ISO 27001 Management Review Agenda: Klausel 9.3 Eingaben auf Nachweise abbilden

Die Management-Review-Agenda, die Klausel 9.3 erfüllt, setzt sich aus drei Teilen zusammen: einer zeitlich strukturierten Tagesordnung, einer Checkliste der geforderten Klausel-9.3-Eingaben sowie einem Entscheidungs- und Maßnahmenregister mit namentlich benannten Verantwortlichen und Terminen. Diese Struktur eignet sich für eine routinemäßige 60- bis 90-minütige Quartalssitzung und lässt sich ohne Änderung des Grundgerüsts auf einen längeren Jahres-Review ausweiten. Im Folgenden erfahren Sie, wie Sie ihn aufbauen und durchführen.

Kurzfassung:

• Ordnen Sie jeden Tagesordnungspunkt seiner Klausel-9.3.2-Eingabe zu, fügen Sie datierte Nachweise für alle erforderlichen Eingaben bei und halten Sie eine Entscheidung fest – nicht nur eine Diskussion.
• Führen Sie vierteljährliche Reviews mit einer umfassenderen Jahressitzung durch und ergänzen Sie ein Ad-hoc-Meeting nach einem schwerwiegenden Vorfall, einer wesentlichen Geltungsbereichsänderung oder einem nicht bestandenen Auditbefund.
• Versenden Sie die nummerierte Agenda und das Nachweispaket mindestens drei Werktage im Voraus; beziehen Sie Führungskräfte mit Budgetkompetenz, den ISMS-Verantwortlichen und relevante Bereichsleiter ein.
• Versehen Sie jede Maßnahme mit einem namentlich benannten Verantwortlichen, einer Frist, Abnahmekriterien, einem Nachweislink und einem unabhängigen Prüfer; aktualisieren Sie ein zentrales Register monatlich und übertragen Sie Abschlussnachweise fortlaufend.
• Wenn klimabezogene Risiken Ihre Organisation betreffen, dokumentieren Sie diese unter Änderungen relevanter interner oder externer Themen gemäß der Änderung von 2024.

Inhaltsverzeichnis

• Was Klausel 9.3 fordert: Zweck, Geltungsbereich und Definitionen
• Was sich in ISO/IEC 27001:2022 und der Änderung von 2024 geändert hat
• Erforderliche Management-Review-Eingaben: eine auditierbare Checkliste
• Auditierfähige Management-Review-Agenda-Vorlage
• Vorbereitung und Durchführung des Reviews: Teilnehmer, Unterlagen und Rollen
• Dokumentation der Ergebnisse und das Maßnahmenregister
• Nachverfolgung: Maßnahmen verfolgen, verifizieren und abschließen
• Was Auditoren prüfen und welche Befunde vermieden werden sollten
• Wie der ISMS Calculator die Meetingvorbereitung beschleunigt
• Praxisperspektive: Reviews nachvollziehbar gestalten, nicht zur Formalität werden lassen
• ISMS Calculator: Ihr auditierfähiges Meeting-Paket erstellen
• FAQ
• Quellen

Was Klausel 9.3 fordert: Zweck, Geltungsbereich und Definitionen

Klausel 9.3 der ISO/IEC 27001:2022 soll sicherstellen, dass die oberste Leitung regelmäßig bestätigt, dass das Informationssicherheits-Managementsystem weiterhin angemessen, geeignet und wirksam ist. Es handelt sich nicht um ein Statusupdate, sondern um einen Entscheidungspunkt, an dem die Führungsebene das ISMS entweder anpasst oder auf Basis von Nachweisen – nicht Eindrücken – bestätigt, dass es auf Kurs ist.

„Oberste Leitung" bezeichnet in der Regel die Personen, die Budget freigeben, Richtlinien ändern und Personal umverteilen können: ein Geschäftsführer, ein Betriebsleiter, ein Chief Information Security Officer oder eine vergleichbare Gruppe, je nach Organisationsgröße. In einem kleinen Unternehmen können das zwei Personen sein, in einem größeren ein Lenkungsausschuss. Wer auch immer teilnimmt, muss in der Lage sein, Ressourcen- und Richtlinienänderungen vor Ort zu genehmigen – andernfalls wird der Review zu einer zahnlosen Berichtsübung.

