Managementbewertung ISO 27001 für das ISMS

Managementbewertung nach ISO 27001 Steuerungsinstrument statt Pflichttermin

Bedeutung der Managementbewertung

Die Managementbewertung ist kein reines Formular Thema, sondern das zentrale Steuerungselement des Informationssicherheits Managementsystems. Sie stellt sicher, dass das Top Management regelmäßig beurteilt, ob das System weiterhin angemessen, wirksam und aktuell ist.

Ziel der Managementbewertung ist, Kennzahlen, Risiken und Maßnahmen zu einer faktenbasierten Entscheidungsgrundlage für die Geschäftsführung zu verbinden. Informationssicherheit wird nicht isoliert betrachtet, sondern im Zusammenhang mit Geschäftszielen, Ressourcen und strategischen Prioritäten gesteuert.

Anforderungen der ISO 27001:2022 an die Managementbewertung

Nach Abschnitt 9.3 der ISO 27001:2022 muss die Bewertung mindestens folgende Inhalte berücksichtigen:

Vorgaben der Norm Status von Maßnahmen aus früheren Bewertungen, Veränderungen im internen und externen Kontext, Ergebnisse aus Überwachung, Messung, Audits und Compliance Prüfungen, Trends bei Sicherheitsvorfällen und Korrekturmaßnahmen, Bewertung der Wirksamkeit des Systems, Rückmeldungen interessierter Parteien sowie Chancen zur Verbesserung.

Auditoren erwarten als Nachweis einen dokumentierten Bericht oder ein Protokoll mit klaren Entscheidungen und Folgemaßnahmen. Inhalt und Umfang können an die Größe der Organisation angepasst werden, sollten aber alle geforderten Punkte nachvollziehbar abdecken.

Typische Inhalte einer Managementbewertung nach ISO 27001

Ein praxisnaher Managementbewertungsbericht umfasst typischerweise einen Einleitungsteil mit Geltungsbereich, Ziel und Zeitraum der Bewertung. Hinzu kommen Kennzahlen wie Anzahl und Schwere von Incidents, Risikostatus, Schulungsquote, offene Maßnahmen und deren Bearbeitungsstand.

Weitere Inhalte sind Ergebnisse aus internen Audits, Abweichungen und deren Behandlung, Änderungen und Trends bei Technologien, Organisation oder rechtlichen Anforderungen, der Status des Risikomanagements, Verfügbarkeit und Leistung von Systemen sowie identifizierte Verbesserungspotenziale bezüglich Ressourcen, Verantwortlichkeiten und Zeitplänen.

Besonders hilfreich sind Tabellen mit Verantwortlichkeiten, Status und Terminen angelehnt an die Logik der ISO 19011. So wird direkt sichtbar, wer wofür zuständig ist und bis wann welche Aufgabe umgesetzt sein soll.

Häufige Fehler in der Praxis

In Audits zeigt sich häufig, dass die Managementbewertung nur pro forma durchgeführt wird. Es werden zwar Protokolle erstellt, aber Kennzahlen, Risiken und Trends werden nicht wirklich analysiert. Der Bericht bleibt zu allgemein und bietet der Geschäftsführung wenig Steuerungsnutzen.

Ebenfalls verbreitet: Der Bericht ist sehr technisch gehalten und verliert den Bezug zum Kerngeschäft. Entscheidungen und Folgemaßnahmen werden nicht dokumentiert oder nicht nachverfolgt, neue Bedrohungen werden nicht nüchtern in die Risikoanalyse eingebunden. Copy Paste Berichte über mehrere Jahre hinweg fallen Auditoren schnell auf.

Vermeiden Sie daher reine Wiederholungen. Entscheidend ist der Bezug zur Systemleistung, zu aktuellen Risiken und zu den konkreten Erfordernissen Ihrer Organisation in diesem Bewertungszeitraum.

