ISMS · Kontinuierliche Verbesserung
Kontinuierliche Verbesserung (KVP) im ISMS: PDCA in der Praxis
Lesezeit etwa 6 Minuten · Stand November 2026
Kontinuierliche Verbesserung im ISMS bedeutet, die Informationssicherheit systematisch und dauerhaft besser zu machen, statt sie einmal aufzubauen und dann ruhen zu lassen. Der PDCA-Zyklus aus Planen, Umsetzen, Prüfen und Verbessern liefert dafür den Takt. Die ISO/IEC 27001 verlangt diesen Regelkreis in Kapitel 10 als Pflicht, nicht als Kür.
Ein ISMS wird nicht fertig.
Es wird besser oder es verfällt.
Was bedeutet kontinuierliche Verbesserung im ISMS?
Kontinuierliche Verbesserung ist die Pflicht, die Eignung, Angemessenheit und Wirksamkeit des Managementsystems fortlaufend zu steigern. Gemeint ist kein jährliches Großprojekt, sondern ein ständiger Regelkreis, der aus dem laufenden Betrieb gespeist wird. Jeder Audit-Befund, jeder Sicherheitsvorfall und jede Kennzahl, die vom Ziel abweicht, wird zum Anlass, etwas konkret zu verbessern.
Die ISO/IEC 27001 verankert diese Pflicht in Kapitel 10. Sie macht die Verbesserung damit zu einem gleichrangigen Baustein neben Risikoanalyse und Maßnahmen. Ohne gelebten Verbesserungsprozess bleibt ein Informationssicherheits-Managementsystem ein Zustand auf dem Papier, der mit jeder Veränderung in Technik, Organisation oder Bedrohungslage an Wert verliert. Mit dem Prozess wird es ein System, das mitwächst.
Wie funktioniert der PDCA-Zyklus in der Praxis?
Der PDCA-Zyklus übersetzt Verbesserung in 4 wiederkehrende Schritte: Plan, Do, Check und Act. Er ist das Grundmuster jedes Managementsystems und sorgt dafür, dass Ziele gesetzt, umgesetzt, überprüft und nachgeschärft werden. In der Praxis läuft nicht ein großer Zyklus pro Jahr, sondern viele kleine parallel, je nach Thema in eigenem Takt.
| Phase | Bedeutung | Im ISMS konkret |
|---|---|---|
| Plan | Ziele und Maßnahmen festlegen | Risiken bewerten, Maßnahmen und Richtlinien planen |
| Do | Maßnahmen umsetzen | Controls einführen, Mitarbeiter schulen, Prozesse betreiben |
| Check | Wirksamkeit prüfen | interne Audits, Kennzahlen, Managementbewertung |
| Act | nachsteuern | Korrektur- und Verbesserungsmaßnahmen anstoßen |
Entscheidend ist der Übergang von Check zu Act. Viele Organisationen messen und auditieren, ziehen daraus aber keine Konsequenz. Erst wenn aus einem Befund eine terminierte Maßnahme mit Verantwortlichem wird, schließt sich der Kreis. Wie interne Prüfungen diesen Check-Schritt liefern, zeigt der Ratgeber zu den internen ISMS-Audits.
Welche Inputs treiben die Verbesserung an?
Verbesserung entsteht nicht aus dem Nichts, sondern aus konkreten Signalen des laufenden Betriebs. 4 Quellen sind besonders ergiebig: die Ergebnisse interner Audits, die Erkenntnisse aus Sicherheitsvorfällen, die Abweichungen in den Kennzahlen und die Beschlüsse aus der Managementbewertung. Dazu kommen Änderungen in Technik, Organisation oder Bedrohungslage, die neue Risiken sichtbar machen.
Jede dieser Quellen hat einen eigenen Ratgeber: die internen ISMS-Audits decken systematisch Lücken auf, das Incident Management macht aus Vorfällen gelernte Lektionen, die ISMS-Kennzahlen zeigen Abweichungen früh und die Managementbewertung bündelt alles zu Leitungsentscheidungen. Je besser diese Signale erfasst sind, desto gezielter wird verbessert statt nach Bauchgefühl.
