ISO 27001 Managementbewertung: Was verlangt Abschnitt 9.3?

„Die Geschäftsführung hat das Protokoll unterschrieben.“

Das klingt zunächst beruhigend. Es beantwortet aber noch nicht die entscheidende Frage: Hat die Geschäftsleitung das ISMS (Informationssicherheitsmanagementsystem) tatsächlich bewertet und die notwendigen Entscheidungen getroffen – oder nur ihre Unterschrift unter ein vorbereitetes Dokument gesetzt?

Die Managementbewertung nach ISO 27001 ist kein feierlicher Verwaltungsakt und auch kein Jahresbericht des Informationssicherheitsbeauftragten. Sie ist der Termin, an dem die oberste Leitung beurteilt, ob das ISMS weiterhin geeignet, angemessen und wirksam ist.

Die kurze Antwort

Abschnitt 9.3 der ISO 27001 verlangt, dass die oberste Leitung das ISMS in geplanten Abständen bewertet. Dabei müssen festgelegte Informationen berücksichtigt werden – unter anderem frühere Maßnahmen, Veränderungen im Unternehmen, die Leistung des ISMS, Auditergebnisse, Risiken und Verbesserungsmöglichkeiten.

Am Ende sollen nicht nur Kenntnisnahmen stehen. Die Managementbewertung muss zu nachvollziehbaren Entscheidungen führen, insbesondere zu Verbesserungsmöglichkeiten und notwendigen Änderungen am ISMS.

Ein brauchbarer Nachweis zeigt deshalb drei Dinge:

• Die vorgeschriebenen Themen wurden tatsächlich betrachtet.
• Die Geschäftsleitung hat das ISMS bewertet.
• Entscheidungen, Verantwortlichkeiten und gegebenenfalls Maßnahmen sind nachvollziehbar dokumentiert.

Was ist eine Managementbewertung?

Die Managementbewertung – häufig auch Management Review genannt – ist die regelmäßige Bewertung des Managementsystems durch die oberste Leitung.

Dabei geht es nicht darum, jede einzelne Firewall-Regel oder jede Formulierung in einer Richtlinie zu diskutieren. Die Geschäftsleitung soll aus einer übergeordneten Perspektive beurteilen:

• Passt unser ISMS noch zum Unternehmen und zu seinen Risiken?
• Erreichen wir unsere Informationssicherheitsziele?
• Funktionieren unsere Prozesse und Maßnahmen?
• Wo bestehen Probleme oder Veränderungen?
• Welche Entscheidungen, Ressourcen oder Anpassungen sind erforderlich?

Die Managementbewertung verbindet damit operative Informationen mit echten Leitungsentscheidungen. Genau das unterscheidet ein Managementsystem von einer Dokumentensammlung, die in einem Ordner wohnt und nur bei Audits Tageslicht sieht.

Die Managementbewertung ist nach ISO 27001 Pflicht

Die ISO/IEC 27001 beschreibt die Anforderungen an ein Informationssicherheitsmanagementsystem. Abschnitt 9.3 verlangt in geplanten Abständen eine Managementbewertung.

Vor einer Erstzertifizierung sollte sie vollständig durchgeführt und dokumentiert sein. Zusammen mit dem Internen Audit gehört sie zu den zentralen Nachweisen dafür, dass das ISMS nicht nur aufgebaut wurde, sondern sich bereits selbst überprüft und steuert.

Eine PowerPoint-Präsentation an die Geschäftsführung kann Teil der Managementbewertung sein. Eine weitergeleitete E-Mail mit dem Betreff „Zur Kenntnis“ ist aber noch keine belastbare Bewertung.

Wer ist für die Managementbewertung verantwortlich?

Verantwortlich ist die sog. Oberste Leitung. Wer genau dazu gehört, hängt von der Organisation und dem Geltungsbereich des ISMS ab. In einem kleineren Unternehmen ist das häufig die Geschäftsführung. In größeren Strukturen kann es ein zuständiges Leitungsgremium sein, oder im Zweifelsfall die höchste Führungskraft im Anwendungsbereich des ISMS.

Der Informationssicherheitsbeauftragte kann die Managementbewertung vorbereiten, Daten zusammentragen, den Termin moderieren und einen Vorschlag für das Protokoll erstellen. Er kann der Geschäftsleitung die eigentliche Bewertung aber nicht abnehmen.

