Verbesserungsgrundsatz: Verbesserungen werden aus Risiken, Zielen, Messungen, Audits, Vorfällen, Änderungen und Erfahrungen abgeleitet, priorisiert, mit Ressourcen umgesetzt und anhand vorab festgelegter Kriterien auf Wirkung geprüft.
Abschlussregel: Eine Idee, Genehmigung, Dokumentänderung oder Fertigmeldung ist noch keine wirksame Verbesserung. Ein Abschluss setzt vollständige Umsetzung, geprüfte Wirkung, behandelte Nebenwirkungen und eine nachvollziehbare Abschlussentscheidung voraus.
Beispieldokument: Prioritäten, Rollen, Fristen und Bewertungsmaßstäbe sind Musterwerte für die fiktive „Muster GmbH“. Sie müssen vor der Freigabe an Organisation, Risiken, Ressourcen und Entscheidungsbefugnisse angepasst werden.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-08-01 |
| Dokumentenart | Verfahren und Register für kontinuierliche Verbesserung |
| Wiki.js-Pfad | /ISMS/08-Audit-und-Verbesserung/Kontinuierliche-Verbesserung |
| Verantwortlich | ISMS-Beauftragte/r |
| Fachlich geprüft durch | Geschäftsführung, Prozess- und Control Owner, Audit, IT, Datenschutz, Compliance, BCM und TISAX-Koordination |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Verbesserungsportfolio und Entscheidungsprozess nicht operationalisiert |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern; Detailnachweise nach ihrem Schutzbedarf |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 9.1, 9.3, 10.1 und 10.2 |
| VDA-ISA-Bezug | ISA 6.0.3; Verbesserungs- und Reifegradsteuerung über alle betroffenen Kontrollfragen |
Dieses Verfahren regelt, wie Verbesserungsmöglichkeiten:
werden.
Ziel ist ein nachvollziehbarer Verbesserungsprozess, der tatsächliche Sicherheitswirkung statt bloßer Aktivität erzeugt.
Das Verfahren gilt für Verbesserungen:
Es gilt für freiwillige Verbesserungsideen ebenso wie für Verbesserungsaufträge aus Managemententscheidungen. Verpflichtende Korrekturen aufgrund einer Nichtkonformität bleiben im Korrekturprozess führend.
| Begriff | Bedeutung | führende Steuerung |
|---|---|---|
| Verbesserungsidee | Vorschlag ohne bereits bestätigte Entscheidung oder Verpflichtung | diese Seite |
| Verbesserungspotenzial | fachlich bestätigte Möglichkeit, Leistung oder Wirksamkeit zu erhöhen | diese Seite |
| Verbesserungsmaßnahme | freigegebene Aktivität mit Ziel, Owner, Ressourcen und Wirkungskriterium | diese Seite |
| Korrektur | unmittelbare Beseitigung einer erkannten Abweichung | Korrekturprozess |
| Korrekturmaßnahme | Beseitigung einer bestätigten Ursache, um Wiederauftreten zu verhindern | Korrekturprozess |
| Risikobehandlung | Veränderung eines identifizierten Informationssicherheitsrisikos | Risikobehandlungsplan |
| Zielmaßnahme | Aktivität zur Erreichung eines freigegebenen Informationssicherheitsziels | Ziel-/Maßnahmensteuerung |
| Innovation | neue Lösung oder Vorgehensweise mit möglichem Sicherheitsnutzen und Unsicherheit | diese Seite/Change-Prozess |
| Lessons Learned | aus Ereignis, Test, Projekt oder Erfahrung abgeleitete Erkenntnis | Ursprungsprozess und diese Seite |
| Standardisierung | Übernahme einer bestätigten Verbesserung in Regelbetrieb, Dokumentation und Schulung | betroffene Prozess-Owner |
Eine verpflichtende Nichtkonformität darf nicht als freiwillige Verbesserungsidee umklassifiziert werden, um Fristen, Ursachenanalyse oder Wirksamkeitsprüfung zu umgehen.