Die Klausel folgt einer einfachen Kette:

• Eingaben werden gesammelt (Auditergebnisse, Vorfallsdaten, Risikostatus, Kennzahlen, Rückmeldungen).
• Die oberste Leitung bewertet diese Eingaben anhand der ISMS-Ziele.
• Entscheidungen und Maßnahmen entstehen am Ende, jeweils mit einem Verantwortlichen.

Das Überspringen eines Glieds in dieser Kette ist der häufigste Grund, warum Organisationen diese Klausel bei Audits nicht erfüllen.

Was sich in ISO/IEC 27001:2022 und der Änderung von 2024 geändert hat

Die Ausgabe von 2022 hat die Formulierungen zur kontinuierlichen Verbesserung geschärft und den Management-Review expliziter mit den Ergebnissen der Risikobehandlung und Ressourcenentscheidungen verknüpft. Einige Änderungen sind für die Zusammenstellung Ihres Review-Pakets relevant:

• Eingaben legen nun ein stärkeres Gewicht auf den Status von Maßnahmen aus früheren Reviews, nicht nur auf neue Feststellungen.
• Die Norm erwartet eine sichtbare Verbindung zwischen Review-Ergebnissen und Ressourcen- oder Richtlinienänderungen, nicht nur eine Liste von Bedenken.
• ISO/IEC 27001:2022/Amd 1:2024 ergänzt die Norm um Aspekte des Klimaschutzes, die als „Änderung externer und interner Themen" einfließen können, sofern klimabezogene Risiken für Ihre Organisation relevant sind.

Wenn Ihr Review Umwelt- oder Lieferkettenrisiken berührt, gibt Ihnen die Änderung einen nachvollziehbaren Grund, diese als formale Eingabe zu dokumentieren – nicht als informellen Nebenpunkt. Für den genauen Wortlaut gilt der Normtext von ISO als maßgebliche Quelle, nicht Zusammenfassungen einschließlich dieser.

Erforderliche Management-Review-Eingaben: eine auditierbare Checkliste

Klausel 9.3.2 listet konkrete Eingaben auf, die die oberste Leitung berücksichtigen muss. Behandeln Sie diese als Checkliste, die Sie in Ihrem Meeting-Paket buchstäblich abhaken, denn ein Auditor wird jede Eingabe namentlich suchen – nicht implizit.

Die minimal akzeptable Version dieser Tabelle ist ein Aufzählungspunkt unter jeder Überschrift mit Datum und Quelle. Die empfohlene Praxis ersetzt Aufzählungspunkte durch ein Diagramm oder einen Dashboard-Screenshot, wo ein Trend wichtiger ist als eine einzelne Zahl – denn die oberste Leitung reagiert schneller auf eine Linie, die in die falsche Richtung zeigt, als auf einen Absatz, der sie beschreibt.

Praxistipp: Beschränken Sie jede Eingabe auf eine Seite. Benötigt eine Eingabe zwei Seiten zur Erläuterung, gehört sie in den Anhang, nicht in das Hauptpaket.

Auditierfähige Management-Review-Agenda-Vorlage

Nummerieren Sie jeden Tagesordnungspunkt entsprechend der Klausel-9.3.2-Eingabe, die er abdeckt. Diese Nummerierung ermöglicht es einem Auditor, eine Zeile im Protokoll direkt zur Anforderung der Norm zurückzuverfolgen – das ist der schnellste Weg, eine Feststellung zum Management-Review bei Zertifizierungs- oder Überwachungsaudits zu schließen.

