ISO 27001 Management Review vorbereiten: So wird die Sitzung entscheidungsreif

So. Da saßen nun alle.

Man hatte ihnen gesagt, dass man für diese ISO 27001 ein Management Review durchführen müsse. Der neue ISB hatte eingeladen. Man solle sich Zeit nehmen. Die beiden Geschäftsführer hatten sich den ganzen Nachmittag freigehalten – und zwar unter deutlichen Unmutsbekundungen.

Nun saßen sie also da.

Und worüber sollte man jetzt reden? Über Änderungen bei interessierten Parteien? „Was bedeutet das genau?“ Über anstehende Verbesserungen? „Ja, welche denn?“ Über die Ergebnisse der Risikobehandlung? Der ISB öffnete die Risikoliste und begann herumzuklicken. „Moment, wir haben das gleich.“

Nach zehn Minuten suchte einer den letzten Auditbericht. Nach zwanzig Minuten versuchte man gemeinsam herauszufinden, welche Maßnahmen aus dem vergangenen Jahr noch offen waren. Nach einer halben Stunde war allen klar: Ohne Vorbereitung wird das nichts.

Das Management Review war als Entscheidungstermin der Leitung gedacht. Tatsächlich war es gerade zu einer gemeinsamen Rechercheveranstaltung mit gereizter Geschäftsführung geworden.

Die kurze Antwort

Ein gutes Management Review wird vor der Sitzung erarbeitet. Im Termin selbst wird nicht mehr zusammengesucht, welche Risiken existieren, wie die Ziele stehen oder was im Internen Audit festgestellt wurde. Diese Informationen müssen vorher vollständig, verdichtet und entscheidungsreif vorliegen.

Der ISB und die jeweiligen Verantwortlichen bereiten vor:

• Was hat sich seit dem letzten Review verändert?
• Wo läuft das ISMS wie vorgesehen?
• Wo gibt es Abweichungen, Verzögerungen oder neue Risiken?
• Welche früheren Beschlüsse sind noch offen?
• Wo braucht es eine Entscheidung der Leitung?
• Welche konkreten Entscheidungsoptionen gibt es?

Das Management Review ist dann kein Vorlesetermin und kein gemeinsames Durchforsten von Tabellen. Es ist der Moment, in dem die Leitung bewertet, priorisiert, Ressourcen freigibt und Entscheidungen trifft.

Wenn Sie zunächst wissen möchten, welche Eingaben Abschnitt 9.3 überhaupt verlangt, lesen Sie unseren Grundlagenartikel zur Managementbewertung nach ISO 27001. Hier geht es um den nächsten Schritt: Wie organisiert man das praktisch?

1. Termin, Teilnehmer und Rollen festlegen

Planen Sie das Management Review nicht erst, wenn der Zertifizierungsauditor bereits nach dem Protokoll fragt. Der Termin gehört mit ausreichendem Vorlauf in die Kalender der obersten Leitung.

Dabei sollten drei Rollen klar sein:

1. Die oberste Leitung bewertet und entscheidet. Das ist häufig die Geschäftsführung, kann aber abhängig vom Anwendungsbereich auch die höchste verantwortliche Leitung innerhalb dieses Bereichs sein.
2. Der ISB koordiniert und bereitet vor. Er sammelt Informationen, fordert Zuarbeiten ein, verdichtet die Ergebnisse und macht Entscheidungsbedarf sichtbar.
3. Fachverantwortliche liefern belastbare Inhalte. Risikoverantwortliche, IT-Leitung, Personal, Datenschutz, Einkauf oder Prozessverantwortliche müssen nicht alle die gesamte Sitzung begleiten. Sie müssen aber rechtzeitig die Informationen liefern, die für ihre Themen gebraucht werden.

Eine Teilnehmerliste mit möglichst vielen Namen macht das Review nicht besser. Laden Sie diejenigen ein, die entscheiden müssen, und holen Sie Fachleute gezielt zu den Punkten dazu, für die ihre Einschätzung gebraucht wird.

