Ist ein Management-Review nur ein Statusbericht?

Nein. Die Leitung bewertet die ISMS-Arbeit und entscheidet über nötige Änderungen. Berichte liefern die Grundlage; Beschlüsse, Verantwortliche und Folgeschritte machen das Ergebnis nutzbar.

Wie dokumentieren wir eine vertagte Entscheidung?

Haltet die fehlende Information, den Klärungsauftrag, eine verantwortliche Person und einen neuen Entscheidungstermin fest. Eine Vertagung ist keine Freigabe.

Erstellt Kopexa die Managemententscheidung automatisch?

Nein. Ziele, KPIs, Maßnahmen und Nachweise unterstützen die Vorbereitung. Die fachliche Bewertung und Entscheidung bleiben bei den verantwortlichen Menschen.

ISMS-Management-Review: Wie bereitest du Entscheidungen vor?

Ein gutes ISMS-Management-Review endet mit Entscheidungen: Was ändern wir? Welche Ressourcen geben wir frei? Wer übernimmt den nächsten Schritt? Ein Bericht über erledigte Aufgaben ist dafür ein Eingang, aber noch kein Ergebnis. Wie diese Leitungsperspektive in den gesamten Sicherheitsprozess passt, erklärt unser ISMS-Leitfaden.

Dieser Leitfaden zeigt, wie du vorhandene Berichte zu einer Entscheidungsvorlage verdichtest. Die vorgeschlagene Struktur ist eine Arbeitshilfe, keine vollständige Norm-Checkliste.

Was muss die Leitung entscheiden können?

Das Management-Review betrachtet, ob euer ISMS zum Unternehmen passt und wirksam arbeitet. Die EASA ordnet diese Bewertung in ihrer Gegenüberstellung mit ISO 27001 ausdrücklich der Leitungsperspektive zu. Risikobewertungen und der Stand der Risikobehandlung gehören dabei zu den relevanten Eingängen. Die luftfahrtspezifischen Zusatzanforderungen aus Part-IS lassen sich daraus nicht auf alle Unternehmen übertragen. EASA, Appendix IV

Für eure Vorbereitung heißt das: Berichte müssen erkennen lassen, wo eine Entscheidung fehlt. „Vier Maßnahmen überfällig“ lässt offen, ob Personal fehlt, eine Abhängigkeit blockiert oder die Priorität falsch gesetzt ist.

Formuliere stattdessen: „Der Wiederherstellungstest für den Kundenservice ist verschoben, weil dieselbe Person die Migration betreut. Wir brauchen eine Entscheidung zur Kapazität und zum Umgang mit der offenen Unsicherheit.“

Sammle Eingänge mit einer konkreten Prüffrage

Lege einen Berichtszeitraum und einen Datenstand fest. Verlinke die Originalunterlagen, statt sie vollständig in Folien zu kopieren. Die folgende Auswahl hilft bei der Vorbereitung; ergänzt sie um die für euer ISMS geltenden Anforderungen.

Eingang	Frage für die Vorbereitung
Beschlüsse des letzten Reviews	Was wurde umgesetzt, was blieb offen und warum?
Sicherheitsziele und Kennzahlen	Wo weicht das Ergebnis vom Ziel ab? Ist die Messung belastbar?
Risiken und Maßnahmen	Welche Behandlung scheitert an Priorität, Zuständigkeit oder Ressourcen?
Audits und Vorfälle	Welche Ursachen treten wiederholt auf?
Änderungen im Unternehmen	Passen Geltungsbereich und Vorgehen noch zu Leistungen, Standorten und Abhängigkeiten?
Rückmeldungen relevanter Beteiligter	Welche Erwartungen wurden neu gestellt oder nicht erfüllt?

Kennzeichne Lücken. Wenn ein Bericht veraltet ist oder einen wichtigen Standort auslässt, darf eine grüne Gesamtbewertung diese Unsicherheit nicht verdecken. Prüft deshalb auch, ob eure ISMS-Nachweise noch aktuell und für die jeweilige Frage geeignet sind.

NIST CSF 2.0 verbindet die Bewertung der Sicherheitsarbeit mit Anpassungen an der Risikostrategie. Das Framework behandelt außerdem klare Zuständigkeiten und angemessene Ressourcen als Teil der Governance. Das stützt einen Review, der zu Entscheidungen führt. NIST CSF 2.0, GV.OV und GV.RR

Schreibe pro Entscheidung eine kurze Vorlage

Eine Entscheidungsvorlage braucht sechs Angaben:

Befund: Was ist belegt, aus welcher Quelle und von wann?
Auswirkung: Welcher Geschäftsprozess oder Informationswert ist betroffen?
Optionen: Welche realistischen Wege stehen offen?
Empfehlung: Welchen Weg schlägt die fachlich verantwortliche Person vor?
Ressourcen: Welche Arbeitszeit, welches Budget oder welche Unterstützung fehlt?
Beschlussbedarf: Wer muss worüber bis wann entscheiden?

