ISMS-Steuerung · Managementbewertung
Managementbewertung im ISMS: Ablauf und Vorlage (ISO 27001 Kapitel 9.3)
Lesezeit etwa 6 Minuten · Stand September 2026
Die Managementbewertung ist die regelmäßige Überprüfung des ISMS durch die oberste Leitung. Kapitel 9.3 der ISO 27001 verlangt sie in geplanten Abständen, damit die Führung Wirksamkeit, Risiken und Verbesserungsbedarf bewertet und über Ressourcen entscheidet. Dieser Leitfaden zeigt die Pflicht-Inputs, den Ablauf, die Ergebnisse und eine Vorlage.
Ein ISMS ohne Managementbewertung ist ein Auto ohne Fahrer. Die Technik läuft, aber niemand entscheidet, wohin die Reise geht.
Was ist die Managementbewertung im ISMS?
Die Managementbewertung, im Englischen Management Review, ist die regelmäßige Überprüfung des gesamten Informationssicherheits-Managementsystems (ISMS) durch die oberste Leitung. Sie stellt sicher, dass das System weiterhin geeignet, angemessen und wirksam ist. Vorgeschrieben ist sie in Kapitel 9.3 der ISO/IEC 27001:2022.
Der Kern ist ein bewusster Perspektivwechsel. Während das interne Audit prüft, ob Regeln eingehalten werden, entscheidet die Managementbewertung, ob die Regeln selbst noch die richtigen sind. Sie ist damit kein technischer Termin, sondern das zentrale Führungsinstrument im ISMS. Hier übernimmt die Leitung sichtbar Verantwortung.
Formal verlangt die Norm eine dokumentierte Information als Nachweis. In der Praxis ist das ein Protokoll, das Inputs, Beschlüsse und Maßnahmen festhält. Ohne diesen Nachweis gilt die Anforderung im Audit als nicht erfüllt, selbst wenn die Leitung inhaltlich richtig entschieden hat.
Warum verlangt ISO 27001 eine Managementbewertung?
Weil Informationssicherheit Chefsache ist. Die Norm macht die oberste Leitung ausdrücklich verantwortlich und verlangt, dass sie das ISMS aktiv steuert statt es an die IT zu delegieren. Die Managementbewertung ist der Ort, an dem diese Verantwortung konkret wird.
Inhaltlich schließt die Bewertung den Regelkreis des Managementsystems. Kennzahlen, Auditergebnisse und Vorfälle laufen hier zusammen, werden bewertet und münden in Entscheidungen. So wird aus vielen Einzelaktivitäten eine bewusste Steuerung. Der BSI IT-Grundschutz beschreibt dieselbe Leitungsaufgabe in seinem Standard 200-1 zum ISMS.
Welche Inputs verlangt die Managementbewertung?
Kapitel 9.3.2 der ISO 27001 nennt die Pflicht-Inputs abschließend. Die Leitung muss sie alle betrachten, damit die Bewertung auf Fakten beruht statt auf Bauchgefühl. Die folgende Übersicht fasst die geforderten Themen mit je einem Beispiel zusammen.
| Pflicht-Input (Kapitel 9.3.2) | Beispiel |
|---|---|
| Status früherer Maßnahmen | offene Punkte aus der letzten Bewertung |
| Änderungen im Umfeld | neue Gesetze, neue Systeme, neue Bedrohungen |
| Rückmeldungen zur Sicherheitsleistung | Auditergebnisse, Kennzahlen, Abweichungen, Zielerreichung |
| Rückmeldungen interessierter Parteien | Kunden, Aufsicht, Partner |
| Ergebnisse der Risikobewertung | Status des Risikobehandlungsplans |
| Verbesserungsmöglichkeiten | Vorschläge aus dem Betrieb |
Der wichtigste Block sind die Rückmeldungen zur Informationssicherheitsleistung. Dazu zählen die Ergebnisse aus internen ISMS-Audits, die Kennzahlen aus der Überwachung nach Kapitel 9.1, der Stand der Sicherheitsziele sowie Abweichungen und Vorfälle. Auch die Ergebnisse von Awareness-Maßnahmen wie einer Phishing-Simulation gehören zu dieser Rückmeldung. Ergänzt wird das um die Ergebnisse der Risikoanalyse und den Status des Risikobehandlungsplans.