Eine zeitlich strukturierte 75-minütige Quartalssitzung:

1. Eröffnung und Überprüfung früherer Maßnahmen (10 Minuten): Klausel 9.3.2(a). Moderatorenfrage: Welche Maßnahmen sind abgeschlossen, welche sind überfällig und warum?
2. Änderungen des externen und internen Kontexts (10 Minuten): Klausel 9.3.2(b). Moderatorenfrage: Was hat sich seit dem letzten Quartal verändert und wirkt sich auf unser Risikobild aus?
3. Bedürfnisse und Rückmeldungen interessierter Parteien (10 Minuten): Klausel 9.3.2(c) und (h). Moderatorenfrage: Hat ein Kunde, eine Behörde oder ein Partner eine neue Erwartung geäußert?
4. ISMS-Leistung und Auditergebnisse (15 Minuten): Klausel 9.3.2(d) und (f). Moderatorenfrage: Was zeigen die Trendlinien, und was hat das letzte Audit ergeben?
5. Status der Risikobewertung und des Risikobehandlungsplans (15 Minuten): Klausel 9.3.2(g). Moderatorenfrage: Welche Risiken haben sich verändert, und liegt der Behandlungsplan im Zeitplan?
6. Ziele und Verbesserungsmöglichkeiten (10 Minuten): Klausel 9.3.2(e) und (i). Moderatorenfrage: Erreichen wir unsere gesetzten Ziele, und was sollten wir als Nächstes ausprobieren?
7. Entscheidungen, Ressourcen und Maßnahmenverteilung (5 Minuten): Ergebnisse gemäß Klausel 9.3.3. Moderatorenfrage: Wer ist für jede neue Maßnahme verantwortlich und bis wann?

Für einen Jahres-Review erweitern Sie die Punkte 2, 4 und 5 auf jeweils 20 bis 25 Minuten und fügen Sie einen eigenen Slot für einen Gesamtjahres-Trendreview hinzu, da zwölf Monate an Daten mehr Raum benötigen als das Update eines einzelnen Quartals.

Praxistipp: Versenden Sie die nummerierte Agenda zusammen mit dem Vorbereitungspaket, damit die Teilnehmer bereits mit dem Wissen ankommen, welche Folien welchen Klauselnummern entsprechen, anstatt im Meeting danach fragen zu müssen.

Vorbereitung und Durchführung des Reviews: Teilnehmer, Unterlagen und Rollen

Das Meeting steht und fällt damit, wer im Raum ist und was die Teilnehmer bereits gelesen haben.

• Teilnehmer: oberste Leitung mit Budgetkompetenz, der Informationssicherheitsbeauftragte oder ISMS-Verantwortliche sowie Bereichsleiter, deren Bereiche offene Risikopunkte aufweisen.
• Vorbereitungspaket: nummerierte Agenda, Eingaben-Checkliste mit beigefügten Nachweisen, Ergebnisse des internen Audits, Status des Maßnahmenregisters und ein einseitiger Auszug aus dem Risikoregister.
• Rhythmus: vierteljährlich für die meisten Organisationen, mit einer umfassenderen Jahressitzung; ergänzt durch einen Ad-hoc-Review nach einem schwerwiegenden Vorfall, einer wesentlichen Geltungsbereichsänderung oder einem nicht bestandenen Auditbefund.
• Vorsitz: in der Regel der ISMS-Verantwortliche oder Sicherheitsbeauftragte, zuständig für Zeiteinhaltung und dafür, dass jeder nummerierte Punkt zu einer Entscheidung führt – nicht nur zu einer Diskussion.
• Protokollant: hält Entscheidungen und Maßnahmen in Echtzeit fest, nicht nachträglich aus dem Gedächtnis.
• Maßnahmenverantwortlicher: die namentlich benannte Person, die für den Abschluss jeder Maßnahme verantwortlich ist – getrennt von der Person, die sie eingebracht hat.
• Nachweisverantwortlicher: die Person, die Belege für den tatsächlichen Abschluss einer Maßnahme sammelt und beifügt – oft eine andere Person als der Maßnahmenverantwortliche.

Wenn das Paket mindestens drei Werktage vor dem Meeting versendet wird, kommen die Teilnehmer mit Fragen anstatt damit, den Text zum ersten Mal während des Meetings zu lesen.

Dokumentation der Ergebnisse und das Maßnahmenregister

Protokolle, die Klausel 9.3.3 erfüllen, müssen die getroffenen Entscheidungen zeigen – nicht nur die besprochenen Themen. Mindestanforderung: Für jeden nummerierten Tagesordnungspunkt sind die adressierte Eingabe, die getroffene Entscheidung oder Schlussfolgerung sowie jede daraus resultierende Maßnahme mit Verantwortlichem und Frist festzuhalten.

