ISMS · Maßnahmenmanagement
Maßnahmenmanagement im ISMS: Vom Risiko zur wirksamen Maßnahme
Lesezeit etwa 6 Minuten · Stand September 2026
Maßnahmenmanagement im ISMS ist der Prozess, der aus bewerteten Risiken konkrete Aufgaben macht und ihre Umsetzung bis zur nachgewiesenen Wirksamkeit steuert. Jede Maßnahme erhält einen Verantwortlichen, eine Frist und ein messbares Ziel. So wird aus einer Risikoliste ein gelebtes Managementsystem statt einer Sammlung guter Vorsätze.
Eine Maßnahme ohne Verantwortlichen und Frist ist kein Plan, sondern ein guter Vorsatz.
Was ist Maßnahmenmanagement im ISMS?
Maßnahmenmanagement ist das Bindeglied zwischen der Risikobewertung und der Wirksamkeitskontrolle. Es überführt Entscheidungen aus der Risikobehandlung in konkrete, terminierte Aufgaben und verfolgt sie bis zum Abschluss. Die ISO/IEC 27001 verlangt das an mehreren Stellen: bei der Planung der Risikobehandlung, in der betrieblichen Steuerung und bei der Bewertung der Leistung.
Ohne diesen Prozess bleibt ein ISMS Theorie. Risiken werden zwar erkannt und bewertet, aber nichts ändert sich im Alltag. Erst wenn jede Maßnahme einen Namen, einen Termin und einen messbaren Zielzustand hat, entsteht Steuerung. Der Nachweis darüber ist zugleich das, was Auditoren im Zertifizierungsaudit sehen wollen.
Wie wird aus einem Risiko eine konkrete Maßnahme?
Am Anfang steht ein bewertetes Risiko aus der Risikoanalyse. Übersteigt es die Akzeptanzschwelle, wählt das Unternehmen eine Behandlungsoption und leitet daraus eine oder mehrere Maßnahmen ab. Die passenden Sicherheitsvorkehrungen liefert der Anhang A der Norm. Jede Maßnahme bekommt einen klaren Auftrag: Was wird getan, von wem und bis wann.
Die Grundlage dafür ist eine saubere Bewertung. Wie Sie Risiken systematisch erheben und einstufen, zeigt der Leitfaden zur Risikoanalyse in der Informationssicherheit. Technische Schwächen speisen sich oft aus dem Schwachstellenmanagement nach ISO 27001, dessen Ergebnisse direkt in konkrete Maßnahmen münden.
Wie priorisiert man Maßnahmen nach Kosten und Nutzen?
Nicht jede Maßnahme ist gleich dringend. Die Priorität ergibt sich aus der Höhe des behandelten Risikos, dem erwarteten Nutzen und dem Aufwand für die Umsetzung. Eine einfache Regel hilft: zuerst die Maßnahmen, die mit wenig Aufwand ein hohes Risiko senken. Aufwändige Vorhaben mit geringer Wirkung wandern nach hinten.
| Priorität | Risiko | Aufwand | Vorgehen |
|---|---|---|---|
| Sofort | hoch | gering | umgehend umsetzen, kurze Frist |
| Geplant | hoch | hoch | Projekt aufsetzen, Budget einplanen |
| Nebenbei | mittel | gering | in laufende Aufgaben einbetten |
| Prüfen | niedrig | hoch | Restrisiko bewusst akzeptieren oder zurückstellen |
Diese Einordnung ist keine einmalige Übung. Neue Risiken, veränderte Bedrohungen oder eine gescheiterte Maßnahme verschieben die Reihenfolge. Deshalb gehört die Priorisierung in einen festen Takt und nicht an ein Projektende. Ein guter Maßstab ist die Frage, ob eine Maßnahme das Risiko spürbar senkt oder vor allem Aufwand erzeugt.
