten Meldung bis zum Abschlussbericht: wie Mitarbeitende ein verdächtiges Ereignis melden, wer es einstuft, wer die betroffenen Systeme isoliert, wer Ihren IT-Dienstleister, Ihren Versicherer und die Behörden benachrichtigt und wie Beweismittel gesichert werden.
Wie ein Konto beantragt, genehmigt, angelegt, geändert und entfernt wird. Das Verfahren deckt Eintritte, Rollenwechsel und Austritte ab, Administratorkonten, gemeinsam genutzte und Dienstkonten sowie die regelmäßige Überprüfung, bei der eine Führungskraft bestätigt, dass jede Person den Zugriff noch braucht, den sie hat.
Wie eine Änderung an einem Produktivsystem (eine neue Anwendung, eine Firewall-Regel, ein größeres Update) beschrieben, auf Risiken bewertet, genehmigt, getestet, durchgeführt und bei Bedarf rückgängig gemacht wird. In einem kleinen Unternehmen kann das schlank sein: Ein kurzes Formular und ein Protokoll genügen, sofern sie vorhanden sind und genutzt werden.
Was gesichert wird, wie oft, wo, wie lange und vor allem wie die Wiederherstellung getestet wird. Das Verfahren legt für jede kritische Tätigkeit Wiederherstellungsziele fest, an denen sich die Backups ausrichten, und beschreibt die Krisenorganisation: wer entscheidet, wer kommuniziert, welche Systeme zuerst wieder anlaufen.
Die Leitlinie richtet sich an Geschäftsleitung und IT. Die IT-Nutzungsrichtlinie (Acceptable Use Policy, AUP) richtet sich an alle anderen: das kurze, verständliche Regelwerk, das jede Mitarbeiterin und jeder Mitarbeiter, jede Aushilfskraft und jeder externe Vertragspartner anerkennt, bevor er die IT des Unternehmens nutzt.
Nutzung von Konten und Passwörtern, E-Mail und Messaging, Internetzugang, geduldete oder untersagte private Nutzung, mobile Geräte und Remote-Arbeit, Wechseldatenträger, Cloud-Dienste und generative KI-Werkzeuge, Vertraulichkeit, Meldung von Vorfällen sowie was das Unternehmen überwachen darf und warum.
ISO/IEC 27001 Maßnahme 5.10 verlangt, dass Regeln für die akzeptable Nutzung von Informationen und anderen zugehörigen Werten identifiziert, dokumentiert und umgesetzt werden. Als eigener Anhang sind diese Regeln leichter zu lesen, zu unterschreiben und zu aktualisieren und lassen sich den Arbeitsunterlagen beifügen.
Wenn die AUP eine Protokollierung oder Überwachung der Aktivitäten von Beschäftigten erwähnt, gilt das Datenschutzrecht: Beschäftigte müssen informiert werden (DSGVO Art. 13), und die Mitgliedstaaten können für Beschäftigungskontexte spezifischere Vorschriften erlassen (DSGVO Art. 88). Datenschutzbehörden wie die französische CNIL veröffentlichen Orientierungshilfen dazu, was zulässig ist.
Damit die AUP für Beschäftigte verbindlich wird, können nationale Formalitäten nötig sein. In Frankreich zum Beispiel werden Regeln dieser Art (mit Ihrem Berater gegen das Code du travail zu bestätigen) üblicherweise der Betriebsordnung „règlement intérieur“ als Anhang beigefügt, die einem gesetzlich vorgeschriebenen Verfahren folgt, einschließlich der Anhörung der Arbeitnehmervertretung. Prüfen Sie die Regeln Ihres Landes mit Ihrem Berater.
Quellen: ISO/IEC 27001:2022, A.5.10 · Verordnung (EU) 2016/679, Art. 13, 88 · CNIL · Légifrance, Code du travail (französisches Arbeitsgesetzbuch), Art. L1321-4 und L1321-5.
Eine Leitlinie beschreibt ein Unternehmen, das sich verändert: neue Mitarbeitende, neue Software, neue Lieferanten, neue Bedrohungen. Die von uns zitierten Rahmenwerke erwarten im Allgemeinen, dass sie auf dem neuesten Stand gehalten wird. Das erzeugte Dokument enthält einen eigenen Überprüfungskalender, Verantwortliche und eine Versionstabelle.
Die erste Fassung wird von der Geschäftsleitung genehmigt, datiert und versioniert. Nach NIS2 Art. 20 Abs. 1 genehmigen die Leitungsorgane betroffener Einrichtungen die Maßnahmen zum Cybersicherheitsrisikomanagement; nach ISO/IEC 27001 Klausel 5.2 legt die oberste Leitung die Leitlinie fest.
Die Leitlinie wird intern veröffentlicht; die IT-Nutzungsrichtlinie wird von jedem Benutzer bestätigt. ISO/IEC 27001 Maßnahme 5.1 erwartet, dass Leitlinien den betroffenen Beschäftigten und interessierten Parteien bekannt gemacht und von ihnen bestätigt werden.
ISO/IEC 27001 Maßnahme 5.1 verlangt eine Überprüfung in geplanten Abständen und bei wesentlichen Änderungen. Eine jährliche Überprüfung ist ein vernünftiger Standard für ein KMU; die Durchführungsverordnung (EU) 2024/2690 regelt die Überprüfung der Leitlinie ebenfalls, und zwar für die digitalen Einrichtungsarten, die sie abdeckt.
Ein schwerer Vorfall, eine Fusion, ein neuer Standort, der Umzug in die Cloud oder eine neue Vorschrift sind alles Gründe, das Dokument wieder zu öffnen, ohne auf den Jahrestag zu warten. Die Erkenntnisse aus Vorfällen (Lessons Learned) fließen in die nächste Fassung ein.
Versionstabelle, Genehmigungsnachweis, Liste der Änderungen, Bestätigungen. Wenn ein Prüfer, ein Versicherer oder ein Kunde danach fragt, zeigt genau diese Historie, dass die Leitlinie angewendet und nicht nur geschrieben wird. ISO/IEC 27001 Klausel 7.5 regelt diese dokumentierten Informationen.
Security Policy Express ist als Selbstbedienungswerkzeug konzipiert. Sie behalten die Kontrolle über den Inhalt; das Werkzeug liefert die Struktur, die Fragen und die Verweise.
Ein kurzer Test fragt nach Branche, Größe, Tätigkeiten und Kunden und zeigt Ihnen, ob die NIS2-Richtlinie wahrscheinlich auf Sie zutrifft, welche anderen Texte relevant sein können und welche Teile der Leitlinie in Ihrer Situation am meisten zählen. Für eine verbindliche Antwort verweist er auf die amtlichen Werkzeuge Ihrer nationalen Behörde.
Sie beantworten in eigenen Worten eine Reihe geführter Fragen, Kapitel für Kapitel: Ihre Organisation, Ihre kritischen Tätigkeiten, Ihr IT-Dienstleister, Ihre Sicherungen, wie Sie Austritte handhaben, was Sie bei einem Ransomware-Angriff tun würden. Jede Frage erklärt, warum sie gestellt wird und auf welchen Artikel oder welche Maßnahme sie sich bezieht. Sie können jederzeit anhalten und fortsetzen.
Das Werkzeug erstellt aus Ihren Antworten die Leitlinie, die vier Verfahren und die IT-Nutzungsrichtlinie als Anhang, jeweils im Namen Ihres Unternehmens. Fehlt eine Antwort, sagt das Dokument dies ausdrücklich, statt die Lücke mit allgemeinem Text zu füllen. Das Ergebnis ist ein Arbeitsentwurf, den Ihre eigenen Berater (Rechtsanwalt, IT-Dienstleister, Datenschutzbeauftragter) prüfen und freigeben müssen, bevor die Geschäftsleitung ihn genehmigt.
