Schritt 6 · Audit und Verbesserung
Managementbewertung Die Leitung entscheidet, was sich ändert.
In der Managementbewertung prüft die oberste Leitung, ob das Managementsystem noch passt, angemessen und wirksam ist – und entscheidet, was sich ändern muss.
Worum es geht
ISO/IEC 27001 verlangt in Abschnitt 9.3 eine Bewertung in geplanten Abständen. Eingaben sind unter anderem der Stand früherer Beschlüsse, Änderungen im Kontext, Rückmeldungen zur Leistung wie Nichtkonformitäten, Messergebnisse, Auditergebnisse und Zielerreichung, die Ergebnisse der Risikobeurteilung und Verbesserungsmöglichkeiten. Ergebnis sind Entscheidungen zu Verbesserungen und Änderungsbedarf. Unter NIS2 passt das zur Pflicht der Geschäftsleitung, die Umsetzung zu überwachen (§ 38 BSIG).
- Major 1
- Minor 4
- Beobachtung (OFI) 6
Korrekturen abgeschlossen · 9 / 11
Beispielwerte
So gehen Sie vor
- 01
Termin und Teilnehmende festlegen, die Leitung ist dabei.
- 02
Eingaben vorbereiten: Kennzahlen, Auditergebnisse, Vorfälle, Risiken.
- 03
Entscheiden: Ressourcen, Ziele, Änderungen.
- 04
Beschlüsse mit Verantwortlichen und Fristen protokollieren.
Typische Fehler
- Eine Präsentation ohne Entscheidungen.
- Die Leitung nimmt nur per E-Mail Kenntnis.
- Beschlüsse werden nicht nachverfolgt.
Was ein Prüfer sehen will
- Protokoll mit allen geforderten Eingaben
- Beschlüsse mit Verantwortlichen und Fristen
- Nachweis der Umsetzung im nächsten Zyklus
So hilft UniqSuite
Der Vorstandsbericht in UniqSuite fasst die Sicherheitslage, den Stand je Regelwerk, offene kritische Anforderungen und überfällige Fristen kompakt zusammen – eine gute Eingabe für die Managementbewertung.
Bezüge
- ISO/IEC 27001, Abschnitt 9.3
- ISO/IEC 27001, Abschnitt 10.1: fortlaufende Verbesserung
- BSIG § 38 Abs. 1
Häufige Fragen
Wie oft findet sie statt?
In geplanten Abständen, in der Praxis mindestens einmal im Jahr.
Reicht ein Monatsbericht?
Er erleichtert die Überwachung, ersetzt aber nicht die förmliche Bewertung mit Entscheidungen.
Haftet die Geschäftsleitung?
Ja. Verletzt sie ihre Pflicht, die Maßnahmen umzusetzen und zu überwachen, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht (§ 38 Abs. 2 BSIG). Ein Protokoll der Managementbewertung kann belegen, dass sie überwacht hat.
Muss die Geschäftsleitung geschult werden?
Ja. Nach § 38 Abs. 3 BSIG muss sie regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können.
Muss alles in einer Sitzung besprochen werden?
Nein, die Norm schreibt kein Format vor. Wichtig ist, dass alle geforderten Eingaben im Zyklus behandelt und die Ergebnisse dokumentiert sind.
Sehen Sie, wie das in UniqSuite aussieht.
In einer halben Stunde zeigen wir Ihnen den Ablauf mit Ihren eigenen Fragen.