Managementbewertung nach ISO 27001 – Steuerungsinstrument statt Pflichttermin
1️⃣ Bedeutung der Managementbewertung
Die Managementbewertung ist kein reines „Formular-Thema“, sondern das zentrale Steuerungselement des Informationssicherheits-Managementsystems (ISMS). Sie stellt sicher, dass das Top-Management regelmäßig beurteilt, ob das ISMS weiterhin angemessen, wirksam und aktuell ist.
2️⃣ Anforderungen der ISO 27001:2022
Nach Abschnitt 9.3 der ISO 27001:2022 muss die Bewertung mindestens Folgendes berücksichtigen:
3️⃣ Typische Inhalte der Managementbewertung
Ein praxisnaher Managementbewertungsbericht sollte folgende Punkte enthalten:
4️⃣ Häufige Fehler in der Praxis
Diese Punkte treten in Audits besonders häufig auf:
5️⃣ Verknüpfung mit anderen Normkapiteln
Die Managementbewertung steht in engem Zusammenhang mit:
6️⃣ Beispiel aus der Praxis
Bei einem Kunden aus dem IT-Dienstleistungsbereich wurde die Managementbewertung in Wiki.js umgesetzt. So konnten Kennzahlen, Risiken und Beschlüsse zentral gepflegt und im Audit direkt nachgewiesen werden.
Fazit
Die Managementbewertung ist kein Pflichttermin, sondern ein wirksames Führungsinstrument. Sie verbindet Risiken, Kennzahlen und Auditergebnisse mit der strategischen Steuerung des Unternehmens. Wer sie konsequent nutzt, schafft Transparenz und stellt sicher, dass Informationssicherheit gelebte Unternehmenspraxis wird.
Empfehlung: Führen Sie die Bewertung jährlich durch – ideal in Verbindung mit ISO 9001 oder ISO 14001.
Beispiel einer Managementbewertung – Kontext 4.1 & 4.2 und Ergebnisse aus Audits
Im Rahmen der jährlichen Managementbewertung wurden die Themen Klimawandel und Ergebnisse aus Überwachung, Messung, Audits und Compliance-Prüfungen analysiert. Beide Aspekte wirken direkt auf den Kontext der Organisation (Kapitel 4.1 und 4.2) sowie auf die Bewertung der Wirksamkeit des Informationssicherheits-Managementsystems (Kapitel 9.3).
1️⃣ Kontextanalyse – Klimawandel (Abschnitt 4.1)
Häufigere Unwetter, Überschwemmungen → Stromausfall-Risiko, Lieferkettenstörungen.
Anpassung Business-Continuity-Pläne, Serverraum-Kühlung, Standortbewertung.
EU-Taxonomie, ESG-Pflichten erhöhen Transparenzanforderungen.
Migrationsstrategie in energieeffiziente Cloud-Infrastrukturen.
2️⃣ Interessierte Parteien – Abschnitt 4.2
Verlangen Nachweise zur Ausfallsicherheit bei Naturereignissen.
Müssen Redundanzen und Notfallkonzepte nachweisen.
Benötigen klare Notfall- und Kommunikationswege.
Fordern Berichte zu Präventions- und Sicherungsmaßnahmen.
3️⃣ Ergebnisse aus Überwachung, Messung, Audits und Compliance-Prüfungen (Abschnitt 9.1 – 9.3)
Neben den Kontextthemen wurden die Ergebnisse der internen Audits, Systemüberwachung und externen Compliance-Bewertungen in die Managementbewertung einbezogen.
3 Audits durchgeführt, keine Hauptabweichungen, 4 Verbesserungspotenziale dokumentiert (Schulungsnachweise, Patch-Management).
Log-Auswertung und SIEM-Reports zeigen 15 % weniger sicherheitsrelevante Events → Maßnahmen zur Benutzer-Awareness greifen.
DSGVO-Kontrolle durch Datenschutzbeauftragten ohne Beanstandung – Dokumentationspflichten vollständig erfüllt.
Lieferantenaudit (Automotive) bestätigte ISMS-Reifegrad Level 2 nach VDA ISA 6.0 – keine Korrekturmaßnahmen erforderlich.
4️⃣ Beschlüsse der Geschäftsführung
Fazit
Durch die kombinierte Betrachtung von Klimawandel, Audit-Ergebnissen und Compliance-Status erhält die Managementbewertung eine klare strategische Ausrichtung. Sie zeigt, dass das ISMS nicht nur normkonform, sondern auch zukunftsorientiert geführt wird.
Ergebnis: Relevanz bestätigt | Risiken bewertet | Maßnahmen beschlossen | Wirksamkeit des ISMS bestätigt (ISO 27001 Abs. 9.3).
FAQ zur Managementbewertung nach ISO 27001
❓ Wie oft muss eine Managementbewertung durchgeführt werden?
Laut ISO 27001 (Abschnitt 9.3) ist mindestens eine jährliche Bewertung verpflichtend. Viele Organisationen führen halbjährliche Reviews durch, wenn das ISMS stark verändert oder erweitert wurde.
👥 Wer ist für die Durchführung verantwortlich?
Die Verantwortung liegt beim Top-Management. In der Regel bereitet der Informationssicherheitsbeauftragte (ISB) die Inhalte vor (Kennzahlen, Risiken, Audit-Ergebnisse), während die Geschäftsführung Entscheidungen trifft und freigibt.
🧾 Welche Themen müssen zwingend behandelt werden?
Die Norm fordert u. a. folgende Inhalte:
- Ergebnisse aus Audits und Überwachung
- Rückmeldungen interessierter Parteien
- Status von Maßnahmen früherer Bewertungen
- Veränderungen des Kontextes (z. B. Klimawandel, IT-Struktur)
- Trends bei Sicherheitsvorfällen
📊 Welche Kennzahlen sind für die Managementbewertung relevant?
Kennzahlen sollten messbar und auf Informationssicherheit ausgerichtet sein, z. B.:
- Anzahl sicherheitsrelevanter Vorfälle (pro Quartal)
- Schulungsquote Informationssicherheit (%)
- Patch-Management-Status / Systemverfügbarkeit
- Abschlussquote offener Maßnahmen
🔍 Wie werden Ergebnisse und Beschlüsse dokumentiert?
Üblicherweise in einem Managementbewertungsprotokoll oder -bericht mit folgenden Bestandteilen:
- Datum und Teilnehmer
- Besprochene Themen und Ergebnisse
- Entscheidungen, Verantwortlichkeiten, Termine
⚠️ Was sind typische Fehler bei der Managementbewertung?
- Zu allgemeine Aussagen ohne Kennzahlenbezug
- Fehlende Verknüpfung mit Audit- oder Risikoberichten
- Keine Nachverfolgung beschlossener Maßnahmen
- Fehlende Einbindung der Geschäftsführung
💡 Fazit
Die Managementbewertung ist weit mehr als ein Pflichttermin – sie ist das strategische Steuerungsinstrument des ISMS. Wer sie datenbasiert, nachvollziehbar und regelmäßig durchführt, beweist gelebte Informationssicherheit.
Fragen zur Umsetzung stellen →Weitere wichtige ISO 27001 Themen
Häufige Fragen zur ISO 27001
Antworten auf zentrale Fragen zur Einführung und Umsetzung.
Ziele der Informationssicherheit
Definitionen und Bedeutung der Sicherheitsziele im Rahmen des ISMS.
Leitfaden zur ISO 27001
Schritt-für-Schritt-Anleitung zur Umsetzung des ISMS.
ISO 27001 Informationssicherheit
Grundlagen zur Norm und wie Informationssicherheit im Unternehmen etabliert wird.