• Formulieren Sie Maßnahmen mit vier Bestandteilen: Verantwortlicher, Frist, Abnahmekriterien und ein Link zum Nachweis, der den Abschluss belegt.
• Speichern Sie Protokolle und das Maßnahmenregister an einem versionsverwalteten Ort mit Datum und Versionsnummer auf jeder Revision.
• Ein Minimalprotokoll hält die Entscheidung in einer Zeile fest. Ein empfohlenes Protokoll fügt den Nachweisbezug hinzu und verweist auf die spezifische Klausel-9.3.2-Eingabenummer.
• Führen Sie eine einzige zentrale Kopie des Maßnahmenregisters anstatt eine pro Meeting, damit der Maßnahmenverlauf über Review-Zyklen hinweg sichtbar bleibt.

Praxisanleitungen zur Management-Review-Struktur empfehlen generell, Tagesordnungspunkte direkt der Eingabenliste der Norm zuzuordnen – genau die Rückverfolgbarkeit, nach der Auditoren suchen, wenn sie Protokollproben ziehen und fragen, woher eine Entscheidung stammt.

Statistik-Hinweis: ISO/IEC 27001 betrachtet den Management-Review als zentralen Mechanismus für die kontinuierliche Verbesserung, was bedeutet, dass der Review selbst als Auditnachweis dafür gilt, dass das ISMS aktiv gemanagt wird – und keine reine Formalität ist.

Nachverfolgung: Maßnahmen verfolgen, verifizieren und abschließen

Ein Maßnahmenregister erfüllt seinen Zweck nur, wenn Maßnahmen tatsächlich abgeschlossen werden und dieser Abschluss nachweisbar ist.

• Gestalten Sie das Register mit Spalten für Verantwortlichen, Frist, Status, Verifizierungsmethode und Nachweislink, damit kein Eintrag ohne beigefügten Beleg geschlossen werden kann.
• Benennen Sie einen Prüfer, der nicht der Maßnahmenverantwortliche ist – Selbstverifizierung ist ein häufiger Schwachpunkt, den Auditoren beanstanden.
• Definieren Sie vor Beginn der Maßnahme, was „abgeschlossen" bedeutet: ein bestandener Test, ein neuer Kennzahlenschwellenwert oder ein abgezeichnetes Dokument – nicht nur eine Statusänderung.
• Aktualisieren Sie das Register in einem festen Rhythmus, z. B. monatlich, damit Einträge zwischen den Quartalssitzungen nicht unbeachtet bleiben.
• Eröffnen Sie jeden nachfolgenden Review mit dem Status der früheren Maßnahmen und zeigen Sie abgeschlossene Punkte mit ihrem Nachweislink – nicht nur mit einem Häkchen.

Diese Schleife – Vorbereitung führt zur Durchführung, Durchführung führt zur Dokumentation, Dokumentation führt zur Nachverfolgung – ist die Struktur, auf der Praxisleitfäden und Checklisten den Management-Review konsequent aufbauen, weil es die Abfolge ist, die Auditoren als Nachweis erwarten.

Was Auditoren prüfen und welche Befunde vermieden werden sollten

Auditoren ziehen in der Regel eine Stichprobe vergangener Reviews und prüfen dabei jedes Mal dieselben Punkte.

• Vorhandensein jeder erforderlichen Klausel-9.3.2-Eingabe – nicht nur der praktischen.
• Klarer Nachweis, dass eine Entscheidung getroffen wurde – nicht nur, dass ein Thema erwähnt wurde.
• Nachverfolgungsbelege, dass frühere Maßnahmen mit Datumsangaben bis zum Abschluss verfolgt wurden.
• Sichtbare Zeichen kontinuierlicher Verbesserung anstatt wiederkehrender, unbearbeiteter Feststellungen.

Häufige Nichtkonformitäten gehen auf dünne Protokolle zurück, die Diskussionen zusammenfassen, ohne eine Entscheidung festzuhalten, auf fehlende Nachweislinks, durch die der Abschluss einer Maßnahme nicht verifiziert werden kann, sowie auf unklare Verantwortlichkeiten, bei denen zwei Personen jeweils davon ausgehen, die andere sei zuständig. Komiteeleitlinien zur Auditierung von Risikomanagementprozessen weisen darauf hin, dass Organisationen ihre eigene Risikomethoodik wählen dürfen, der Review jedoch weiterhin belegen muss, dass die gewählte Methode tatsächlich angewendet und bewertet wurde.

Praxistipp: Ziehen Sie vor einem externen Audit Ihre letzten beiden Review-Pakete und stellen Sie sicher, dass jede Klausel-9.3.2-Eingabe ein datiertes Nachweisdokument beigefügt hat. Jetzt gefundene Lücken sind günstig zu beheben; von einem Auditor gefundene Lücken sind eine Feststellung.

Wenn Ihre Organisation grundlegende technische Kontrollen neben der Richtlinienarbeit handhabt, ist eine praktische Checkliste für Sicherheitsmaßnahmen in kleinen Unternehmen ein nützlicher Quercheck für die Art von alltäglichen Kontrollnachweisen, die letztendlich in Ihre Leistungskennzahlen-Eingabe einfließen.

Wie der ISMS Calculator die Meetingvorbereitung beschleunigt

Mehrere Review-Eingaben lassen sich mit strukturierten Tools leichter erstellen als mit einer leeren Tabelle.

• Ein Bereitschafts-Snapshot aus dem kostenlosen 2-Minuten-Check liefert Ihnen eine schnelle Ausgangsbasis, die Sie als Nachweis des aktuellen ISMS-Status beifügen können.
• Der ISO 27001 Readiness Assessment erzeugt Reifegrad-Scores über die vier Annex-A-Kontrollthemen hinweg – nützlich für die Eingaben zu Leistung und Zielen.
• Exportierbare Diagramme und Gantt-Zeitpläne aus dem Assessment lassen sich direkt im Dashboard- oder Trenddiagrammformat verwenden, auf das Auditoren gut ansprechen.
• Ein einfacher Workflow: Mini-Assessment durchführen, den resultierenden Bericht exportieren, ihn dem Meeting-Paket beifügen und anschließend das Maßnahmenregister mit den aufgedeckten Lücken aktualisieren.

Jeder Export enthält ein Datum und eine definierte Methodik, was wichtig ist, wenn ein Nachweisverantwortlicher Monate später erklären muss, woher eine Zahl stammt.

Praxisperspektive: Reviews nachvollziehbar gestalten, nicht zur Formalität werden lassen

Die Nummerierung jedes Tagesordnungspunkts entsprechend seiner Klausel-9.3.2-Eingabe ist die wirkungsvollste Einzelmaßnahme in diesem gesamten Prozess. Sie verwandelt ein vages Meeting in ein Dokument, das ein Auditor Zeile für Zeile nachvollziehen kann, und zwingt die moderierende Person zu bemerken, wenn eine Eingabe zwei Quartale in Folge still übergangen wurde.

Reviews scheitern nicht an mangelndem Engagement, sondern an fehlenden Entscheidungen: Eine Runde, die Risikotrends diskutiert, ohne einen Verantwortlichen zu benennen, hat nichts produziert, dem ein Auditor Anerkennung zollen kann. Passen Sie den Rhythmus an die Reife Ihrer Organisation an – ein kleines Team führt vielleicht ein schlankes vierteljährliches Check-in durch, während ein größeres die umfangreichere Jahresversion benötigt –, aber lassen Sie niemals das Format die Disziplin ersetzen, schriftlich festzuhalten, wer was bis wann erledigt.

— Martin

ISMS Calculator: Ihr auditierfähiges Meeting-Paket erstellen

Wir haben unsere Tools rund um die Realität entwickelt, dass der Großteil der Arbeit bei der Vorbereitung eines Management-Reviews im Sammeln und Aufbereiten von Nachweisen liegt – nicht im Formulieren der Inhalte. Unser ISO 27001 Readiness Assessment bewertet Ihr ISMS über die vier Annex-A-Kontrollthemen hinweg und exportiert einen Bericht, den Sie direkt in Ihr Meeting-Paket einfügen können. Unser kostenloser 2-Minuten-Check erfordert keine Registrierung und liefert Ihnen sofort einen Bereitschafts-Snapshot als Nachweis vor Ihrem nächsten Review.

Wenn die Budgetplanung für Abhilfemaßnahmen Teil Ihres nächsten Tagesordnungspunkts ist, liefert Ihnen unser ISO 27001 Cost Calculator eine maßgeschneiderte Schätzung auf Basis Ihrer Unternehmensgröße, Branche und aktuellen Reife – mit editierbaren Annahmen, die Sie hinterfragen und anpassen können. Führen Sie noch heute ein Mini-Assessment durch und gehen Sie in Ihren nächsten Review mit bereits vorhandenen Nachweisen.

FAQ

Was ist der Zweck eines ISO 27001 Management Reviews?

Der Zweck besteht darin, dass die oberste Leitung bestätigt, dass das Informationssicherheits-Managementsystem weiterhin angemessen, geeignet und wirksam ist, und auf Basis dokumentierter Nachweise Entscheidungen über Ressourcen oder Richtlinienänderungen gemäß Klausel 9.3 der ISO/IEC 27001:2022 trifft. Es handelt sich um einen Entscheidungspunkt, nicht um einen Statusbericht.

Wie häufig sollte ein ISO 27001 Management Review stattfinden?

Die meisten Organisationen führen einen vierteljährlichen Review mit einer umfassenderen Jahressitzung durch und ergänzen nach einem schwerwiegenden Vorfall oder einer wesentlichen Geltungsbereichsänderung einen Ad-hoc-Review. Der geeignete Rhythmus hängt von der Organisationsgröße und der ISMS-Reife ab und ist in der Norm nicht starr vorgegeben.

Welche Eingaben muss ein Management Review gemäß Klausel 9.3.2 abdecken?

Klausel 9.3.2 verlangt Eingaben, die u. a. den Status früherer Maßnahmen, Änderungen interner und externer Themen, Rückmeldungen interessierter Parteien, ISMS-Leistungstrends, Auditergebnisse, den Zielstatus sowie den Status der Risikobewertung und des Risikobehandlungsplans umfassen. Jede Eingabe benötigt dokumentierte, datierte Nachweise – nicht nur eine mündliche Aussage.

Was müssen Management-Review-Protokolle enthalten, um Auditoren zu überzeugen?

Protokolle sollten jeden Tagesordnungspunkt der adressierten Klausel-9.3.2-Eingabe zuordnen, die getroffene Entscheidung festhalten und jede daraus resultierende Maßnahme mit namentlich benanntem Verantwortlichen, Frist und Nachweislink dokumentieren. Auditoren prüfen gezielt die Rückverfolgbarkeit zwischen Eingaben, Entscheidungen und dem Abschluss der Nachverfolgung.

Kann der ISMS Calculator bei der Vorbereitung von Nachweisen für einen Management Review helfen?

Ja, unser ISO 27001 Readiness Assessment erstellt Reifegrad-Scores und exportierbare Berichte über die vier Annex-A-Kontrollthemen hinweg, die als Leistungs- und Zielnachweise in einem Review-Paket dienen können. Unser kostenloser 2-Minuten-Check generiert außerdem sofort einen Bereitschafts-Snapshot – ohne Registrierung.

Quellen

• ISO/IEC 27001:2022 – Informationssicherheits-Managementsysteme
• ISO/IEC JTC 1/SC 27 N 23202 (Komiteeleitlinien zur Auditierung von Risikomanagementprozessen)

Empfohlen

• Auditreife ISO 27001 Klausel 6 für ISMS-Teams: Ergebnisse auf Nachweise abbilden
• Nachweisarten für ISO 27001-Audits: Ein praxisorientierter Leitfaden
• Auditreife ISO 27001 Klausel 9 für ISMS-Teams: KPIs & Review-Paket
• Für Implementierer: 8 auditreife ISO 27001 Kennzahlen mit Formel, Quelle und Verantwortlichem