Wissen Sie, wo Ihr ISMS heute wirklich steht?
Verbesserung beginnt mit einem ehrlichen Ausgangspunkt. Der Reifegrad-Check ordnet Ihre Informationssicherheit über alle Themenfelder ein und zeigt, wo der nächste Schritt den größten Effekt hat.
Korrekturmaßnahme oder Verbesserung: Was ist der Unterschied?
Die ISO 27001 unterscheidet 2 Richtungen der Verbesserung, die oft verwechselt werden. Eine Korrekturmaßnahme reagiert auf eine Nichtkonformität und beseitigt deren Ursache. Gemeint ist etwas, das nachweislich falsch läuft. Eine Verbesserungsmaßnahme hebt das System auf ein höheres Niveau, obwohl nichts akut defekt ist. Die Norm regelt beides in Kapitel 10: Abschnitt 10.1 fordert die fortlaufende Verbesserung, Abschnitt 10.2 den Umgang mit Nichtkonformitäten und Korrekturmaßnahmen.
| Merkmal | Korrekturmaßnahme (10.2) | Verbesserungsmaßnahme (10.1) |
|---|---|---|
| Auslöser | eine festgestellte Nichtkonformität | eine Chance auf ein besseres Niveau |
| Ziel | die Ursache dauerhaft beseitigen | Eignung und Wirksamkeit steigern |
| Beispiel | fehlende Zugriffsprotokolle nachrüsten | Patch-Prozess von monatlich auf wöchentlich |
Wichtig ist zudem die Unterscheidung zwischen Korrektur und Korrekturmaßnahme. Die Korrektur beseitigt das Symptom sofort, etwa durch das Schließen einer offenen Freigabe. Die Korrekturmaßnahme fragt nach der Ursache, damit derselbe Fehler nicht erneut auftritt. Beide werden über das Maßnahmenmanagement mit Verantwortlichem, Frist und Wirksamkeitskontrolle nachverfolgt.
Wie wird Verbesserung nachweisbar und wiederkehrend?
Ein Verbesserungsprozess wirkt nur, wenn er fest getaktet ist und Spuren hinterlässt. In der Praxis heißt das: feste Termine für Audits und Managementbewertung, ein zentrales Verzeichnis offener Maßnahmen und ein klarer Verantwortlicher je Maßnahme. Jede Entscheidung, etwas zu verbessern oder ein Risiko bewusst zu akzeptieren, wird dokumentiert, damit sie im Audit nachvollziehbar ist.
Der Nachweis ist dabei kein Selbstzweck. Ein Auditor prüft in Stage 2 nicht nur, ob Maßnahmen existieren, sondern ob der Regelkreis lebt, ob also aus Befunden tatsächlich Maßnahmen und daraus Wirkung wird. In VANTARIS laufen Audits, Vorfälle, Kennzahlen und Maßnahmen an einer Stelle zusammen und erzeugen diese Nachweiskette automatisch. So wird aus vielen Einzelaktivitäten ein sichtbarer, zusammenhängender Verbesserungsprozess.
Welche Fehler verhindern echte Verbesserung?
Die häufigsten Fehler sind nicht technischer, sondern organisatorischer Natur. Das ISMS wird einmal zertifiziert und dann sich selbst überlassen. Audits werden abgehakt, ohne dass Befunde zu Maßnahmen werden. Oder Maßnahmen werden gestartet, aber nie auf Wirksamkeit geprüft, sodass niemand weiß, ob das Problem wirklich gelöst ist.
- Der PDCA-Zyklus endet bei Check, der Act-Schritt fehlt.
- Befunde aus Audits und Vorfällen landen in Protokollen statt in Maßnahmen.
- Maßnahmen haben keinen Verantwortlichen oder keine Frist.
- Wirksamkeit wird nie gemessen, die Verbesserung bleibt Behauptung.
- Verbesserung passiert nur vor dem Audit, nicht im laufenden Betrieb.
Diesen Mustern ist gemeinsam, dass der Regelkreis an einer Stelle reißt. Ein zentrales Werkzeug hält ihn geschlossen: In VANTARIS ist jeder Befund mit einer Maßnahme, jede Maßnahme mit einem Verantwortlichen und jede Wirksamkeitskontrolle mit einem Nachweis verbunden. So lässt sich die kontinuierliche Verbesserung nicht nur behaupten, sondern belegen.