Maßnahmen zentral steuern statt in Tabellen verlieren
In VANTARIS hängt jede Maßnahme an ihrem Risiko, hat einen Verantwortlichen, eine Frist und einen Status. Die Demo zeigt, wie Sie den Fortschritt auf einen Blick sehen.
Wer trägt Verantwortung und welche Fristen gelten?
Jede Maßnahme braucht genau einen Verantwortlichen, nicht ein Team und keine Abteilung. Diese Person treibt die Umsetzung, berichtet den Status und meldet Hindernisse früh. Die Frist orientiert sich an der Risikohöhe: Je größer das Risiko, desto kürzer der zulässige Zeitraum. Realistische Termine sind dabei wichtiger als ehrgeizige.
| Status | Bedeutung |
|---|---|
| Offen | Maßnahme definiert, Umsetzung noch nicht begonnen |
| In Umsetzung | Verantwortlicher arbeitet an der Umsetzung, Frist läuft |
| Umgesetzt | Maßnahme abgeschlossen, Wirksamkeit noch nicht bestätigt |
| Wirksam | Umsetzung nachgewiesen wirksam, Risiko gesenkt |
| Überfällig | Frist überschritten, Eskalation an die Leitung |
Wichtig ist ein ehrlicher Umgang mit Verzug. Eine überfällige Maßnahme ist kein Makel, sondern ein Signal. Vielleicht war die Frist zu knapp, das Risiko höher als gedacht oder die Ressourcen fehlten. Wird der Verzug früh sichtbar und begründet, lässt er sich steuern. Verschwindet er in einer Tabelle, wird aus einem kleinen Rückstand ein Auditbefund.
Wie kontrolliert man die Wirksamkeit einer Maßnahme?
Umgesetzt ist nicht dasselbe wie wirksam. Die Wirksamkeitskontrolle prüft, ob die Maßnahme das Risiko tatsächlich senkt. Dafür braucht es vorher definierte Messgrößen, etwa eine gesunkene Zahl offener Schwachstellen oder eine höhere Melderate bei Phishing. Die ISO 27001 verankert diese Bewertung der Leistung in Abschnitt 9.1.
Die Ergebnisse fließen zurück in die Steuerung. Interne Audits prüfen die Wirksamkeit der Maßnahmen und die Managementbewertung entscheidet über Kurskorrekturen. Wie Sie beides aufsetzen, zeigen die Ratgeber zu internen ISMS-Audits und zur Managementbewertung nach ISO 27001. So schließt sich der Regelkreis aus Planen, Umsetzen, Prüfen und Verbessern.
Wichtig ist die Trennung von Ausgabe und Wirkung. Dass eine Firewall gekauft und installiert wurde, ist eine Ausgabe. Dass die Zahl erfolgreicher Angriffe sinkt, ist die Wirkung. Erst die Wirkung rechtfertigt die Maßnahme gegenüber der Geschäftsführung. Deshalb gehört zu jeder Maßnahme von Anfang an die Frage, woran sich ihr Erfolg später ablesen lässt.
Welche Fehler kosten beim Maßnahmenmanagement am meisten Zeit?
Die häufigsten Probleme sind organisatorisch, nicht technisch. Maßnahmen ohne klaren Verantwortlichen versanden, Fristen ohne Nachverfolgung verstreichen und eine Umsetzung ohne Wirksamkeitskontrolle täuscht Sicherheit nur vor. Wer den Überblick in verstreuten Tabellen sucht, verliert ihn früher oder später.
- Maßnahme ohne benannten Verantwortlichen und ohne Frist.
- Kein Bezug zwischen Maßnahme und dem Risiko, das sie senken soll.
- Keine Wirksamkeitskontrolle, die Umsetzung gilt als Selbstzweck.
- Statuspflege in verstreuten Dateien statt an einer zentralen Stelle.
- Überfällige Maßnahmen werden nicht eskaliert.
Ein zentrales Werkzeug beugt all dem vor. In VANTARIS hängt jede Maßnahme an ihrem Risiko und trägt einen Verantwortlichen, eine Frist und einen Status. Wird sie überfällig, meldet sie sich von selbst.
Wie reif ist Ihr Maßnahmenmanagement?
Der kostenlose Reifegrad-Check zeigt in wenigen Minuten, wo Ihr ISMS zwischen Risikoanalyse und wirksamer Maßnahme noch Lücken hat.
Häufige Fragen zum Maßnahmenmanagement im ISMS
Was gehört in eine gute Maßnahme im ISMS?
Eine belastbare Maßnahme nennt das zu senkende Risiko, eine konkrete Aufgabe, genau einen Verantwortlichen, eine realistische Frist und einen messbaren Zielzustand. Fehlt einer dieser Punkte, lässt sich weder der Fortschritt steuern noch die Wirksamkeit belegen. Diese Angaben sind zugleich der Nachweis für das Zertifizierungsaudit.
Wie unterscheiden sich Risikobehandlung und Maßnahmenmanagement?
Die Risikobehandlung entscheidet, wie mit einem Risiko umgegangen wird: vermeiden, reduzieren, übertragen oder akzeptieren. Das Maßnahmenmanagement setzt diese Entscheidung operativ um und verfolgt sie bis zur Wirksamkeit. Die Behandlung liefert die Richtung, das Maßnahmenmanagement sorgt dafür, dass sie im Alltag ankommt.
Wer ist für die Umsetzung von Maßnahmen verantwortlich?
Jede Maßnahme hat genau einen benannten Verantwortlichen, der die Umsetzung treibt und den Status meldet. Die Gesamtverantwortung für das ISMS bleibt bei der Leitung, die Koordination liegt beim Informationssicherheitsbeauftragten. Überfällige Maßnahmen gehören auf den Tisch der Geschäftsführung, nicht in eine stille Ablage.
Wie oft prüft man den Stand der Maßnahmen?
Der Status gehört in einen regelmäßigen Takt, in der Praxis oft monatlich oder quartalsweise. Kritische Maßnahmen mit kurzer Frist brauchen eine engere Kontrolle. Der Gesamtüberblick fließt mindestens einmal jährlich in die Managementbewertung ein, in vielen Unternehmen häufiger. Entscheidend ist ein fester Rhythmus statt spontaner Einzelabfragen.
Was ist eine Wirksamkeitskontrolle?
Die Wirksamkeitskontrolle prüft, ob eine umgesetzte Maßnahme das Risiko wirklich senkt. Dafür wird vorab eine Messgröße festgelegt, etwa die Zahl offener Schwachstellen oder die Melderate bei Phishing-Tests. Erst wenn diese Größe sich in die gewünschte Richtung bewegt, gilt die Maßnahme als wirksam, nicht schon bei ihrer Umsetzung.
Reicht eine Tabellenkalkulation für das Maßnahmenmanagement?
Für den Anfang kann eine Tabelle genügen. Mit wachsender Zahl an Maßnahmen, Verantwortlichen und Fristen wird sie schnell unübersichtlich und fehleranfällig. Verknüpfungen zu Risiken und Nachweisen fehlen, Erinnerungen bleiben aus. Ein Werkzeug, das Maßnahmen an Risiken und Fristen koppelt, spart ab einer gewissen Größe spürbar Zeit.
Fakten und Quellen auf einen Blick
- Maßnahmenmanagement überführt bewertete Risiken in terminierte, verantwortete Aufgaben und verfolgt sie bis zur Wirksamkeit.
- Normbezug: ISO/IEC 27001, Abschnitte 6.1.3 (Planung der Risikobehandlung), 8.1 (betriebliche Steuerung) und 9.1 (Bewertung der Leistung).
- Jede Maßnahme braucht einen Verantwortlichen, eine Frist und einen messbaren Zielzustand.
- Umgesetzt ist nicht gleich wirksam: die Wirksamkeitskontrolle ist Pflichtteil des Regelkreises.
- Quellen: ISO/IEC 27001; BSI-Standard 200-1; Stand September 2026.
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.