Managementbewertung

Die Managementbewertung (englisch management review) ist der formale Termin, an dem die oberste Leitung einer Organisation das Informationssicherheits-Managementsystem (ISMS) als Ganzes bewertet. ISO/IEC 27001:2022 verlangt in Kapitel 9.3.1, dass dies in geplanten Abständen geschieht, und benennt als Bewertungsmaßstab die fortdauernde Eignung, Angemessenheit und Wirksamkeit des ISMS. Anders als das interne Audit (Kapitel 9.2), das die Konformität einzelner Prozesse prüft, ist die Managementbewertung eine Steuerungsentscheidung: Sie ist der Punkt im PDCA-Zyklus, an dem die Leitung die Verantwortung für das ISMS sichtbar wahrnimmt und über Ressourcen, Ziele und Kurskorrekturen entscheidet. Die Vorbereitung darf delegiert werden, typischerweise an den Informationssicherheitsbeauftragten; die Bewertung und die daraus folgenden Entscheidungen dürfen es nicht. Über die Managementbewertung ist dokumentierte Information als Nachweis aufzubewahren.

Kapitel 9.3.2 schreibt die Eingaben abschließend vor, die in der Bewertung behandelt werden müssen: der Status von Maßnahmen aus vorangegangenen Managementbewertungen, Änderungen bei externen und internen Themen mit Bezug zum ISMS, Änderungen der Erfordernisse und Erwartungen interessierter Parteien, Rückmeldungen zur Informationssicherheitsleistung – dazu zählen Nichtkonformitäten und Korrekturmaßnahmen, Ergebnisse aus Überwachung und Messung, Auditergebnisse sowie die Erfüllung der Informationssicherheitsziele –, Rückmeldungen interessierter Parteien, die Ergebnisse der Risikobeurteilung und der Status des Risikobehandlungsplans sowie Möglichkeiten zur fortlaufenden Verbesserung. Mit der Änderung ISO/IEC 27001:2022/Amd 1:2024 ist zusätzlich zu betrachten, ob der Klimawandel ein relevantes Thema für die Organisation ist; wo das bejaht wird, gehört diese Einschätzung in den Kontext, den die Leitung bewertet. In der Praxis empfiehlt es sich, die Tagesordnung eins zu eins an dieser Liste auszurichten, weil Zertifizierungsauditoren genau daran die Vollständigkeit prüfen.

Die Ergebnisse nach Kapitel 9.3.3 müssen Entscheidungen zu Verbesserungsmöglichkeiten und zu erforderlichen Änderungen am ISMS umfassen – also mehr als eine Kenntnisnahme. Ein belastbares Protokoll benennt daher konkrete Maßnahmen mit Verantwortlichen, Terminen und Budget und verknüpft sie mit der fortlaufenden Verbesserung nach Kapitel 10. Die Norm nennt bewusst kein festes Intervall; üblich und auditsicher ist ein jährlicher Turnus, ergänzt um anlassbezogene Bewertungen nach schwerwiegenden Sicherheitsvorfällen, Fusionen, größeren Architekturänderungen oder neuen regulatorischen Anforderungen. Typische Abweichungen im Zertifizierungsaudit sind eine unvollständige Eingabenliste, ein Protokoll ohne nachvollziehbare Entscheidungen und eine Bewertung, die faktisch vom Sicherheitsbeauftragten statt von der obersten Leitung durchgeführt wurde. Regulatorisch gewinnt der Termin zusätzlich an Gewicht: Nach den Geschäftsleitungspflichten aus der NIS2-Richtlinie und ihrer deutschen Umsetzung müssen Leitungsorgane besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen – die Managementbewertung ist der naheliegende dokumentierte Ort, an dem diese Pflicht erfüllt und nachgewiesen wird.