Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

Managementbewertung vorbereiten und dokumentieren

Aktuelle ISMS-Eingaben für die Geschäftsleitung zusammenführen, ihre tatsächliche Bewertung und Entscheidungen festhalten und Folgearbeiten im vorhandenen Bestand verfolgen.

Verantwortlich: Geschäftsleitung mit vorbereitender ISMS-VerantwortungFachlich geprüft am

Vorhandene Unterlagen nutzen

Verwende Handbuch Kapitel 9 und die vorhandenen Risiken, Ziele, Auditberichte und Aufgabenstände. Ein geeigneter bestehender Leitungsvorgang ersetzt die Ergebnisvorlage vollständig.

Was du konkret tun musst

  1. 1

    Termin und führenden Ergebnisbestand festlegen

    Plane passende Abstände, die vorbereitende Verantwortung und die tatsächlich beteiligte Geschäftsleitung. Lege fest, wo die Bewertung und ihre Ergebnisse erhalten bleiben. Nutze die Vorlage nur, wenn ein vorhandener Leitungsvorgang diese Angaben nicht bereits führt.

  2. 2

    Eingaben am aktuellen Stand beurteilen

    Führe den Stand früherer Beschlüsse, Änderungen von Kontext und relevanten Erwartungen sowie die Entwicklung der Informationssicherheitsleistung zusammen. Dazu gehören Abweichungen und Korrekturmaßnahmen, Messungen, Auditergebnisse und Zielerreichung. Beziehe außerdem Rückmeldungen interessierter Parteien, Risikobeurteilung und Behandlungsplan sowie Verbesserungsmöglichkeiten ein. Verweise auf die führenden Bestände und bewerte deren Entwicklung, statt sie abzuschreiben.

  3. 3

    Leitungsergebnisse festhalten und weiterführen

    Die Geschäftsleitung beurteilt die fortbestehende Eignung, Angemessenheit und Wirksamkeit des ISMS. Halte ihre Entscheidungen zu Verbesserungen und nötigen Änderungen fest. Verknüpfe beschlossene Arbeiten mit Verantwortung und Termin im vorhandenen Aufgabenbestand; kläre benötigte Mittel. Nimm den Stand in die nächste Bewertung auf. Die Behandlung von Abweichungen bleibt im führenden Handbuchablauf.

Praxisbeispiel

Ein Sicherheitsziel bleibt unter dem vereinbarten Stand

Fiktives Beispiel: Die aktuelle Auswertung zeigt, dass ein Teil der geplanten Rechteprüfungen noch offen ist. Audit und Risikoregister liefern den betroffenen Kontext.

Eingabe und Beurteilung
FestlegungDie Leitung betrachtet Messstand, Auswirkungen und bisherige Abhilfen gemeinsam mit den aktuellen Risiko- und Auditinformationen.
NachweisBezeichnete Quellen und ihre tatsächliche Auswertung im Ergebnisbestand.
Beschluss und Folgebezug
FestlegungDie Leitung beschließt eine geänderte Zuständigkeit und stellt die erforderliche Kapazität bereit. Die Arbeit wird im bestehenden Vorgang verfolgt.
NachweisLeitungsentscheidung mit Verantwortung, Termin und Bezug zur nächsten Bewertung.

Ergebnis festhalten

  • Bewertungszeitraum, tatsächliche Beteiligung der Geschäftsleitung und nachvollziehbar beurteilte Eingaben.
  • Dokumentierte Leitungsergebnisse zu Verbesserungen und nötigen Änderungen sowie Bezug auf beschlossene Folgearbeiten.

Häufige Fehler bei der Umsetzung

Eine Sammlung von Links als Bewertung ausgeben

Die Quellen müssen ausgewertet werden. Halte fest, was die Leitung daraus über das ISMS schließt und entscheidet.

Die Geschäftsleitung durch einen Toolstatus ersetzen

Ein Status, eine Agenda oder ein Dashboard ist kein Nachweis der tatsächlichen Managementbewertung.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen

  • ISO/IEC 27001 · 9.3.1

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Aufzeichnung benennt Bewertungsdatum, betrachteten Zeitraum und tatsächlich beteiligte Geschäftsleitung. Sie bereitet das begründete Urteil zu fortbestehender Eignung Angemessenheit und Wirksamkeit vor. Passende geplante Intervalle und die tatsächliche Bewertung durch die Leitung müssen organisatorisch sichergestellt werden.

    Referenz

  • ISO/IEC 27001 · 9.3.2

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Sieben Eingabegruppen verbinden die führenden Informationsstände mit ihrer Auswertung. Die Leistungsentwicklung umfasst ausdrücklich Abweichungen und Korrekturmaßnahmen, Überwachung und Messung, Auditergebnisse sowie die Zielerreichung. Der Anwender muss die tatsächlich relevanten Eingaben vollständig beschaffen, ihre Entwicklungen bewerten und den betrachteten Stand wiederauffindbar erhalten; eine Linkliste allein genügt nicht.

    Referenz

  • ISO/IEC 27001 · 9.3.3

    ISO/IEC 27001:2022 + Amd 1:2024 · Unterstützender Beitrag

    Die Ergebnisfelder erfassen Leitungsentscheidungen zu Verbesserungsmöglichkeiten und nötigen ISMS-Änderungen sowie den Bezug zu beschlossenen Arbeiten. Der Abschluss hält den Ergebnisstand und die beteiligte Leitung nachvollziehbar. Tatsächliche Entscheidungen, angemessene Dokumentenlenkung und die Umsetzung der Folgearbeiten bleiben beim Anwender.

    Referenz

Vorlagen für die Umsetzung

Quellen und weiterführende Informationen