Verknüpfung mit anderen Normkapiteln und Systemelementen

Die Managementbewertung steht im Zentrum mehrerer Normkapitel. Sie ist eng verbunden mit dem Umgang mit Risiken und Chancen, mit Überwachung, Messung, Analyse und Bewertung, mit den Ergebnissen interner Audits sowie mit dem Kapitel zur kontinuierlichen Verbesserung.

In der Auditlogik gilt: Beschlüsse aus der Bewertung müssen sich in Maßnahmenlisten, Protokollen und Fortschrittsnachweisen wiederfinden. Andernfalls gelten sie als nicht umgesetzt. Die Managementbewertung sollte daher immer Ausgangspunkt für aktualisierte Maßnahmenpläne und Ressourcenentscheidungen sein.

Praxisbeispiel Managementbewertung in Wiki Systemen

Bei einem Kunden aus dem IT Dienstleistungsbereich wurde die Managementbewertung in einem Wiki System umgesetzt. Kennzahlen, Risiken und Beschlüsse werden dort zentral gepflegt und sind für Management, Informationssicherheitsbeauftragten und Auditor auf einen Blick ersichtlich.

Vorteile: Automatische Einbindung der Risikomatrix, Verknüpfung zu Auditberichten, Maßnahmenverfolgung mit Status und Verantwortlichkeiten sowie protokollierte Entscheidungen des Managements mit Freigabestatus. Auf zusätzliche Insel Lösungen in Excel oder PDF kann weitgehend verzichtet werden.

Fazit Managementbewertung als wirksames Steuerungsinstrument

Die Managementbewertung ist kein Pflichttermin, den man für das Zertifikat abhaken muss, sondern ein wirkungsvolles Führungsinstrument. Sie verbindet Risiken, Kennzahlen und Auditergebnisse mit der strategischen Steuerung des Unternehmens und schafft Transparenz über den Status des Informationssicherheits Managementsystems.

Empfehlung: Führen Sie die Bewertung mindestens jährlich durch, ideal in Verbindung mit bestehenden Bewertungen aus ISO 9001 oder ISO 14001, um Synergien zu nutzen. Wer die Managementbewertung konsequent nutzt, stellt sicher, dass Informationssicherheit gelebte Unternehmenspraxis wird und nicht bei einzelnen Projekten stehen bleibt.

Beispiel einer Managementbewertung – Kontext 4.1 / 4.2 und Ergebnisse aus Audits

Klimawandel als Bestandteil der Kontextanalyse

Bewertungszeitraum 2024 / 2025 · Verantwortlich: Informationssicherheitsbeauftragter Die Bewertung berücksichtigt Risiken, Trends, Auditresultate sowie die Wirksamkeit des ISMS.

Externe Klimarisiken Zunehmende Extremereignisse wie Starkregen oder Hitzeperioden erhöhen Risiken für Stromausfälle, Infrastrukturschäden und Lieferkettenunterbrechungen. Diese Faktoren müssen künftig fester Bestandteil der Risikoanalyse und des BCM sein.

Interne Auswirkungen auf die Organisation Klimatische Belastungen betreffen technische Anlagen, die Kühlung kritischer IT Komponenten und Standortentscheidungen. Planungen berücksichtigen Redundanzen und Anpassungen im Notfallmanagement.

Regulatorische Entwicklungen ESG und EU-Taxonomie fordern mehr Transparenz und Nachweise, wie Klimawandel die Organisation beeinflusst. Auditoren prüfen diese Anforderungen zunehmend detailliert.

Technologische Veränderungen Migration in energieeffiziente Cloud Dienste wird strategisch bewertet. Sicherheitslage, Datenstandorte und Notfallfähigkeit der Provider werden erneut geprüft.

Interessierte Parteien – Erwartungen im Klimakontext

Kunden Kunden erwarten klare Nachweise der Ausfallsicherheit, insbesondere bei Störungen durch klimatische Ereignisse. Dokumentation und Wiederanlaufzeiten werden regelmäßiger eingefordert.