Kennzahlen als Grundlage statt Bauchgefühl
Eine gute Managementbewertung braucht belastbare Zahlen. Der Reifegrad-Check zeigt in wenigen Minuten, wo Ihr ISMS heute steht und welche Themen als Nächstes auf die Agenda der Leitung gehören.
Wie läuft eine Managementbewertung ab?
Der Ablauf gliedert sich in 3 Phasen: Vorbereitung, Sitzung und Nachverfolgung. In der Vorbereitung tragen die Verantwortlichen die Pflicht-Inputs zusammen und bereiten sie entscheidungsreif auf. Eine gute Vorlage sorgt dafür, dass keine geforderte Kennzahl fehlt.
In der Sitzung selbst bewertet die Leitung die Lage und trifft Entscheidungen. Wichtig ist, dass sie nicht nur Berichte zur Kenntnis nimmt, sondern Prioritäten setzt und Ressourcen zuweist. In der Nachverfolgung werden die Beschlüsse in konkrete Maßnahmen mit Verantwortlichen und Fristen überführt und bis zur nächsten Bewertung nachgehalten.
Welche Ergebnisse muss die Managementbewertung liefern?
Kapitel 9.3.3 verlangt, dass die Bewertung zu Ergebnissen führt. Gefordert sind Entscheidungen zu Verbesserungsmöglichkeiten und zu jedem Änderungsbedarf am ISMS. Eine Bewertung, die nur den Status feststellt, aber nichts entscheidet, erfüllt die Norm nicht.
In der Praxis sind die Ergebnisse konkrete Beschlüsse: zusätzliche Ressourcen, angepasste Ziele, neue oder geänderte Maßnahmen und Vorgaben für den nächsten Zyklus. Jeder Beschluss gehört mit Verantwortlichem und Frist ins Protokoll, damit er nachverfolgbar bleibt. So wird die Bewertung zum Startpunkt der kontinuierlichen Verbesserung.
Wie oft muss die Managementbewertung stattfinden?
Die Norm schreibt keine feste Frequenz vor. Sie verlangt die Bewertung in geplanten Abständen, was in der Praxis mindestens einmal pro Jahr bedeutet. Ein jährlicher Termin ist das Minimum für die Zertifizierung, für eine echte Steuerung ist er aber oft zu selten.
Bewährt hat sich ein kürzerer Takt, etwa quartalsweise, ergänzt um die große Jahresbewertung. So kann die Leitung früher gegensteuern, wenn Kennzahlen kippen oder neue Risiken auftauchen. Anlassbezogene Bewertungen nach schweren Vorfällen oder großen Änderungen ergänzen den festen Rhythmus sinnvoll.
Was gehört in ein Protokoll zur Managementbewertung?
Das Protokoll ist der geforderte Nachweis und zugleich eine praktische Vorlage für die nächste Runde. Es hält fest, wer wann welche Inputs bewertet hat und welche Beschlüsse daraus folgten. Eine klare Struktur macht es auditsicher und wiederverwendbar.
| Abschnitt | Inhalt |
|---|---|
| Teilnehmer und Datum | wer war dabei, wann fand die Bewertung statt |
| Bewertete Inputs | behandelte Kennzahlen, Audits und Berichte |
| Beschlüsse | Entscheidungen mit Begründung |
| Maßnahmen | Aufgabe, Verantwortlicher, Frist |
| Nächster Termin | geplanter Folgetermin |
In VANTARIS entstehen diese Inhalte weitgehend aus dem laufenden Betrieb. Kennzahlen, Auditergebnisse, Risiken und Maßnahmen liegen bereits im System und lassen sich für die Bewertung zusammenführen, statt sie mühsam aus einzelnen Tabellen zusammenzusuchen. Das Protokoll wird so zum Nebenprodukt eines gepflegten ISMS statt zur lästigen Pflichtübung.
Welche Fehler treten bei der Managementbewertung häufig auf?