Ein Protokoll, das vollständig vom ISB erstellt und anschließend ungelesen unterschrieben wird, erfüllt zwar das beliebte Organisationsziel „Juhu, wir haben eine PDF!“. Den Sinn der Anforderung verfehlt es trotzdem.

Welche Eingaben verlangt ISO 27001 für die Managementbewertung?

ISO 27001 nennt bestimmte Themen, die als Eingaben der Managementbewertung berücksichtigt werden müssen. Sie können die Agenda unmittelbar danach strukturieren.

Status früherer Maßnahmen

Was wurde bei der letzten Managementbewertung beschlossen? Welche Maßnahmen sind abgeschlossen, welche offen und welche haben sich als unwirksam erwiesen?

Ein immer wieder vertagter Punkt verschwindet nicht dadurch, dass er jedes Jahr eine neue Zeilennummer bekommt.

Veränderungen interner und externer Themen

Hat sich das Unternehmen verändert? Neue Produkte, Standorte, Technologien, Dienstleister, gesetzliche Anforderungen, Bedrohungen oder organisatorische Umbauten können Auswirkungen auf das ISMS haben.

Leistung des ISMS

Die Geschäftsleitung benötigt ein verständliches Bild davon, wie das ISMS funktioniert. Dazu gehören insbesondere Entwicklungen und Trends bei

• Nichtkonformitäten und Korrekturmaßnahmen,
• Ergebnissen aus Überwachung und Messung,
• Ergebnissen aus Audits und
• der Erfüllung von Informationssicherheitszielen.

Ein einzelner grüner Statuspunkt mit der Überschrift „Security: läuft“ ist dafür etwas sparsam.

Kennzahlen müssen aber auch nicht künstlich kompliziert sein. Entscheidend ist, dass sie eine sinnvolle Bewertung ermöglichen. Wenn eine Kennzahl seit Monaten außerhalb des Zielbereichs liegt, sollte im Review nicht nur ihre Farbe bestaunt werden.

Rückmeldungen interessierter Parteien

Relevante Rückmeldungen können beispielsweise von Kunden, Mitarbeitern, Aufsichtsbehörden, Lieferanten oder anderen Geschäftspartnern kommen. Dazu zählen Sicherheitsanforderungen, Beschwerden, Auditfeststellungen oder wiederkehrende Fragen aus Kundenprüfungen.

Ein neuer Großkunde mit strengeren Sicherheitsanforderungen kann ebenso relevant sein wie neue regulatorische Vorgaben oder veränderte Erwartungen eines Konzerns.

Nicht jede E-Mail muss auf die Tagesordnung. Wiederkehrende oder wesentliche Rückmeldungen sollten aber erkennbar berücksichtigt werden.

Ergebnisse der Risikobewertung und Status der Risikobehandlung

Welche wesentlichen Informationssicherheitsrisiken bestehen? Haben sich Bewertungen geändert? Werden geplante Maßnahmen umgesetzt? Gibt es überfällige Behandlungen oder Risiken, die von der Leitung bewusst akzeptiert werden müssen?

Die Managementbewertung ist ein guter Ort, um Risikomanagement und Unternehmenssteuerung wieder zusammenzuführen. Risiken gehören nicht ausschließlich in eine Excel-Datei, die nur der ISB versteht.

Möglichkeiten zur fortlaufenden Verbesserung

Wo kann das ISMS wirksamer, verständlicher oder effizienter werden? Verbesserungen müssen nicht immer zusätzliche Dokumente bedeuten. Manchmal ist die beste Verbesserung eine klarere Verantwortung, ein vereinfachter Prozess oder das Abschaffen einer Regel, die ohnehin niemand sinnvoll anwenden kann.

Was muss am Ende herauskommen?

ISO 27001 erwartet als Ergebnisse Entscheidungen zu Möglichkeiten der fortlaufenden Verbesserung und zu einem möglichen Änderungsbedarf am ISMS.