Lieferanten Lieferanten benötigen ausreichende Redundanzen, Notfallpläne und gesicherte Reaktionsprozesse. Anforderungen werden in SLA und Lieferantenbewertungen integriert.

Mitarbeitende Beschäftigte benötigen klare Kommunikationswege, definierte Rollen im Notfall und Awareness Schulungen zu Klima und Infrastrukturthemen.

Behörden und Versicherungen Behörden und Versicherer verlangen belastbare Nachweise zu Prävention, Redundanz und technischer Absicherung, die auch klimabedingte Szenarien einschließen.

Ergebnisse aus Audits, Messungen und Compliance Bewertungen

Interne Audits Drei interne Audits zeigten keine Hauptabweichungen. Hinweise betrafen Nachweise zu Schulungen, Patch Management und Dokumentation der Risiken. Maßnahmen werden im ISMS nachverfolgt.

Überwachung und Messung SIEM Analysen zeigten 15 Prozent weniger sicherheitsrelevante Ereignisse. Verbesserte Maßnahmen wie MFA und Awareness haben messbare Wirkung gezeigt.

Compliance Status DSGVO Prüfungen verliefen ohne Beanstandungen. Alle Dokumentationspflichten wurden vollständig erfüllt. Compliance Risikostatus: niedrig.

Externe Bewertungen Lieferantenaudit nach VDA ISA bestätigte Reifegradlevel 2. Keine Korrekturmaßnahmen, hohe Akzeptanz gegenüber Geschäftspartnern.

Beschlüsse der Geschäftsführung

Standortanalyse Klimarisiken Bewertung aller Standorte hinsichtlich Überflutungsrisiken, Hitzeeinwirkung und infrastruktureller Stabilität. Ergebnisse fließen in BCM und Risikomatrix ein.

Erweiterung des Wiederanlaufplans Ergänzung um Szenario „Infrastrukturstörung“. Klare Wiederanlaufzeiten, Verantwortlichkeiten und Eskalationsschritte wurden festgelegt.

Zweite Datensicherung in klimaneutralem Rechenzentrum Aufbau eines geografisch getrennten Backup Standorts mit halbjährlichen Wiederanlauftests.

Integration eines Nachhaltigkeitskapitels Ab 2025 werden CO₂ Kennzahlen, Energieverbrauch und klimabezogene Risiken regulärer Bestandteil der Managementbewertung.

Fazit der Managementbewertung

Wirksamkeit und strategische Ausrichtung bestätigt Das ISMS ist wirksam, nachvollziehbar dokumentiert und berücksichtigt sowohl Risiken als auch Chancen. Klimathemen, Auditergebnisse und organisatorische Entwicklungen wurden erfolgreich zusammengeführt. Die Managementbewertung dient als verbindliche Entscheidungsgrundlage für das kommende Jahr.

ISO 27001 Kostenrechner Beratung – Festpreis mit Anpassungsfaktoren

Basis Festpreis für Beratung und Implementierung: 5.500 € netto. Wähle Branche, Mitarbeiteranzahl, Anzahl der Standorte und zusätzliche Leistungsbausteine. Ab drei Bausteinen erhältst du 10 Prozent Rabatt auf die Optionssumme. Branchen, höhere Mitarbeiterzahlen und mehrere Standorte erhöhen die Komplexität und werden prozentual berücksichtigt.

Branche auswählen

Komplexere Branchen bringen mehr Systeme, regulatorische Vorgaben und Auditaufwand mit sich.

Standard Keine zusätzlichen branchenspezifischen Anforderungen, typischer ISMS Umfang mit klar abgegrenztem Scope.

Mitarbeitende im Scope

Größere Organisationen haben in der Regel mehr Rollen, Prozesse, Systeme und Dokumentationsaufwand.

