PDCA-Zyklus
Der PDCA-Zyklus (Plan-Do-Check-Act) ist das vierstufige Regelkreismodell, mit dem ein Informationssicherheits-Managementsystem geplant, umgesetzt, überprüft und fortlaufend verbessert wird.
Der PDCA-Zyklus geht auf den Statistiker Walter A. Shewhart zurück und wurde durch W. Edwards Deming als Modell der fortlaufenden Verbesserung verbreitet. Er beschreibt einen Regelkreis aus vier Phasen: In "Plan" werden Kontext, interessierte Parteien, Anwendungsbereich, Risiken und Ziele bestimmt und daraus Maßnahmen abgeleitet; in "Do" werden die geplanten Maßnahmen, Richtlinien und Prozesse eingeführt und betrieben; in "Check" wird durch Kennzahlen, interne Audits und die Managementbewertung geprüft, ob die Maßnahmen wirksam sind und die Ziele erreicht werden; in "Act" werden Abweichungen korrigiert, Ursachen beseitigt und Verbesserungen in den nächsten Durchlauf zurückgespielt. Für ein ISMS ist dieser Regelkreis der eigentliche Motor: Ohne ihn ist Informationssicherheit ein einmaliges Projekt, mit ihm wird sie ein dauerhaft gesteuerter Managementprozess.
In der Normenwelt ist der Zyklus tief verankert, auch wenn ISO/IEC 27001 in der Fassung von 2022 den Begriff PDCA nicht mehr ausdrücklich vorschreibt. Die harmonisierte Struktur der Managementsystemnormen folgt ihm dennoch erkennbar: Die Abschnitte 4 bis 6 (Kontext der Organisation, Führung, Planung inklusive Risikobeurteilung und Risikobehandlung) bilden die Plan-Phase ab, die Abschnitte 7 und 8 (Unterstützung, Betrieb) die Do-Phase, Abschnitt 9 (Bewertung der Leistung mit Überwachung, Messung, internem Audit und Managementbewertung) die Check-Phase und Abschnitt 10 (Verbesserung mit Nichtkonformität und Korrekturmaßnahmen sowie fortlaufender Verbesserung) die Act-Phase. Der BSI-Standard 200-1 beschreibt den Sicherheitsprozess ebenfalls als Lebenszyklus mit Planung, Umsetzung, Erfolgskontrolle und Optimierung. Wichtig ist dabei, dass der Zyklus nicht nur auf Ebene des Gesamt-ISMS läuft, sondern in kleineren Schleifen auch je Maßnahme, je Sicherheitsvorfall und je Risiko.
Auch das Aufsichtsrecht denkt in Regelkreisen. Die NIS2-Richtlinie (EU) 2022/2555 verlangt in Artikel 21 einen gefahrenübergreifenden, risikobasierten Ansatz und nennt in Absatz 2 Buchstabe f ausdrücklich Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen – also genau die Check-Phase. Die deutsche Umsetzung im BSIG (NIS2UmsuCG) verpflichtet die Geschäftsleitung, die Maßnahmen zu billigen und ihre Umsetzung zu überwachen; die Zeitpläne für einzelne Registrierungs- und Nachweispflichten sind in der Praxis nach wie vor in Bewegung, weshalb Fristen im Einzelfall gegen den aktuellen Stand geprüft werden sollten. In der Praxis scheitert der PDCA-Zyklus selten an "Plan" und "Do", sondern an schwachen Check- und Act-Phasen: Audits werden durchgeführt, aber Feststellungen nicht mit Ursachenanalyse und terminierten Korrekturmaßnahmen abgeschlossen. Ein belastbarer Zyklus braucht daher definierte Verantwortliche, eine feste Taktung, messbare ISMS-Kennzahlen und eine dokumentierte Rückkopplung in die nächste Planungsrunde.
Rechtliche Grundlage
ISO/IEC 27001:2022, Abschnitte 4–10, insbesondere 9.1–9.3 und 10.1–10.2; ISO/IEC 27002:2022; BSI-Standard 200-1; Art. 21 Abs. 2 lit. f NIS2-Richtlinie (EU) 2022/2555; §§ 30, 38 BSIG (NIS2UmsuCG)
Praxisbeispiel
Ein Maschinenbauunternehmen mit 600 Beschäftigten fällt als wichtige Einrichtung unter NIS2 und betreibt ein ISMS nach ISO/IEC 27001. Die Informationssicherheitsbeauftragte taktet den Zyklus jährlich: In der Plan-Phase aktualisiert sie die Risikobeurteilung nach der Einführung eines neuen Fernwartungszugangs für Anlagen und leitet daraus zwei Ziele ab – Multi-Faktor-Authentifizierung für alle externen Zugänge und ein Patch-Level von 95 Prozent bei kritischen Schwachstellen innerhalb von 14 Tagen. In der Do-Phase werden die Maßnahmen umgesetzt, die Dienstleisterverträge angepasst und die Belegschaft geschult. In der Check-Phase zeigen das interne Audit und die Kennzahlen, dass die MFA steht, der Patch-Wert aber nur bei 78 Prozent liegt, weil Anlagen-PCs im Produktionsnetz nur im Wartungsfenster aktualisiert werden können. In der Act-Phase wird die Ursache dokumentiert, ein zusätzliches Wartungsfenster pro Quartal beschlossen und die Netzwerksegmentierung als kompensierende Maßnahme verstärkt; die Managementbewertung genehmigt die Ressourcen, und das Ziel geht mit angepasstem Messverfahren in den nächsten Durchlauf.
Häufige Fragen
Informationssicherheit nachweisen — mit KI und Ihrem Team
preeco | informationssicherheit deckt ISO 27001 und BSI IT-Grundschutz ab: Schutzbedarfsfeststellung, Maßnahmen, Risiken und Nachweise auditfest dokumentiert. Im unverbindlichen 30-minütigen Beratungsgespräch sehen Sie das System in Aktion.