Den Regelkreis an einer Stelle schließen
In VANTARIS werden Audits, Vorfälle, Kennzahlen und Maßnahmen verknüpft, sodass aus jedem Befund eine nachverfolgbare Maßnahme wird. Die Demo zeigt, wie der Nachweis für den Verbesserungsprozess nebenbei entsteht.
Häufige Fragen zur kontinuierlichen Verbesserung
Was ist der Unterschied zwischen KVP und PDCA?
KVP steht für den kontinuierlichen Verbesserungsprozess, also das Prinzip der ständigen Verbesserung. PDCA aus Plan, Do, Check und Act ist die Methode, mit der dieses Prinzip umgesetzt wird. KVP beschreibt das Ziel, PDCA den Weg. Im ISMS greifen beide ineinander und bilden den Regelkreis des Managementsystems.
Wo verlangt die ISO 27001 die kontinuierliche Verbesserung?
Die ISO/IEC 27001 widmet der Verbesserung das gesamte Kapitel 10. Abschnitt 10.1 fordert die fortlaufende Verbesserung von Eignung, Angemessenheit und Wirksamkeit des ISMS. Abschnitt 10.2 regelt den Umgang mit Nichtkonformitäten und die dazugehörigen Korrekturmaßnahmen. Beides zusammen macht den Regelkreis zu einer prüfbaren Pflicht.
Was ist der Unterschied zwischen Korrektur und Korrekturmaßnahme?
Eine Korrektur beseitigt ein Symptom sofort, etwa indem eine offene Berechtigung entzogen wird. Eine Korrekturmaßnahme setzt an der Ursache an, damit derselbe Fehler nicht erneut auftritt. Die ISO 27001 verlangt beides: die schnelle Korrektur und zusätzlich die Ursachenanalyse mit einer dauerhaften Maßnahme.
Wie oft muss ein ISMS verbessert werden?
Kontinuierlich, nicht nur einmal im Jahr. Zwar liefern das jährliche interne Audit und die Managementbewertung feste Impulse, der Regelkreis läuft aber dauerhaft. Jeder Vorfall, jede Abweichung einer Kennzahl und jede relevante Änderung ist ein Anlass zur Verbesserung. Ein starrer Jahresrhythmus allein erfüllt die Anforderung der Norm nicht.
Wer ist für die kontinuierliche Verbesserung verantwortlich?
Die Gesamtverantwortung trägt die Geschäftsleitung, die über die Managementbewertung steuert. Die operative Koordination liegt beim Informationssicherheitsbeauftragten, der Befunde sammelt, Maßnahmen anstößt und ihre Wirksamkeit nachhält. Getragen wird die Verbesserung aber von den Fachbereichen, in denen die Maßnahmen tatsächlich umgesetzt werden.
Braucht ein kleines Unternehmen einen KVP-Prozess?
Ja, in angemessenem Umfang. Auch ein kleines Unternehmen muss aus Vorfällen und Prüfungen lernen und seine Maßnahmen nachhalten. Der Prozess darf schlank sein: eine einfache Maßnahmenliste mit Verantwortlichen und Fristen plus ein fester Termin, an dem Fortschritt und Wirksamkeit besprochen werden, genügt für den Anfang.
Fakten und Quellen auf einen Blick
- Kontinuierliche Verbesserung ist in ISO/IEC 27001 Kapitel 10 verankert: Abschnitt 10.1 fortlaufende Verbesserung, Abschnitt 10.2 Nichtkonformität und Korrekturmaßnahme.
- Methode: der PDCA-Zyklus aus Plan, Do, Check und Act.
- Wichtigste Inputs: interne Audits, Sicherheitsvorfälle, Kennzahlen und Beschlüsse der Managementbewertung.
- Unterschied: Die Korrektur beseitigt das Symptom, die Korrekturmaßnahme die Ursache.
- Quellen: ISO/IEC 27001, Kapitel 10; BSI-Standard 200-1; Stand November 2026.