Anzahl Standorte im Scope

Mehr Standorte bedeuten zusätzliche Interviews, Begehungen, ISMS Rollout und Auditaufwand.

Integration Wiki.js (1.800 €)

Internes Audit nach ISO 19011 (980 €)

Awareness Schulung Mitarbeitende (980 €)

Auditvorbereitung Stage 1 und Stage 2 (980 €)

Abstimmung mit Datenschutz / DSGVO (1.200 €)

Basispreis Beratung: 5.500 € netto

Summe Leistungsbausteine: 0 € netto

Rabatt auf Bausteine (ab 3): 0 € netto

Zwischensumme vor Zuschlägen: 5.500 € netto

Zuschläge Branche, Mitarbeitende, Standorte: 0 € netto

Gesamtpreis

5.500 € netto

Hinweise zum Festpreis Paket

Basisumfang der ISO 27001 Beratung Enthält ISMS Grundaufbau, Asset Register, Risikobewertung, Erklärung der Anwendbarkeit und eine strukturierte Roadmap zur Zertifizierung für einen klar definierten Scope und bis etwa 50 Mitarbeitende.
Flexibel erweiterbare Leistungsbausteine Zusatzleistungen wie Integration in Wiki.js, internes Audit, Awareness Schulung oder Abstimmung mit Datenschutz lassen sich modular ergänzen, ohne den Basisumfang zu verändern.
Automatische Rabattlogik Sobald drei oder mehr zusätzliche Bausteine gewählt werden, reduziert sich die Optionssumme automatisch um zehn Prozent. Der Basispreis von 5.500 € bleibt stabil und sorgt für Kostentransparenz.

Unverbindliches Festpreisangebot anfragen

Checkliste für die ISO 27001 Managementbewertung

Was Auditoren in der Managementbewertung sehen wollen

Normbezug klar erkennbar Die Managementbewertung muss alle in Abschnitt 9.3 geforderten Punkte abdecken. Auditoren achten darauf, dass Status früherer Maßnahmen, Kontextänderungen, Auditergebnisse, Sicherheitsvorfälle und Verbesserungsmöglichkeiten nachvollziehbar adressiert sind.

Dokumentierte Entscheidungen Neben der reinen Beschreibung erwarten Auditoren klar formulierte Entscheidungen der Geschäftsführung, zum Beispiel Freigabe von Budgets, Priorisierung von Risiken oder Anpassung des Geltungsbereichs.

Verbindung zu Kennzahlen Die Bewertung sollte Kennzahlen zu Incidents, Schulungen, Patching, Verfügbarkeit oder Awareness enthalten. Kennzahlen ohne Einordnung genügen nicht, es braucht eine Bewertung durch das Management.

Nachvollziehbare Maßnahmenverfolgung Beschlossene Maßnahmen müssen mit Verantwortlichen und Terminen hinterlegt sein. In Folgebewertungen prüfen Auditoren gezielt, ob diese Punkte abgearbeitet wurden.

Dokumentationsanforderungen an die ISO 27001 Managementbewertung

Was im Managementreview Bericht enthalten sein sollte

Strukturierter Bericht statt lose Notizen Ein dokumentierter Bericht mit Einleitung, Bewertungszeitraum, Geltungsbereich und Teilnehmenden ist ideal. Tabellen und Zusammenfassungen erleichtern Auditoren und Führungskräften die Orientierung.

Bezug auf Quellen und Nachweise Der Bericht sollte klar zeigen, welche Daten verwendet wurden zum Beispiel Auditberichte, SIEM Auswertungen, Risikobewertungen, Compliance Checks und Feedback von Kunden oder Behörden.

Ergebnisse und Bewertung getrennt halten Zuerst werden Ergebnisse zusammengetragen, anschließend bewertet. So wird deutlich, welche Schlüsse das Management aus Kennzahlen, Vorfällen und Trends zieht.