Praktisch können daraus beispielsweise folgende Entscheidungen entstehen:

• zusätzliche Ressourcen für eine Sicherheitsmaßnahme,
• Anpassungen von Informationssicherheitszielen,
• Änderungen an Prozessen, Rollen oder Richtlinien,
• eine erneute oder angepasste Risikobehandlung,
• Priorisierung überfälliger Korrekturmaßnahmen,
• Änderungen am Geltungsbereich oder
• die bewusste Bestätigung, dass bestimmte Elemente unverändert angemessen sind.

Nicht jeder Tagesordnungspunkt braucht eine neue Maßnahme. Es muss aber erkennbar sein, zu welcher Bewertung die Leitung gelangt ist. „Wurde besprochen“ klingt super, ist aber keine Entscheidung und schon lange kein TODO, das jemand anpacken kann.

Wie oft muss eine Managementbewertung stattfinden?

ISO 27001 nennt keine starre jährliche Frequenz. Sie verlangt eine Bewertung in geplanten Abständen.

Eine jährliche vollständige Managementbewertung ist in vielen Unternehmen üblich und für ein überschaubares ISMS häufig sinnvoll. Bei starken Veränderungen, hohen Risiken oder Problemen kann eine häufigere Bewertung notwendig sein. Andere Unternehmen verteilen die vorgeschriebenen Themen auf mehrere Leitungstermine im Jahr.

Das ist grundsätzlich möglich, solange

• alle notwendigen Eingaben abgedeckt werden,
• die Zusammenhänge erkennbar bleiben,
• die oberste Leitung tatsächlich bewertet und entscheidet und
• die Ergebnisse nachvollziehbar dokumentiert sind.

Ein Audit sollte nicht erst die archäologische Rekonstruktion mehrerer Kalendertermine erfordern, um herauszufinden, ob vielleicht irgendwo eine Managementbewertung stattgefunden hat.

So läuft eine Managementbewertung praktisch ab

Ein schlanker Ablauf kann so aussehen:

1. Termin und Verantwortlichkeiten planen: Legen Sie fest, wann die Bewertung stattfindet, wer teilnimmt und wer die erforderlichen Informationen vorbereitet.
2. Eingaben zusammentragen: Frühere Maßnahmen, Änderungen, Kennzahlen, Ziele, Auditergebnisse, Risiken und Rückmeldungen werden in einer kompakten Vorlage zusammengeführt.
3. Wesentliche Entwicklungen herausarbeiten: Die Leitung braucht nicht jede Rohdatei, sondern die Informationen, die eine fundierte Bewertung ermöglichen.
4. Bewertung durchführen: Die Geschäftsleitung diskutiert Eignung, Angemessenheit und Wirksamkeit des ISMS und hinterfragt auffällige Entwicklungen.
5. Entscheidungen treffen: Notwendige Änderungen, Prioritäten, Ressourcen und Verbesserungen werden festgelegt.
6. Ergebnisse dokumentieren: Protokollieren Sie Bewertungen, Entscheidungen, Maßnahmen, Verantwortliche und Termine.
7. Maßnahmen nachverfolgen: Beschlüsse werden nicht bis zur nächsten Managementbewertung dekorativ aufbewahrt, sondern umgesetzt und überwacht.

Geeignete ISO-27001-Vorlagen können die Agenda und Dokumentation erleichtern. Die Vorlage nimmt der Leitung aber weder die Diskussion noch die Entscheidung ab.

Wie muss die Managementbewertung dokumentiert werden?

Die Organisation muss dokumentierte Informationen als Nachweis über die Ergebnisse der Managementbewertung aufbewahren.

Die Norm schreibt kein bestimmtes Dateiformat und auch kein 40-seitiges Protokoll vor. Ein kompaktes Dokument, eine nachvollziehbare Präsentation mit Beschlüssen oder ein sauber geführtes System können ausreichen.

Der Nachweis sollte mindestens erkennen lassen:

• wann die Bewertung stattgefunden hat,
• wer beteiligt war,
• welche erforderlichen Eingaben betrachtet wurden,
• wie die Leitung das ISMS bewertet hat,
• welche Entscheidungen getroffen wurden und
• welche Maßnahmen mit Verantwortlichkeiten und Terminen entstanden sind.

Unterschriften können sinnvoll sein. Sie ersetzen aber keinen Inhalt.

