PDCA-Zyklus

Der PDCA-Zyklus geht auf den Statistiker Walter A. Shewhart zurück und wurde durch W. Edwards Deming als Modell der fortlaufenden Verbesserung verbreitet. Er beschreibt einen Regelkreis aus vier Phasen: In "Plan" werden Kontext, interessierte Parteien, Anwendungsbereich, Risiken und Ziele bestimmt und daraus Maßnahmen abgeleitet; in "Do" werden die geplanten Maßnahmen, Richtlinien und Prozesse eingeführt und betrieben; in "Check" wird durch Kennzahlen, interne Audits und die Managementbewertung geprüft, ob die Maßnahmen wirksam sind und die Ziele erreicht werden; in "Act" werden Abweichungen korrigiert, Ursachen beseitigt und Verbesserungen in den nächsten Durchlauf zurückgespielt. Für ein ISMS ist dieser Regelkreis der eigentliche Motor: Ohne ihn ist Informationssicherheit ein einmaliges Projekt, mit ihm wird sie ein dauerhaft gesteuerter Managementprozess.

In der Normenwelt ist der Zyklus tief verankert, auch wenn ISO/IEC 27001 in der Fassung von 2022 den Begriff PDCA nicht mehr ausdrücklich vorschreibt. Die harmonisierte Struktur der Managementsystemnormen folgt ihm dennoch erkennbar: Die Abschnitte 4 bis 6 (Kontext der Organisation, Führung, Planung inklusive Risikobeurteilung und Risikobehandlung) bilden die Plan-Phase ab, die Abschnitte 7 und 8 (Unterstützung, Betrieb) die Do-Phase, Abschnitt 9 (Bewertung der Leistung mit Überwachung, Messung, internem Audit und Managementbewertung) die Check-Phase und Abschnitt 10 (Verbesserung mit Nichtkonformität und Korrekturmaßnahmen sowie fortlaufender Verbesserung) die Act-Phase. Der BSI-Standard 200-1 beschreibt den Sicherheitsprozess ebenfalls als Lebenszyklus mit Planung, Umsetzung, Erfolgskontrolle und Optimierung. Wichtig ist dabei, dass der Zyklus nicht nur auf Ebene des Gesamt-ISMS läuft, sondern in kleineren Schleifen auch je Maßnahme, je Sicherheitsvorfall und je Risiko.

Auch das Aufsichtsrecht denkt in Regelkreisen. Die NIS2-Richtlinie (EU) 2022/2555 verlangt in Artikel 21 einen gefahrenübergreifenden, risikobasierten Ansatz und nennt in Absatz 2 Buchstabe f ausdrücklich Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen – also genau die Check-Phase. Die deutsche Umsetzung im BSIG (NIS2UmsuCG) verpflichtet die Geschäftsleitung, die Maßnahmen zu billigen und ihre Umsetzung zu überwachen; die Zeitpläne für einzelne Registrierungs- und Nachweispflichten sind in der Praxis nach wie vor in Bewegung, weshalb Fristen im Einzelfall gegen den aktuellen Stand geprüft werden sollten. In der Praxis scheitert der PDCA-Zyklus selten an "Plan" und "Do", sondern an schwachen Check- und Act-Phasen: Audits werden durchgeführt, aber Feststellungen nicht mit Ursachenanalyse und terminierten Korrekturmaßnahmen abgeschlossen. Ein belastbarer Zyklus braucht daher definierte Verantwortliche, eine feste Taktung, messbare ISMS-Kennzahlen und eine dokumentierte Rückkopplung in die nächste Planungsrunde.