Beschlüsse und Maßnahmen explizit nennen Beschlüsse sollten konkret formuliert werden. Eine einfache Formulierung wie „zur Kenntnis genommen“ reicht nicht als Nachweis für Steuerung und Verbesserung.

Kennzahlen für die ISO 27001 Managementbewertung

Welche KPIs den größten Mehrwert liefern

Incidents und Major Incidents Anzahl, Schweregrad und Entwicklung von Sicherheitsvorfällen zeigen, ob gesetzte Maßnahmen wirken. Trends sind wichtiger als absolute Zahlen und sollten vom Management interpretiert werden.

Reaktions- und Wiederherstellungszeiten Kennzahlen wie Mean Time To Detect und Mean Time To Recover verdeutlichen die Leistungsfähigkeit von Detection und Incident Response. Verbesserungen in diesen Werten sind ein klares Wirksamkeitskriterium.

Awareness und Schulungsgrad Quote absolvierte Schulungen, erfolgreiche Phishing Tests oder Sensibilisierungsmaßnahmen geben Auskunft über das Verhalten der Mitarbeitenden und die Kultur der Informationssicherheit.

Patch Compliance und Systemhärtung Anteil aktuell gepatchter Systeme, Anzahl kritischer Schwachstellen oder Zeit bis zur Schließung wichtiger Lücken sind zentrale Steuergrößen für technische Sicherheit.

Managementbewertung und Risikobehandlung verknüpfen

Wie die Managementbewertung das Risikomanagement steuert

Risikobewertung als Pflichtinput In der Managementbewertung sollten aktuelle Risikobewertungen und deren Entwicklung dargestellt werden. Das Management erkennt so, wo neue Risiken entstanden sind oder bestehende Risiken gestiegen sind.

Priorisierung durch das Management Die Geschäftsführung entscheidet, welche Risiken höchste Priorität haben, welche akzeptiert werden können und wo zusätzliche Ressourcen nötig sind. Diese Entscheidungen müssen dokumentiert und in der Risikobehandlung nachvollzogen werden.

Abgleich Maßnahmenstatus Der Status laufender Risikobehandlungsmaßnahmen zum Beispiel technische Maßnahmen, organisatorische Vorgaben oder Schulungen sollte in der Bewertung transparent gemacht werden.

Risikobasierte Ziele und Projekte Aus der Bewertung lassen sich priorisierte Projekte und Ziele ableiten, etwa Einführung neuer Sicherheitslösungen, Anpassung von Richtlinien oder verstärkte Sensibilisierung in besonders kritischen Bereichen.

Managementbewertung und Kontextanalyse nach ISO 27001

Warum 4.1 und 4.2 in der Bewertung sichtbar sein müssen

Änderungen im Kontext dokumentieren In der Bewertung sollte sichtbar sein, welche relevanten Veränderungen im Umfeld der Organisation aufgetreten sind, etwa neue Technologien, regulatorische Anforderungen oder Marktveränderungen.

Erwartungen interessierter Parteien Anforderungen von Kunden, Aufsichtsbehörden, Eigentümern oder Partnern verändern sich. Die Managementbewertung sollte aufzeigen, welche neuen Erwartungen existieren und wie das ISMS darauf reagiert.

Konsequenzen für Scope und Strategie Änderungen im Kontext können den Geltungsbereich, die Ausrichtung des ISMS und die Priorisierung von Themen beeinflussen. Diese Zusammenhänge sollten im Bericht klar dargestellt werden.

Beispiele für Managemententscheidungen im Managementreview

Konkrete Beschlüsse statt allgemeiner Aussagen

Freigabe von Budget für Sicherheitsmaßnahmen Beispiel: Genehmigung eines Budgets für ein neues SIEM System, zusätzliche Lizenzen für MFA oder den Ausbau von Backup Kapazitäten. Der Beschluss sollte Betrag, Zeitraum und Ziel klar benennen.