2. Nicht mit einer leeren Agenda anfangen

Die Pflichtinhalte aus Abschnitt 9.3 eignen sich hervorragend als Grundgerüst. Eine brauchbare Agenda kann so aussehen:

1. Status der Beschlüsse aus dem letzten Management Review
2. Veränderungen bei internen und externen Themen
3. Veränderungen bei interessierten Parteien und ihren Anforderungen
4. Rückmeldungen relevanter interessierter Parteien
5. Leistung und Wirksamkeit des ISMS
6. Nichtkonformitäten und Korrekturmaßnahmen
7. Ergebnisse aus Überwachung, Messung und Audits
8. Erreichung der Informationssicherheitsziele
9. Ergebnisse der Risikobewertung und Stand des Risikobehandlungsplans
10. Möglichkeiten zur fortlaufenden Verbesserung
11. Entscheidungen zu Änderungen, Prioritäten und Ressourcen

Diese Liste ist noch keine fertige Sitzungsvorlage. Sie verhindert aber, dass ein Pflichtpunkt einfach vergessen wird. Anschließend wird jeder Punkt mit dem konkreten Stand des Unternehmens gefüllt.

Eine Überschrift wie „Änderungen interessierter Parteien“ allein hilft der Geschäftsführung ungefähr so viel wie ein Tagesordnungspunkt „Sonstiges“. Darunter muss stehen, ob es eine relevante Änderung gab, welche Auswirkung sie hat und ob daraus eine Entscheidung folgt.

3. Zuarbeiten mit Frist und klarer Fragestellung einholen

Wer den Fachverantwortlichen lediglich schreibt „Bitte schicken Sie mir alles Relevante für das Management Review“, darf sich über eine bunte Mischung aus Rohdaten, Weiterleitungen und Schweigen nicht wundern.

Besser sind konkrete Arbeitsaufträge:

• Welche wesentlichen Vorfälle gab es seit dem letzten Review?
• Welche Sicherheitsziele wurden erreicht oder verfehlt?
• Welche Auditfeststellungen sind noch offen?
• Welche Risiken haben sich wesentlich verändert?
• Welche Maßnahmen aus dem Risikobehandlungsplan sind verspätet oder unwirksam?
• Welche neuen Kunden-, Vertrags- oder gesetzlichen Anforderungen sind hinzugekommen?
• Welche Entscheidungen können Sie auf Ihrer Ebene nicht selbst treffen?

Setzen Sie dafür einen Termin, der deutlich vor dem Management Review liegt. Wenn die letzten Informationen am Morgen der Sitzung eintreffen, kann niemand sie mehr vernünftig prüfen, zusammenführen oder in eine Entscheidungsvorlage verwandeln.

4. Den Risikobehandlungsplan vorher auswerten

Der Risikobehandlungsplan gehört nicht als ungefilterte Tabelle auf den Beamer. Dreiundachtzig Zeilen mit Bewertungen, Maßnahmen und Kommentaren sind kein Managementbericht. Sie sind Rohmaterial.

Bereiten Sie mindestens heraus:

• Welche hohen oder besonders relevanten Risiken bestehen aktuell?
• Welche Bewertungen haben sich wesentlich verändert?
• Welche geplanten Behandlungen sind überfällig?
• Welche Maßnahmen wirken nicht wie erwartet?
• Wo fehlen Ressourcen, Entscheidungen oder Verantwortliche?
• Welche Risiken sollen bewusst akzeptiert werden?

Für jede auffällige Position braucht die Leitung eine verständliche Kurzfassung. Was ist das Risiko? Warum ist es jetzt relevant? Was wurde bereits getan? Was wird empfohlen? Welche Entscheidung wird benötigt?

Wie ein sauberer Risikoprozess grundsätzlich funktioniert, beschreibt unser Artikel zum Risikomanagement nach ISO 27001. Im Management Review sollte dieser Prozess nicht neu erfunden, sondern sein entscheidungsrelevantes Ergebnis vorgelegt werden.

5. Frühere Beschlüsse zuerst auf den Tisch

Bevor neue Wünsche gesammelt werden, kommt der alte Arbeitsstand dran. Nehmen Sie das Protokoll des letzten Management Reviews und erstellen Sie eine einfache Übersicht:

Offene Punkte dürfen nicht lediglich mit einem neuen Datum versehen werden. Wenn etwas verspätet ist, braucht die Leitung eine Erklärung und gegebenenfalls eine Entscheidung: mehr Ressourcen, andere Priorität, geänderte Maßnahme oder bewusste Beendigung.