| Phase | Leitfrage | typische Aktivitäten | Ergebnis |
|---|---|---|---|
| Plan | Was soll warum verbessert werden? | Ausgangslage, Ziel, Risiko, Kriterien, Owner und Ressourcen festlegen | freigegebener Verbesserungsplan |
| Do | Wie wird die Änderung sicher umgesetzt? | entwickeln, pilotieren, testen, schulen und einführen | Umsetzungsnachweise |
| Check | Hat sich der beabsichtigte Zustand verbessert? | Soll-Ist-Vergleich, Stichprobe, Test, Audit und Risikoneubewertung | Wirksamkeitsbewertung |
| Act | Wie wird der Nutzen gesichert oder nachgesteuert? | standardisieren, ausrollen, korrigieren, neu planen oder zurückrollen | Abschluss- oder Neuentscheidung |
Die Phasen werden nicht nur dokumentiert, sondern praktisch durchgeführt und belegt.
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Verbesserungsrahmen, wesentliche Prioritäten, Ressourcen und Entscheidungen freigeben |
| ISMS-Beauftragte/r | Ideenkanal, Register, Qualitätsprüfung, Portfolio und Managementbericht koordinieren |
| Ideengeber/in | Bedarf, Beobachtung und erwarteten Nutzen nachvollziehbar beschreiben |
| Prozess-/Control Owner | fachlichen Bedarf, Zielzustand, Integration und dauerhaften Betrieb verantworten |
| Verbesserungs-Owner | Planung, Umsetzung, Ressourcen, Termine, Nachweise und Eskalation koordinieren |
| Maßnahmenverantwortliche/r | zugewiesene Aktivitäten durchführen und belegen |
| Risk Owner | Risiken, Nebenwirkungen, Restrisiko und Behandlung bewerten |
| Change-/Betriebsverantwortung | technische oder operative Änderung sicher freigeben und umsetzen |
| prüfende Rolle | Umsetzung, Datenqualität und Wirksamkeit objektiv bewerten |
| Audit | Prozess, Auswahl, Nachweise und Wirksamkeit unabhängig prüfen |
| Datenschutz/Compliance | rechtliche, vertragliche, personenbezogene und Kundenwirkungen prüfen |
| TISAX-Koordination | Auswirkungen auf Kontrollfragen, Reifegrad und Assessmentnachweise nachführen |
Die Person, die eine Maßnahme umsetzt, bestätigt ihre Wirksamkeit bei wesentlichen Änderungen nicht allein.
| Quelle | mögliche Verbesserung | führende Referenz |
|---|---|---|
| Managementbewertung | Priorität, Ressource oder strukturelle Änderung | Managementbeschluss |
| Audit | Verbesserungspotenzial oder systemische Erkenntnis | Auditbericht/Feststellungs-ID |
| Abweichung | über die Korrektur hinausgehende systemische Verbesserung | Abweichungs-/Maßnahmen-ID |
| Sicherheitsvorfall | Prozess-, Kontroll- oder Reaktionsverbesserung | Incident-/Lessons-Learned-ID |
| Risikoanalyse | zusätzliche oder effizientere Risikobehandlung | Risiko-ID |
| Kennzahlen/Ziele | Zielabweichung, Fehlanreiz oder Messverbesserung | Ziel-/KPI-ID |
| TISAX-Selbsteinschätzung | Reifegrad- oder Nachweislücke | ISA-Kontrollfrage |
| BCM-/Wiederanlauftest | verbesserte Notbetriebs- oder Wiederanlauffähigkeit | Test-/Übungs-ID |
| Lieferantenreview | Vertrags-, Kontroll-, Exit- oder Resilienzverbesserung | Lieferanten-/Vertrags-ID |
| Mitarbeitendenmeldung | unsichere, unklare oder ineffiziente Arbeitsweise | geschützter Hinweis |
| Projekt/Change | übertragbare Erfahrung oder bessere Sicherheitsintegration | Projekt-/Change-ID |
| Bedrohungsentwicklung | neue oder veränderte Schutzmaßnahme | Threat-/Risiko-Referenz |
| Rechts-/Vertragsänderung | Anpassung von Prozess, Kontrolle oder Nachweis | Anforderungs-ID |
Verbesserungsideen können über einen festgelegten Wiki-, Ticket-, Workshop- oder Meldeweg eingereicht werden.