Wenn Sie Ihre Antworten kritisch hinterfragen lassen möchten, das Dokument an einen bestimmten Kontext anzupassen oder ein Audit vorzubereiten, können Sie einen Partnerberater hinzuziehen. Dieser Schritt ist optional: Der Selbstbedienungsweg ist auch ohne ihn vollständig.
Wichtig: Das erzeugte Dokument ist eine Arbeitsgrundlage. Es stellt keine Rechtsberatung dar und macht Ihr Unternehmen allein nicht konform mit NIS2, ISO/IEC 27001, der DSGVO oder einem nationalen Gesetz. Konformität hängt davon ab, was Sie tatsächlich umsetzen, und bleibt Ihre Verantwortung.
Drei Bausteine, gemeinsam aus demselben Workshop erzeugt. Verfügbarkeit und Bedingungen werden zum Start bekanntgegeben.
Das Kerndokument, von der Geschäftsleitung unterzeichnet.
Was die Leitlinie wirksam macht.
Damit Sie sich in den Texten zurechtfinden.
Zwei Situationen dürfen nicht verwechselt werden: eine gesetzliche Pflicht für Unternehmen im Anwendungsbereich der NIS2-Richtlinie (oder DORA) und eine dringend empfohlene bewährte Praxis für alle anderen.
Die NIS2-Richtlinie gilt grundsätzlich für öffentliche oder private Einrichtungen einer Art, die in Anhang I oder II aufgeführt ist und die als mittlere Unternehmen gelten oder die Obergrenzen für mittlere Unternehmen überschreiten, wie in der Empfehlung der Kommission 2003/361/EG definiert (Art. 2 Abs. 1). Einige Einrichtungsarten fallen unabhängig von ihrer Größe darunter (Art. 2 Abs. 2). Einrichtungen werden dann als „wesentlich“ oder „wichtig“ eingestuft (Art. 3), was Aufsicht und Sanktionen betrifft; beide müssen aber Artikel 21 anwenden.
Anhang I (Sektoren mit hoher Kritikalität): Energie, Verkehr, Bankwesen, Infrastrukturen der Finanzmärkte, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung und Weltraum. Anhang II (sonstige kritische Sektoren): Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Industrie (einschließlich Medizinprodukte, Elektronik, elektrische Ausrüstung, Maschinen und Fahrzeuge), digitale Anbieter und Forschung.
Die NIS2-Richtlinie ist eine Richtlinie: Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen und die Maßnahmen ab dem 18. Oktober 2024 anwenden (Art. 41). Stand und Einzelheiten der Umsetzung unterscheiden sich von Land zu Land, und das nationale Recht kann den Inhalt der Maßnahmen präzisieren. Prüfen Sie immer das Gesetz und die amtlichen Prüfwerkzeuge Ihres Landes.
Außerhalb dieser Anwendungsbereiche verlangt kein allgemeines europäisches Recht von einem KMU ein Dokument namens „Informationssicherheitsleitlinie“. Aber die DSGVO gilt für fast jedes Unternehmen, Kunden fragen Lieferanten zunehmend nach Sicherheit, und eine schriftliche Leitlinie ist der erste Schritt jedes anerkannten Rahmenwerks. Es ist eine Frage der Vorsorge, nicht drohender Sanktionen.
Quellen: Richtlinie (EU) 2022/2555, Art. 2, 3, 41 und Anhänge I und II · Empfehlung 2003/361/EG der Kommission · Europäische Kommission, Seite zur NIS2-Richtlinie · Frankreich: ANSSI, NIS-2-Seite (MesServicesCyber).
Jede regulatorische oder normative Aussage oben bezieht sich auf eine dieser Quellen. Die Links führen zum amtlichen Herausgeber.
Diese Seite dient der Information. Sie stellt keine Rechtsberatung dar. Die Texte werden in der auf EUR-Lex veröffentlichten Fassung zitiert; nationale Umsetzungen und Leitlinien der Behörden können weitere Anforderungen enthalten.
Der Selbstbedienungs-Workshop ist in Vorbereitung. Fragen in der Zwischenzeit: contact@syaga.eu.