Der häufigste Fehler ist der Alibi-Termin: Die Leitung nickt vorbereitete Folien ab, ohne wirklich zu bewerten oder zu entscheiden. Dann fehlt der Bewertung ihr Kern und im Audit fällt schnell auf, dass keine echten Beschlüsse entstanden sind.
Zwei weitere Klassiker sind unvollständige Inputs und folgenlose Beschlüsse. Fehlt eine geforderte Kennzahl, beruht die Entscheidung auf Lücken. Werden Beschlüsse nicht in Maßnahmen mit Frist und Verantwortlichem überführt, verpufft die Bewertung. Wer beide Fehler vermeidet, macht aus der Pflichtübung ein echtes Steuerungsinstrument für die Informationssicherheit.
Die Leitung wirksam einbinden
Sie wollen die Managementbewertung von der Pflichtübung zum echten Steuerungstermin machen. Im Strategiegespräch zeigen wir, wie Sie Kennzahlen, Berichte und Beschlüsse so aufbereiten, dass die Leitung fundiert entscheiden kann.
Häufige Fragen zur Managementbewertung
Was ist die Managementbewertung nach ISO 27001?
Die Managementbewertung ist die regelmäßige Überprüfung des ISMS durch die oberste Leitung, gefordert in Kapitel 9.3 der ISO/IEC 27001:2022. Sie bewertet, ob das System weiterhin geeignet, angemessen und wirksam ist. Zugleich trifft sie Entscheidungen über Verbesserungen und Ressourcen.
Wie oft muss eine Managementbewertung stattfinden?
Die Norm verlangt sie in geplanten Abständen, mindestens einmal pro Jahr. Für die Zertifizierung ist der jährliche Termin das Minimum. Für eine echte Steuerung hat sich ein kürzerer Takt bewährt, etwa quartalsweise, ergänzt um anlassbezogene Bewertungen nach schweren Vorfällen oder großen Änderungen.
Welche Inputs sind für die Managementbewertung Pflicht?
Kapitel 9.3.2 nennt sie abschließend: der Status früherer Maßnahmen, Änderungen im internen und externen Umfeld, Rückmeldungen zur Sicherheitsleistung wie Auditergebnisse und Kennzahlen, Rückmeldungen interessierter Parteien, Ergebnisse der Risikobewertung und Verbesserungsmöglichkeiten. Fehlt ein Punkt, ist die Anforderung nicht erfüllt.
Was ist der Unterschied zwischen internem Audit und Managementbewertung?
Das interne Audit prüft auf Fachebene, ob das ISMS die Anforderungen einhält. Es liefert Findings. Die Managementbewertung bewertet auf Leitungsebene die Gesamtlage und trifft Entscheidungen. Das Audit ist ein zentraler Input für die Bewertung, ersetzt sie aber nicht.
Wer nimmt an der Managementbewertung teil?
Verpflichtend ist die oberste Leitung, denn sie trägt die Verantwortung und trifft die Entscheidungen. In der Praxis nehmen zusätzlich der Informationssicherheitsbeauftragte und je nach Thema Verantwortliche aus IT, Datenschutz oder Fachbereichen teil. Sie liefern die Inputs, die Entscheidung bleibt bei der Leitung.
Muss die Managementbewertung dokumentiert werden?
Ja. Die Norm fordert eine dokumentierte Information als Nachweis der Ergebnisse. In der Praxis ist das ein Protokoll mit Teilnehmern, bewerteten Inputs, Beschlüssen und Maßnahmen samt Frist und Verantwortlichem. Ohne diesen Nachweis gilt die Anforderung im Zertifizierungsaudit als nicht erfüllt.
Fakten und Quellen auf einen Blick
| Fakt | Beleg |
|---|---|
| Norm-Anforderung | ISO/IEC 27001:2022, Kapitel 9.3 (Managementbewertung) |
| Pflicht-Inputs | Kapitel 9.3.2 |
| Geforderte Ergebnisse | Kapitel 9.3.3 |
| Frequenz | in geplanten Abständen, mindestens jährlich |
| Verwandte Kapitel | 9.1 Überwachung und Messung, 9.2 internes Audit (iso.org) |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.