Mindestens erfasst werden:
Sicherheitsvorfälle, kritische Schwachstellen oder vermutete Rechtsverletzungen werden unverzüglich an den zuständigen Meldeprozess weitergeleitet und nicht nur als Verbesserungsidee erfasst.
| Kategorie | Zweck | Beispiel |
|---|---|---|
| Wirksamkeit | bessere Sicherheitswirkung erzielen | Erkennungs- oder Reaktionsfähigkeit verbessern |
| Resilienz | Widerstandsfähigkeit und Wiederanlauf stärken | Abhängigkeit reduzieren |
| Steuerung | Transparenz, Verantwortung und Entscheidung verbessern | Owner- oder Eskalationsmodell klären |
| Standardisierung | bewährte Vorgehensweise einheitlich ausrollen | erfolgreiche Kontrolle auf weitere Bereiche übertragen |
| Vereinfachung | unnötige Komplexität ohne Schutzverlust reduzieren | redundante Freigabeschritte konsolidieren |
| Automatisierung | manuelle Fehler und Verzögerung reduzieren | kontrollierte Datenprüfung automatisieren |
| Kompetenz | Wissen und Handlungsfähigkeit verbessern | rollenbezogene Übung einführen |
| Nachweisfähigkeit | Durchführung und Wirkung besser belegen | revisionssicheren Prüfnachweis schaffen |
| TISAX-Reifegrad | Prozessausführung und Steuerung kontrollfragenbezogen verbessern | Reifegradlücke behandeln |
| Innovation | neue Schutzmöglichkeit kontrolliert erproben | Pilot für neue Erkennungsmethode |
Das ISMS beziehungsweise die zuständige Koordination prüft:
| Status | Bedeutung |
|---|---|
| Eingegangen | Idee wurde erfasst, aber noch nicht geprüft |
| In Vorprüfung | Zuständigkeit, Kategorie, Dringlichkeit und Vollständigkeit werden geprüft |
| Zur Ergänzung | erforderliche Angaben oder Nachweise fehlen |
| In Bewertung | Nutzen, Risiken, Aufwand und Abhängigkeiten werden bewertet |
| Zur Entscheidung | Entscheidungsvorlage ist vollständig |
| Angenommen | Verbesserung wurde grundsätzlich freigegeben |
| Abgelehnt | Vorschlag wird begründet nicht verfolgt |
| Zurückgestellt | derzeit nicht priorisiert; Reviewtermin und Grund sind festgelegt |
| Zusammengeführt | Inhalt wird unter einer anderen Verbesserungs-ID weitergeführt |
Eine angenommene Idee ist noch keine umgesetzte Verbesserung.
| Kriterium | Leitfrage |
|---|---|
| Sicherheitsnutzen | Welcher konkrete Schutz- oder Steuerungseffekt wird erwartet? |
| Risikorelevanz | Welche Risiken werden reduziert oder neu erzeugt? |
| Verpflichtung | Besteht eine Rechts-, Vertrags-, Kunden-, ISO- oder TISAX-Anforderung? |
| Dringlichkeit | Welche Folge hat eine Verzögerung? |
| Reichweite | Welche Standorte, Prozesse, Systeme und Personen sind betroffen? |
| Nachhaltigkeit | Ist die Wirkung dauerhaft und im Betrieb tragfähig? |
| Machbarkeit | Sind Technik, Kompetenz, Zeit und Ressourcen verfügbar? |
| Abhängigkeiten | Welche Vorhaben, Lieferanten oder Entscheidungen wirken mit? |
| Nebenwirkungen | Können Verfügbarkeit, Datenschutz, Sicherheit oder Arbeitsabläufe beeinträchtigt werden? |
| Nachweisbarkeit | Kann Umsetzung und Wirkung angemessen geprüft werden? |
| Übertragbarkeit | Ist der Nutzen auf weitere Bereiche übertragbar? |
| Aufwand/Nutzen | Steht der erwartete Nutzen in einem angemessenen Verhältnis zum Aufwand? |
Die Priorität berücksichtigt Risiko, Verpflichtung, Nutzen, Dringlichkeit, Aufwand und Abhängigkeiten.
