ISO 27001 Management Review: Bewertung und Leitungsentscheidungen
Das ISMS aus Sicht der Unternehmensleitung bewerten
Das Management Review dient dazu, den Zustand des ISMS einzuordnen und daraus Leitungsentscheidungen abzuleiten. Es sollte zeigen, ob das System zu den aktuellen Anforderungen passt, ausreichend unterstützt wird und die vorgesehenen Ergebnisse erreicht.
Die Bewertung ist deshalb mehr als ein Statusbericht der IT. Auch Veränderungen im Geschäft, neue Dienstleistungen, Rückmeldungen und notwendige Ressourcen können für die Leitung relevant sein.
Informationen entscheidungsfähig aufbereiten
Eine hilfreiche Vorbereitung fasst unter anderem folgende Themen zusammen:
- Stand früherer Entscheidungen und offener Maßnahmen;
- wesentliche Veränderungen und deren Auswirkungen;
- Ergebnisse aus Audits, Kontrollen und Sicherheitsvorfällen;
- Entwicklung wichtiger Risiken und Sicherheitsziele;
- Engpässe sowie Vorschläge für Verbesserungen.
Die Informationen sollten bewertet werden. Eine Kennzahl ohne Bezugsgröße oder Erklärung kann die Lage verschleiern. Bei einer gestiegenen Zahl gemeldeter Vorfälle ist beispielsweise zu klären, ob mehr Ereignisse auftreten oder ob Meldungen inzwischen zuverlässiger erfasst werden.
Entscheidungen und Zuständigkeiten festhalten
Beispiel: Kritische Maßnahmen bleiben wiederholt liegen, weil dieselben Fachkräfte im Kundenbetrieb gebunden sind. Das Review sollte diesen Konflikt nicht nur protokollieren. Die Leitung entscheidet über Prioritäten, zusätzliche Kapazität oder einen geänderten Plan. Für die Umsetzung werden Verantwortliche und Termine benannt.
Auch die bewusste Entscheidung, einen Vorschlag vorerst nicht umzusetzen, muss nachvollziehbar sein. Ihre Auswirkungen auf Risiken und Ziele gehören in die Bewertung.
Die nächste Bewertung anschlussfähig machen
Ein brauchbares Ergebnisprotokoll hält die wesentlichen Schlussfolgerungen, Beschlüsse und Folgeaufgaben fest. Im nächsten Review wird ihr Stand wieder aufgegriffen. So entsteht eine erkennbare Verbindung zwischen Erkenntnissen aus dem Betrieb und der Steuerung durch die Unternehmensleitung.
Eine Entscheidungsvorlage statt einer Kennzahlensammlung
Für jeden wesentlichen Punkt kann die Vorlage für das Management Review fünf Angaben enthalten: Beobachtung, Bedeutung für das Geschäft, Handlungsoptionen, benötigte Entscheidung und zuständige Person. Hinzu kommt die Wiedervorlage, wenn die Entscheidung später überprüft werden soll.
Beispiel: Wiederherstellungstests dauern länger als für einen wichtigen Dienst vorgesehen. Die Vorlage nennt den betroffenen Dienst, die gemessene Abweichung und die möglichen Folgen. Als Optionen werden technische Verbesserungen, ein geänderter Ablauf oder eine begründete Anpassung der Zielsetzung bewertet. Die Leitung entscheidet über Ressourcen und das weitere Vorgehen.
Ein Vermerk wie „Backup besprochen“ hält diese Entscheidung nicht ausreichend fest. Ein nachvollziehbarer Beschluss zeigt dagegen, was geändert werden soll und woran die nächste Bewertung anknüpft.
Damit Beschlüsse umgesetzt werden können, müssen Verantwortlichkeiten und Entscheidungsrechte festgelegt sein. Konkrete Verbesserungen werden anschließend im ISMS-Maßnahmenplan mit Ergebnisnachweis verfolgt.
Quellen und fachliche Grundlagen
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik