Vorstände müssen die Wirksamkeit des Managementsystems bewerten, Prozesse festlegen, Cybersicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und selbst über ausreichende Kenntnisse verfügen. Das passt in einen Satz, ist in der Praxis aber eine echte Herausforderung. Die Managementbewertung ist der Moment, um dieser Verantwortung gerecht zu werden, vorausgesetzt, Sie gestalten sie richtig.
Beginnen Sie mit der Strategie, nicht mit den Maßnahmen
In der Managementbewertung beurteilt die oberste Leitung, ob das Managementsystem weiterhin geeignet, angemessen und wirksam ist. Doch ein Managementsystem, das eine Norm oder ein Gesetz erfüllt, ist kein Selbstzweck. Nach Abschnitt 5.1 der ISO 27001 muss die oberste Leitung sicherstellen, dass Politik und Ziele mit der strategischen Ausrichtung der Organisation vereinbar sind.
Die Bewertung prüft diese Kette:
Mission und Vision → Strategie → Risikobereitschaft → Ziele und Maßnahmen → Beschlüsse
So lässt sich jeder Beschluss auf ein strategisches Ziel zurückführen. Die Verbindung funktioniert auch umgekehrt: Zeigt sich, dass ein strategisches Vorhaben mit den aktuellen Mitteln nicht sicher erreichbar ist, entscheidet der Vorstand bewusst zwischen Investieren, Gegensteuern oder Akzeptieren des Risikos.
Häufige Fehler
6 Schritte, um die Managementbewertung für die Organisation relevant zu machen
1. Beginnen Sie mit Strategie, Vision und Mission
Setzen Sie nicht die Auditfeststellungen an den Anfang der Tagesordnung, sondern die Frage, was sich seit der letzten Bewertung an Strategie und Kontext der Organisation geändert hat. Neue Märkte, eine Übernahme, veränderte Dienstleistungen oder neue Gesetze bestimmen, welche Risiken relevant sind. Erst danach besprechen Sie, ob das Managementsystem noch dazu passt.
2. Sammeln Sie die Eingaben im Voraus
ISO 27001 Abschnitt 9.3 nennt die festen Eingaben: den Status der Maßnahmen aus der vorherigen Bewertung, Veränderungen bei internen und externen Themen, die Ergebnisse von Überwachung, Audits und Zielen, Nichtkonformitäten, Rückmeldungen interessierter Parteien, das Ergebnis der Risikobeurteilung und Möglichkeiten zur Verbesserung. Sammeln Sie diese vorab und verteilen Sie sie eine Woche vorher. Dann geht es in der Sitzung um Beschlüsse statt um das Vorlesen von Zahlen.
3. Lassen Sie den Vorstand Restrisiken ausdrücklich akzeptieren
ISO 27001 verlangt, dass Risikoeigentümer den Risikobehandlungsplan genehmigen und die Restrisiken akzeptieren. Bei Risiken außerhalb der Risikobereitschaft der Organisation gehört diese Entscheidung zum Vorstand. Halten Sie je Risiko fest: Akzeptieren wir es, investieren wir oder steuern wir gegen? Notieren Sie, wer die Entscheidung getroffen hat, warum und bis wann sie gilt.
4. Leiten Sie SMART-Ziele aus der Strategie ab
Ziele müssen spezifisch, messbar, akzeptiert, realistisch und terminiert sein und sich auf die Strategie zurückführen lassen. Wächst die Organisation beispielsweise im Gesundheitswesen, ist „NEN 7510-Zertifikat bis Ende Q3" ein logisches Ziel. „Wir verbessern die Informationssicherheit" ist es nicht.
5. Halten Sie Beschlüsse mit Verantwortlichem, Frist und strategischem Bezug fest
Ein Protokoll ohne Beschlüsse ist eine Momentaufnahme. Halten Sie jeden Beschluss mit einem Verantwortlichen, einer Frist und dem strategischen Ziel fest, dem er dient. So sehen Sie bei der nächsten Bewertung auf einen Blick, was umgesetzt ist, was stockt und warum es wichtig war.
6. Bewerten Sie häufiger und kürzer
Eine lange Jahressitzung ist zu langsam für eine Bedrohungslage, die sich jeden Monat ändert. Besprechen Sie vierteljährlich kurz die wichtigsten Risiken, Vorfälle und offenen Maßnahmen, und führen Sie einmal im Jahr eine ausführliche Bewertung durch, in der alle Pflichtthemen behandelt werden. So bleibt der Vorstand nachweislich eingebunden, ohne dass daraus eine Papierübung wird.
Eine Bewertung für alle Normen
ISO 9001, ISO 27001 und ISO 14001 teilen dieselbe Grundstruktur, und NEN 7510:2024 baut auf ISO 27001 auf. Die Anforderungen an Führung, Ziele und Managementbewertung sind dadurch nahezu identisch. Fassen Sie sie in einer integrierten Bewertung zusammen, mit den Cbw-Pflichten des Vorstands als festem Bestandteil. Das spart Sitzungen und gibt dem Vorstand ein zusammenhängendes Bild statt vier getrennter.
Wie uComply hilft
In uComply verwalten Sie die Kontextanalyse, das Risikoregister und die Managementbewertung einmal für alle Normen. Sie dokumentieren die Bewertung einschließlich Feststellungen, Beschlüssen und zugewiesenen Maßnahmen und verknüpfen sie mit den Anforderungen von ISO 27001, ISO 9001, NEN 7510 und der Cbw, sodass der Nachweis bereitsteht, wenn Auditor oder Aufsichtsbehörde danach fragen. Maßnahmen erhalten einen Verantwortlichen und eine Frist, und mit Erinnerungen und geplanten Aufgaben planen Sie die Quartals- und Jahresbewertungen als wiederkehrende Serie. Zwischendurch gibt das Dashboard dem Vorstand einen aktuellen Überblick über Risiken, Feststellungen und den Fortschritt je Norm.
Häufig gestellte Fragen
Ist eine Managementbewertung nach der Cbw verpflichtend?
Die Cbw verwendet den Begriff nicht, verpflichtet den Vorstand aber, Maßnahmen zu genehmigen und ihre Umsetzung zu überwachen. Eine Managementbewertung nach ISO/IEC 27001:2022 Abschnitt 9.3 ist der gängigste Weg, dies nachweisbar festzuhalten.
Wie hängt die Managementbewertung mit der Strategie zusammen?
Sie beginnen mit den strategischen Zielen, bestimmen die dazugehörigen Risiken, prüfen Restrisiken anhand der Risikobereitschaft und leiten messbare Ziele ab. Jeder Beschluss verweist auf das strategische Ziel, dem er dient.
Wie oft sollte eine Managementbewertung stattfinden?
ISO 27001 verlangt Bewertungen „in geplanten Abständen", in der Praxis mindestens jährlich. Unter der Cbw ist eine kurze Quartalsbewertung plus eine ausführliche Jahresbewertung ein praktikabler Ansatz.
Fazit
Eine Managementbewertung, die mit der Strategie beginnt und mit festgehaltenen Beschlüssen endet, macht Compliance zu einem Führungsinstrument. Dann kann der Vorstand nicht nur zeigen, dass er Aufsicht ausübt, sondern auch, warum er welche Entscheidungen trifft.
Möchten Sie sehen, wie Sie die Managementbewertung für alle Ihre Normen an einem Ort festhalten und nachverfolgen? Vereinbaren Sie eine unverbindliche Demo.