Anpassung der Risikobewertung Beispiel: Einstufung eines Cloud Dienstes von mittlerem auf hohen Schutzbedarf und Anordnung zusätzlicher Kontrollen wie Verschlüsselung oder Zugriffsprotokollierung.

Änderung von Richtlinien Beispiel: Aktualisierung der Passwort Richtlinie, Anpassung der Home Office Regelungen oder Ergänzung von Anforderungen an Lieferanten.

Stärkung der Security Awareness Beispiel: Beschluss, zwei zusätzliche Awareness Kampagnen pro Jahr durchzuführen und deren Wirksamkeit in der nächsten Bewertung zu überprüfen.

Typische Abweichungen in der ISO 27001 Managementbewertung

Was Auditoren häufig bemängeln

Managementbewertung ohne echte Bewertung Es werden zwar Daten zusammengestellt, aber das Management trifft keine sichtbaren Entscheidungen oder priorisiert keine Themen. Es fehlt die Bewertungsebene.

Keine Trendbetrachtung Kennzahlen werden nur punktuell dargestellt, ohne Vergleich zu Vorjahren oder Zielwerten. Auditoren erwarten erkennbar, ob sich die Systemleistung verbessert oder verschlechtert.

Alte Maßnahmen nicht nachverfolgt Beschlüsse aus vergangenen Bewertungen tauchen nirgends mehr auf oder es gibt keine Nachweise zur Umsetzung. Dies führt oft zu Abweichungen.

Kein Bezug zu Risiken und Chancen Der Bericht greift technische Details auf, ohne sie mit den wesentlichen Risiken oder Chancen der Organisation zu verknüpfen.

Digitale Umsetzung der Managementbewertung

Managementbewertung in Wiki oder Kollaborationsplattformen

Zentraler Zugriff auf alle Informationen Durch Abbildung der Managementbewertung in Wiki.js, Confluence oder SharePoint haben Führungskräfte, ISB und Auditoren an einem Ort Zugriff auf Kennzahlen, Berichte, Protokolle und Maßnahmen.

Verlinkung von Quellen und Risiken Risikoregister, Auditberichte, Maßnahmenlisten und Kennzahlenseiten können direkt miteinander verknüpft werden. Das erleichtert die Nachvollziehbarkeit im Audit.

Versionierung und Freigabe Digitale Plattformen bieten Nachverfolgbarkeit, wer wann welche Änderungen vorgenommen hat und wann das Management den Bericht freigegeben hat. Dies dient als Audit-Trail.

Managementbewertung nach ISO 27001 für kleine und mittlere Unternehmen

Schlanker Ansatz mit hoher Aussagekraft

Fokus auf Wesentliches KMU müssen keine umfangreichen Berichte erstellen. Wichtig ist, dass die Bewertung die wesentlichen Risiken, Vorfälle, Kennzahlen und Maßnahmen klar anspricht und Entscheidungen des Managements dokumentiert.

Einfacher Aufbau Eine A4 Seite oder eine kompakte Wiki Seite mit den wichtigsten Punkten und Beschlüssen kann ausreichend sein, solange die Normanforderungen erfüllt sind.

Geringer Aufwand, hoher Nutzen Einmal pro Jahr eine strukturierte Besprechung zu Risiko, Kennzahlen und Maßnahmen spart langfristig Zeit, da Themen gebündelt adressiert werden.

Managementbewertung ISO 27001 im Kontext von NIS2

Wie NIS2 die Managementbewertung beeinflusst

Erhöhter gesetzlicher Druck Für viele Unternehmen bringt NIS2 zusätzliche Pflichten bei Risikoanalyse, Überwachung und Meldewesen. Diese Themen gehören zwingend in die Managementbewertung, wenn die Organisation unter NIS2 fällt.