Internes Audit und Managementbewertung: nicht dasselbe

Das Interne Audit prüft systematisch und objektiv, ob das ISMS Anforderungen erfüllt, umgesetzt ist und wirksam funktioniert. Die Managementbewertung nutzt unter anderem Auditergebnisse, um daraus eine übergeordnete Leitungsbewertung und Entscheidungen abzuleiten.

Vereinfacht gesagt:

• Das Interne Audit liefert Feststellungen und Nachweise.
• Die Managementbewertung betrachtet das Gesamtbild und entscheidet.

Deshalb ersetzt das eine nicht das andere. Ein ausführlicher Auditbericht ist noch keine Managementbewertung. Und ein Managementprotokoll beweist nicht, dass ein Internes Audit durchgeführt wurde.

Wer sollte teilnehmen?

Die oberste Leitung muss beteiligt sein. Zusätzlich können je nach Unternehmen und Themen unter anderem teilnehmen:

• Informationssicherheitsbeauftragte,
• Verantwortliche für IT und Technik,
• Prozess- oder Bereichsverantwortliche,
• Datenschutzbeauftragte,
• Risikoverantwortliche,
• Personalverantwortliche oder
• weitere Fachpersonen für einzelne Tagesordnungspunkte.

Eine Teilnehmerliste mit möglichst vielen Namen macht die Bewertung nicht automatisch besser. Entscheidend ist, dass die richtigen Informationen und Entscheidungsträger zusammenkommen.

Typische Fehler bei der Managementbewertung

Die Geschäftsleitung war faktisch nicht beteiligt

Der ISB erstellt das gesamte Review allein und holt nachträglich eine Unterschrift ein. Im Audit kann niemand aus der Leitung erklären, was bewertet oder entschieden wurde.

Pflichtinhalte fehlen

Das Protokoll enthält nur allgemeine Aussagen zur Sicherheitslage. Frühere Maßnahmen, Auditergebnisse, Ziele, Risiken oder Verbesserungsmöglichkeiten fehlen.

Es gibt Informationen, aber keine Bewertung

Zehn Seiten Kennzahlen werden präsentiert. Ob das ISMS geeignet, angemessen und wirksam ist, bleibt offen.

Es gibt Bewertungen, aber keine Entscheidungen

Probleme werden erkannt, aber weder Verantwortlichkeiten noch Termine oder Ressourcen festgelegt.

Das Review kommt zu spät

Die Managementbewertung wird am Abend vorm Stage 1-Audit eilig zusammengeschrieben. Damit fehlt häufig nicht nur Qualität, sondern auch die Zeit, erkannte Probleme vor dem Zertifizierungsaudit zu bearbeiten.

Frühere Maßnahmen werden vergessen

Jede Bewertung produziert neue Beschlüsse, ohne den Status der alten zu prüfen. Das ist weniger kontinuierliche Verbesserung als kontinuierliche Ablage.

Was will der Zertifizierungsauditor sehen?

Ein Zertifizierungsauditor will nachvollziehen können, dass die oberste Leitung ihr ISMS ernsthaft bewertet hat. Typischerweise schaut er darauf,

• ob die Managementbewertung geplant und durchgeführt wurde,
• ob die geforderten Eingaben erkennbar berücksichtigt wurden,
• ob die Leitung beteiligt war und das Ergebnis versteht,
• ob Eignung, Angemessenheit und Wirksamkeit bewertet wurden,
• ob Entscheidungen und notwendige Änderungen dokumentiert sind und
• ob daraus entstandene Maßnahmen nachverfolgt werden.

Wenn wesentliche Eingaben fehlen, die Leitung nicht beteiligt war oder keine belastbaren Ergebnisse vorliegen, kann daraus im Zertifizierungsaudit eine Nichtkonformität entstehen.

Eine perfekte Inszenierung erwartet niemand. Ein Protokoll, das zu jedem Pflichtpunkt „keine Änderung“ behauptet, obwohl Auditfeststellungen, verfehlte Ziele und überfällige Risiken existieren, wirft allerdings nachvollziehbare Fragen auf.

Interesse geweckt?

Wenn Sie Ihre Managementbewertung im Rahmen einer ISO-27001-Zertifizierung sinnvoll vorbereiten, moderieren oder auditfest dokumentieren wollen, dann Sprechen Sie mit uns.