Unser Beitrag zur kontinuierlichen Verbesserung statt Maßnahmenfriedhof zeigt, warum ewiges Weiterschieben keine neutrale Verwaltungsentscheidung ist.

6. Veränderungen verständlich übersetzen

Die Normsprache spricht von Veränderungen bei externen und internen Themen sowie bei interessierten Parteien und ihren Anforderungen. Die Geschäftsführung sollte daraus aber kein Begriffsquiz machen müssen.

Bereiten Sie stattdessen konkrete Veränderungen vor:

• Ein neuer Großkunde verlangt kürzere Meldefristen bei Sicherheitsvorfällen.
• Das Unternehmen eröffnet einen weiteren Standort.
• Ein kritischer Dienst wird künftig aus der Cloud bezogen.
• Die Konzernmutter hat neue Sicherheitsvorgaben eingeführt.
• Ein Gesetz oder Vertrag bringt zusätzliche Anforderungen.
• Eine Abteilung wurde umstrukturiert und Verantwortlichkeiten sind unklar geworden.
• Ein wichtiger Lieferant hat seinen Leistungsumfang verändert.

Zu jeder Veränderung gehören zwei Sätze: Was bedeutet sie für das ISMS? Und: Muss die Leitung etwas entscheiden?

Die Grundlagen dazu finden Sie in unseren Artikeln zum Kontext der Organisation und zu interessierten Parteien. Im Review geht es nicht darum, diese Analysen live noch einmal durchzuführen. Es geht um die Änderungen seit dem letzten belastbaren Stand.

7. Kennzahlen und Ziele auf Entscheidungen zuspitzen

Eine Präsentation mit vierzig Diagrammen ist nicht automatisch gründlich. Oft ist sie nur lang.

Für Kennzahlen und Informationssicherheitsziele sollte erkennbar sein:

• Was wollten wir erreichen?
• Wo stehen wir tatsächlich?
• Wie entwickelt sich der Wert?
• Warum gibt es eine Abweichung?
• Ist das Ziel noch sinnvoll?
• Welche Entscheidung oder Maßnahme folgt daraus?

Ein roter Wert ohne Einordnung erzeugt Fragen. Ein grüner Wert ohne belastbare Daten erzeugt falsche Sicherheit. Und ein Wert, der seit drei Jahren erhoben wird, obwohl niemand daraus eine Entscheidung ableitet, ist möglicherweise nur ein liebgewonnenes Ritual.

Wie man aus Messwerten ein brauchbares Steuerungsbild macht, erklären wir im Artikel über Informationssicherheitsleistung ohne KPI-Theater.

8. Auditergebnisse und Nichtkonformitäten verdichten

Legen Sie nicht einfach den vollständigen Bericht des Internen Audits auf den Tisch und beginnen Sie auf Seite eins vorzulesen. Die Leitung braucht das Gesamtbild:

• Welche wesentlichen Nichtkonformitäten oder Schwächen wurden festgestellt?
• Gibt es wiederkehrende Feststellungen?
• Welche Korrekturmaßnahmen sind offen oder unwirksam?
• Gibt es systematische Ursachen, die mehrere Bereiche betreffen?
• Wo braucht es eine Entscheidung der Leitung?

Der vollständige Bericht bleibt natürlich als Nachweis verfügbar. Für das Management Review wird er verdichtet. Wie ein belastbarer Auditbericht entsteht, zeigt unser Praxisartikel zum Internen Audit und Auditbericht.

9. Aus Informationen echte Entscheidungsvorlagen machen

Der wichtigste Vorbereitungsschritt lautet: Formulieren Sie jeden wesentlichen Punkt so, dass die Leitung entscheiden kann.