Erweiterte Berichtsanforderungen Die Bewertung muss auch aufzeigen, wie gesetzliche Anforderungen erfüllt und welche Maßnahmen zur Schließung von Lücken eingeleitet wurden.

Engere Verzahnung mit ISMS Kennzahlen NIS2 relevante Risiken und Incidents sollten in den Kennzahlen und Entscheidungsprozessen der Managementbewertung explizit adressiert werden.

FAQ – Managementbewertung ISO 27001

1 Wie oft muss die Managementbewertung durchgeführt werden?

Die ISO 27001 fordert mindestens eine jährliche Managementbewertung. Häufiger ist sinnvoll, wenn größere Änderungen im Unternehmen stattfinden oder relevante Sicherheitsvorfälle auftreten, die eine Neubewertung notwendig machen.

2 Welche Themen müssen zwingend bewertet werden?

Verpflichtende Themen nach Abschnitt 9.3 sind unter anderem: Ergebnisse der internen Audits, Kennzahlen und Monitoring Daten, Status von Maßnahmen, Rückmeldungen interessierter Parteien, Entwicklungen im Kontext, Risiken und Chancen sowie die Wirksamkeit des ISMS.

3 Muss die Managementbewertung schriftlich dokumentiert werden?

Ja. Die ISO 27001 verlangt eindeutige Nachweise über Inhalte, Entscheidungen und Maßnahmen. Das kann als PDF, Protokoll, Wiki.js Seite oder digitales Dashboard vorliegen. Wichtig ist die Nachvollziehbarkeit der Ergebnisse.

4 Welche Kennzahlen werden typischerweise ausgewertet?

Typische KPIs sind: Anzahl Sicherheitsvorfälle, Systemverfügbarkeit, Patch Compliance, Awareness Teilnahmequote, Reaktionszeiten auf Incidents und Fortschritt bei Risikobehandlungsmaßnahmen.

5 Was wird in Audits häufig als Abweichung bemängelt?

Häufige Abweichungen sind: fehlende Entscheidungen des Managements, unvollständige Risikoanalyse, mangelnde Nachverfolgung früherer Maßnahmen sowie fehlende Trendbewertungen bei Kennzahlen. Auch rein technische Berichte ohne Managementbezug werden bemängelt.

6 Muss das Top Management persönlich teilnehmen?

Ja. Die Teilnahme des Top Managements ist Pflicht, da die Bewertung strategische Entscheidungen, Ressourcen und Prioritäten betrifft. Stellvertretung ist nur zulässig, wenn sie klar autorisiert ist.

7 Welche Rolle spielt die Risikomatrix in der Bewertung?

Die Risikomatrix ist ein wesentlicher Input. Das Management muss bewerten, ob Risiken gestiegen sind, ob neue Risiken hinzugekommen sind und ob Maßnahmen zur Risikobehandlung wirksam waren.

8 Wie detailliert müssen Entscheidungen dokumentiert werden?

Entscheidungen müssen so dokumentiert werden, dass sie für Auditoren nachvollziehbar sind: Was wurde beschlossen, warum, mit welchen Ressourcen, und bis wann. Ein Maßnahmenplan ist hierfür das ideale Werkzeug.

Weitere wichtige ISO 27001 Themen

Vertiefende Inhalte zur Informationssicherheit

Häufige Fragen zur ISO 27001
Antworten auf zentrale Fragen zur Einführung, Zertifizierung und praktischen Umsetzung eines Informationssicherheits Managementsystems.
Ziele der Informationssicherheit
Erläuterung der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit und deren Bedeutung für die Ausrichtung eines ISMS.
Leitfaden zur ISO 27001
Schritt für Schritt Beschreibung zur Umsetzung der Normanforderungen von der Risikobewertung bis zu internen Audits und Managementbewertung.
ISO 27001 Informationssicherheit
Überblick über Aufbau, Ziele und Nutzen eines Informationssicherheits Managementsystems sowie typische Anwendungsfälle in Unternehmen.