ISO 27001:2022 Klausel 9.3 Management Review ist ein wichtiger Bestandteil des Informationssicherheits-Managementsystems (ISMS). Sie verlangt vom obersten Management, das ISMS in regelmäßigen Abständen zu überprüfen, um sicherzustellen, dass es weiterhin geeignet, angemessen und wirksam ist.

Die Überprüfung durch das Management ist eine Gelegenheit für die oberste Leitung, die Gesamtleistung des ISMS zu bewerten und verbesserungswürdige Bereiche zu identifizieren. Es ist auch eine Gelegenheit, dem Rest der Organisation die Bedeutung der Informationssicherheit zu vermitteln.

Vorteile des Management-Reviews

Der Management-Review bietet eine Reihe von Vorteilen, darunter:

• Verbesserte Informationssicherheitslage: Durch die regelmäßige Überprüfung des ISMS kann die oberste Leitung potenzielle Sicherheitsrisiken erkennen und angehen. Dies kann dazu beitragen, die allgemeine Sicherheitslage der Organisation zu verbessern.
  
  
• Verbesserte Einhaltung der Vorschriften: Die Überprüfung durch das Management ist eine Anforderung der ISO 27001:2022-Zertifizierung. Durch die Durchführung regelmäßiger Management-Reviews können Organisationen ihr Engagement für die Einhaltung der Norm unter Beweis stellen.
  
  
• Gesteigerte Unternehmensleistung: Ein effektives ISMS kann Organisationen dabei helfen, ihre Geschäftsleistung zu verbessern, indem es ihre Informationsbestände vor unbefugtem Zugriff, unbefugter Nutzung, Offenlegung, Unterbrechung, Änderung oder Zerstörung schützt.

Wie eine Managementbewertung durchgeführt werden sollte

Das Management-Review sollte in regelmäßigen Abständen durchgeführt werden, z. B. jährlich oder halbjährlich. Die Überprüfung sollte von der obersten Führungsebene geleitet werden und alle relevanten Interessengruppen einbeziehen, z. B. den Informationssicherheitsbeauftragten (CISO), die Abteilungsleiter und die Leiter der Geschäftsbereiche.

Bei der Managementbewertung sollten die folgenden Punkte berücksichtigt werden:

• Stand der Maßnahmen aus früheren Management-Reviews: Die Überprüfung sollte die Fortschritte bei der Umsetzung von Abhilfemaßnahmen aus früheren Management-Reviews bewerten.
  
  
• Änderungen bei externen und internen Themen, die für das ISMS von Bedeutung sind: Bei der Überprüfung sollten alle Änderungen im externen oder internen Umfeld der Organisation berücksichtigt werden, die sich auf das ISMS auswirken könnten.
  
  
• Rückmeldungen über die Leistung im Bereich der Informationssicherheit, einschließlich Trends: Bei der Überprüfung sollten Rückmeldungen über die Leistung im Bereich der Informationssicherheit berücksichtigt werden, wie z. B. Auditergebnisse, Berichte über Zwischenfälle und Rückmeldungen von Kunden.
  
  
• Nichtkonformitäten und Abhilfemaßnahmen: Bei der Überprüfung sollten alle festgestellten Nichtkonformitäten und die ergriffenen Korrekturmaßnahmen berücksichtigt werden.
  
  
• Überwachungs- und Messergebnisse: Bei der Überprüfung sollten die Ergebnisse von Überwachungs- und Messaktivitäten, wie Risikobewertungen und Leistungsüberprüfungen, berücksichtigt werden.

Die Ergebnisse des Managementreviews sollten Folgendes umfassen:

• Beschlüsse und Anweisungen für das ISMS: Die Überprüfung sollte zu Entscheidungen und Anweisungen für die kontinuierliche Verbesserung des ISMS führen.
  
  
• Empfehlungen für Verbesserungen: Die Überprüfung sollte alle Empfehlungen für Verbesserungen aufzeigen, wie z. B. neue Sicherheitskontrollen, Änderungen an bestehenden Sicherheitskontrollen oder zusätzliche Ressourcen.
  
  
• Zu ergreifende Maßnahmen: Die Überprüfung sollte alle Maßnahmen aufzeigen, die ergriffen werden müssen, um Nichtkonformitäten zu beheben oder Verbesserungsempfehlungen umzusetzen.

Zusätzliche Tipps für die Durchführung eines effektiven Management-Reviews

Im Folgenden finden Sie einige zusätzliche Tipps für die Durchführung eines effektiven Management-Reviews:

• Bereiten Sie sich auf die Überprüfung vor: Die Überprüfung durch das Management sollte im Voraus geplant werden, und alle relevanten Unterlagen sollten vorbereitet werden.
  
  
• Relevante Interessengruppen einbeziehen: An der Managementbewertung sollten alle relevanten Interessengruppen beteiligt werden, z. B. der Beauftragte für Informationssicherheit, die Abteilungsleiter und die Leiter der Geschäftsbereiche.
  
  
• Objektiv sein: Das Management-Review sollte objektiv und unparteiisch durchgeführt werden.
  
  
• Gründlich sein: Die Managementbewertung sollte alle relevanten Inputs berücksichtigen und zu umfassenden Ergebnissen führen.
  
  
• Ergreifen Sie Maßnahmen: Die Managementbewertung sollte zu Entscheidungen und Maßnahmen zur Verbesserung des ISMS führen.

Möchten Sie regelmäßig weitere Tipps erhalten? Melden Sie sich für unseren Newsletter an und Sie erhalten sie direkt in Ihren Posteingang.