Eine gute Entscheidungsvorlage beantwortet auf einer halben Seite:

1. Ausgangslage: Was ist passiert oder hat sich verändert?
2. Bedeutung: Welche Auswirkung hat das auf Risiken, Ziele oder das ISMS?
3. Optionen: Welche realistischen Möglichkeiten gibt es?
4. Empfehlung: Welche Option schlägt der Verantwortliche vor und warum?
5. Entscheidung: Was soll die Leitung konkret beschließen?
6. Folgen: Welche Kosten, Ressourcen, Termine und Restrisiken entstehen?

Beispiel:

Entscheidung benötigt: Der kritische SaaS-Anbieter unterstützt weiterhin keine Anbindung an unsere zentrale SSO-Lösung. Option A ist der Anbieterwechsel zum Jahresende. Option B ist ein eigener technischer Adapter. Option C ist die befristete Risikoakzeptanz mit zusätzlichen Kontrollen. Empfohlen wird Option B. Benötigt werden zwölf Entwicklungstage und ein Budget von 18.000 Euro.

Damit kann man arbeiten. „Beim Lieferanten gibt es noch ein SSO-Thema“ ist dagegen nur ein Gesprächsanfang.

10. Unterlagen vorher versenden

Die Teilnehmer sollten die entscheidungsrelevanten Unterlagen rechtzeitig erhalten. Nicht drei Minuten vor Beginn und auch nicht als ZIP-Datei mit 27 Anhängen ohne Lesereihenfolge.

Ein gutes Vorbereitungspaket enthält:

• eine kurze Zusammenfassung der Gesamtlage,
• die Agenda,
• den Status früherer Beschlüsse,
• die wichtigsten Veränderungen und Trends,
• wenige, verständliche Kennzahlen,
• die verdichtete Risiko- und Maßnahmenlage,
• klar gekennzeichnete Entscheidungspunkte,
• bei Bedarf weiterführende Anlagen.

Markieren Sie, was nur zur Information dient und wo eine Entscheidung erwartet wird. So kann sich die Geschäftsführung auf die Punkte vorbereiten, bei denen sie tatsächlich gebraucht wird.

11. Die Sitzung als Entscheidungstermin moderieren

Im Termin selbst muss niemand beweisen, dass er besonders viele Daten gesammelt hat. Führen Sie zügig durch die vorbereiteten Punkte.

Für jeden Tagesordnungspunkt sollte am Ende einer dieser Zustände stehen:

• zur Kenntnis genommen und als angemessen bewertet,
• Entscheidung getroffen,
• Maßnahme beschlossen,
• zusätzliche Information mit Verantwortlichem und kurzem Termin angefordert,
• Thema bewusst vertagt – ebenfalls mit Begründung und Termin.

Wenn während der Sitzung doch eine Information fehlt, beginnt nicht die große Live-Recherche. Halten Sie fest, wer sie bis wann nachliefert und ob dafür ein kurzer Folgetermin nötig ist. Zehn Menschen beim gemeinsamen Durchsuchen eines Laufwerks zuzusehen, ist keine verantwortungsvolle Nutzung von Leitungszeit.

12. Beschlüsse so protokollieren, dass sie danach noch etwas bedeuten

Das Protokoll muss keine literarische Nacherzählung jedes Wortbeitrags sein. Es muss aber erkennen lassen:

• wann das Review stattfand,
• wer beteiligt war,
• welche erforderlichen Eingaben behandelt wurden,
• wie die Leitung Eignung, Angemessenheit und Wirksamkeit des ISMS bewertete,
• welche Entscheidungen getroffen wurden,
• welche Maßnahmen daraus folgen,
• wer verantwortlich ist und bis wann etwas erledigt sein soll.

„Wurde besprochen“ ist keine belastbare Ergebnisbeschreibung. „Die Geschäftsführung genehmigt zwei zusätzliche Stellen für den Betrieb des SIEM; verantwortlich ist die IT-Leitung, Besetzung bis 31. März“ ist eine.

Auch ein Beschluss, etwas nicht zu verändern, kann sinnvoll sein. Dann sollte erkennbar sein, dass die Leitung den Sachverhalt bewertet und bewusst so entschieden hat.