Trenne den empfohlenen Weg vom tatsächlichen Beschluss. „Budget beantragt“ ist keine Freigabe. „Risiko besprochen“ ist keine dokumentierte Risikoentscheidung. Soll ein Restrisiko akzeptiert werden, braucht ihr eine begründete Risikoakzeptanz mit Verantwortlichen und Prüfanlass.

Beispiel: Ein Test fehlt, die Terminliste ist trotzdem grün

Fiktiver Fall: Ein IT-Dienstleister hat neue Sicherungen eingerichtet. Die Maßnahme ist als umgesetzt markiert. Ein Wiederherstellungstest unter den Bedingungen des Kundenservice fehlt jedoch.

Die Vorlage hält fest: Die Einrichtung ist belegt, die Wiederherstellbarkeit im benötigten Umfang noch nicht. Zur Wahl stehen ein priorisierter Test mit reservierter Kapazität oder eine begründete Verschiebung mit geklärter Verantwortung für das verbleibende Risiko. Eine bloße Änderung des Fälligkeitsdatums beantwortet diese Frage nicht.

Die Leitung entscheidet im Beispiel, Kapazität für den Test freizugeben. Der Betriebsverantwortliche plant ihn. Das Ergebnis wird an der Maßnahme dokumentiert und fachlich bewertet. Erst danach lässt sich beurteilen, ob weitere Behandlung nötig ist.

Dieses Beispiel liefert keine pauschale Vorgabe für Testfrequenzen oder akzeptable Ausfallzeiten. Die ergeben sich aus eurem Bedarf und euren Anforderungen.

Halte Beschlüsse so fest, dass jemand weiterarbeiten kann

Diese Zeile kannst du als Beschlussvorlage übernehmen. Trage den Beschluss erst nach der tatsächlichen Entscheidung ein.

Thema	Sachstand und Beleg	Entscheidung erforderlich	Optionen	Beschluss	Verantwortlich	Folgetermin
Wiederherstellung des Kundenservice	Sicherung eingerichtet; Testprotokoll fehlt	Kapazität und Umgang mit offener Unsicherheit klären	Test priorisieren oder Verschiebung begründen	Nach Entscheidung ausfüllen	Zuständige Person benennen	Termin und erwartetes Prüfergebnis festlegen

Ein brauchbarer Beschluss enthält Entscheidung, Begründung, verantwortliche Person, Termin und das erwartete Prüfergebnis. Bei einer Vertagung braucht ihr zusätzlich einen Klärungsauftrag und einen neuen Entscheidungstermin.

Verknüpfe das Protokoll mit den betroffenen Aufgaben. So erkennt ihr beim nächsten Review, ob die Entscheidung umgesetzt wurde und welches Ergebnis sie hatte. Eine vollständig abgearbeitete Aufgabenliste genügt nicht, wenn das ursprüngliche Problem bestehen bleibt.

Bei Kennzahlen hilft der Unterschied zwischen Aktivität und Wirkung: Die Anzahl erledigter Tests beschreibt Arbeit. Ob kritische Leistungen tatsächlich wiederhergestellt werden konnten, beschreibt ein Ergebnis. Mehr dazu im Beitrag zu ISMS-Kennzahlen.

Wie Kopexa die Vorbereitung unterstützt

In Kopexa könnt ihr Ziele und KPIs führen und Kennzahlen über die API aktualisieren. In der Maßnahmenverwaltung tragen Maßnahmen die zugehörigen Nachweise und werden auf Controls gemappt. Diese Zusammenhänge helfen euch, für einen Befund die Umsetzung und Belege zusammenzuführen.

Die Bewertung bleibt eure Aufgabe: Welche Abweichung ist relevant? Welche Ressource braucht ihr? Welche Entscheidung trifft die Leitung? Eine aktuelle Kennzahl beantwortet diese Fragen nicht automatisch.

Vor dem Termin prüfen

Kann die Leitung aus der Vorlage eine Entscheidung treffen, ohne erst die Datenlage rekonstruieren zu müssen? Sind offene Unsicherheiten sichtbar? Gibt es für jeden Beschluss eine Person, einen Termin und ein prüfbares Ergebnis?

Wenn diese Angaben fehlen, ergänze die Vorlage. Mehr Folien lösen das Problem nicht.