13. Nach dem Review beginnt die eigentliche Arbeit

Übertragen Sie die beschlossenen Maßnahmen in das System, mit dem Aufgaben im Unternehmen wirklich verfolgt werden. Das kann ein Ticketsystem, ein Maßnahmenregister oder ein anderes geeignetes Werkzeug sein.

Wichtig sind:

• eindeutige Verantwortliche,
• realistische Termine,
• notwendige Ressourcen,
• ein Weg zur Eskalation,
• Prüfung der Wirksamkeit,
• Rückführung in das nächste Management Review.

Das Protokoll darf nicht zum Endlager für Beschlüsse werden. Das Review ist erst dann wirksam, wenn Entscheidungen umgesetzt oder bewusst neu bewertet wurden.

Die Vorbereitung in einer kompakten Checkliste

Vier bis sechs Wochen vorher

• Termin und Teilnehmer bestätigen
• Agenda und Pflichtinhalte festlegen
• Zuarbeiten mit konkreten Fragen und Fristen anfordern
• frühere Beschlüsse und offene Maßnahmen zusammentragen

Zwei bis drei Wochen vorher

• Risikobehandlungsplan auswerten
• Ziele, Kennzahlen, Auditergebnisse und Nichtkonformitäten verdichten
• Veränderungen bei Kontext und interessierten Parteien zusammentragen
• Entscheidungsbedarf identifizieren

Eine Woche vorher

• Entscheidungsvorlagen fertigstellen
• Widersprüche und fehlende Angaben klären
• Unterlagen an die Teilnehmer versenden
• Agenda nach Wichtigkeit und Entscheidungsbedarf priorisieren

Im Termin

• Gesamtbewertung des ISMS herbeiführen
• Entscheidungen und Ressourcen klären
• Verantwortliche und Termine festlegen
• fehlende Informationen nicht gemeinsam recherchieren, sondern gezielt nachfordern

Unmittelbar danach

• Protokoll und Beschlüsse fertigstellen
• Maßnahmen in die operative Verfolgung übernehmen
• Verantwortliche informieren
• Nachverfolgung und Wirksamkeitsprüfung terminieren

Typische Fehler

Gemeinsame Recherche statt vorbereiteter Bewertung

Die Sitzung beginnt mit dem Öffnen verschiedener Tabellen und endet mit der Erkenntnis, dass man die Informationen erst noch zusammentragen muss. Das Management Review war dann die Vorbesprechung für das eigentliche Management Review.

Rohdaten statt Entscheidungsgrundlagen

Der ISB bringt alles mit, was er finden konnte. Die Geschäftsführung darf daraus selbst herausarbeiten, wo ein Problem liegt. Das ist keine neutrale Übergabe, sondern ausgelagerte Vorbereitung.

Kein klarer Entscheidungsbedarf

Es wird ausführlich berichtet, aber nie gesagt, was die Leitung konkret entscheiden soll. Am Ende danken alle für die informative Präsentation und gehen auseinander.

Neue Maßnahmen ohne Blick auf die alten

Jedes Review produziert weitere Aufgaben. Niemand prüft, warum die bisherigen seit Monaten offen sind. So wächst der Maßnahmenfriedhof mit Protokoll und Anwesenheitsliste.

Alles wird gleich ausführlich behandelt

Ein unauffälliger Kennzahlenwert erhält genauso viel Zeit wie ein eskaliertes Risiko. Gute Vorbereitung bedeutet auch, unwichtige Punkte kurz zu halten und Leitungszeit dort einzusetzen, wo eine echte Entscheidung gebraucht wird.

Interesse geweckt?

Ein vorbereitetes Management Review spart nicht nur Zeit. Es verändert die Qualität des Termins. Die Geschäftsführung muss nicht erst verstehen, wo die Unterlagen liegen, sondern kann genau das tun, wofür sie eingeladen wurde: bewerten und entscheiden.

Wenn Sie aus Ihrem Management Review einen brauchbaren Steuerungs- und Entscheidungstermin machen möchten, Sprechen Sie mit uns.

Unser Beitrag zur Verantwortung der Geschäftsführung im ISMS zeigt außerdem, warum die Managementbewertung kein isolierter Pflichttermin, sondern ein sichtbarer Teil echter Führung ist.