| Priorität | typische Situation | Steuerung |
|---|---|---|
| P1 – Sofort | unmittelbare erhebliche Gefährdung oder zwingende Eskalation | in Incident-, Abweichungs- oder Risikoprozess überführen und unverzüglich behandeln |
| P2 – Hoch | wesentliche Risikoreduktion, Pflicht oder Managementpriorität | priorisiert planen und regelmäßig berichten |
| P3 – Mittel | relevanter Nutzen bei planbarer Umsetzung | in freigegebenem Verbesserungszeitraum bearbeiten |
| P4 – Optimierung | begrenztes Verbesserungspotenzial ohne erhöhtes Risiko | nach Portfolio, Nutzen und Ressourcen entscheiden |
P1 ist kein normaler Ideenstatus. Die unmittelbare Gefährdung wird im dafür vorgesehenen operativen Prozess behandelt.
Vor einer Freigabe werden mindestens festgelegt:
| Entscheidung | Folge |
|---|---|
| Freigegeben | Planung und Umsetzung dürfen im genehmigten Rahmen beginnen |
| Freigegeben mit Auflagen | Umsetzung ist an dokumentierte Bedingungen gebunden |
| Pilot freigegeben | begrenzte Erprobung; noch keine allgemeine Einführung |
| Zur Überarbeitung | Vorlage ist nicht entscheidungsreif |
| Zurückgestellt | Termin und erneuter Bewertungsanlass werden dokumentiert |
| Abgelehnt | Grund, Risiko und gegebenenfalls Alternative werden dokumentiert |
| In anderen Prozess überführt | führende Risiko-, Korrektur-, Incident- oder Projekt-ID wird verknüpft |
Eine technische Möglichkeit oder ein bereits gestarteter Versuch ersetzt keine erforderliche Entscheidung.
| Feld | Mindestinhalt |
|---|---|
| Verbesserungs-ID | eindeutige Kennzeichnung KVP-JJJJ-NNN |
| Zielzustand | konkretes und überprüfbares Ergebnis |
| Baseline | bestätigter Ausgangszustand |
| Scope | Prozesse, Systeme, Standorte und Zielgruppen |
| Owner | fachliche Ergebnisverantwortung |
| Maßnahmen | konkrete Arbeitspakete |
| Ressourcen | Personal, Budget, Werkzeuge und externe Unterstützung |
| Meilensteine | prüfbare Zwischenergebnisse |
| Abhängigkeiten | andere Projekte, Lieferanten und Entscheidungen |
| Risiken | Einführungs-, Betriebs- und Restrisiken |
| Zieltermin | bestätigter Fertigstellungstermin |
| Umsetzungsnachweis | Beleg der vollständigen Einführung |
| Wirksamkeitskriterium | messbarer oder prüfbarer Sicherheitseffekt |
| Prüftermin | Zeitpunkt mit angemessener Wirkungsdauer |
| Rollback/Exit | Vorgehen bei Scheitern oder Nebenwirkungen |
Die folgende Zeile ist eine Ausfüllvorlage und kein aktiver Verbesserungsdatensatz.
| Verbesserungs-ID | Titel/Quelle | Kategorie | Bezug | Priorität | Owner | Zielzustand | Zieltermin | Wirksamkeitskriterium | Status | Nachweis |
|---|---|---|---|---|---|---|---|---|---|---|
[KVP-JJJJ-NNN] |
[Titel/Referenz] |
[Kategorie] |
[Risiko/Ziel/Control] |
[P1–P4] |
[Rolle] |
[Ergebnis] |
[Datum] |
[Kriterium] |
Eingegangen | [Pfad] |
| Status | Bedeutung |
|---|---|
| Planung | Lösung, Ressourcen und Termine werden konkretisiert |
| Freigegeben | Plan, Owner, Ressourcen, Risiken und Kriterien sind bestätigt |
| In Umsetzung | mindestens ein freigegebenes Arbeitspaket wird bearbeitet |
| Pilotbetrieb | begrenzte Erprobung im freigegebenen Scope |
| Blockiert | dokumentierte Abhängigkeit verhindert den Fortschritt |
| Zur Umsetzungsprüfung | Einführung wurde gemeldet; Vollständigkeit wird geprüft |
| Zur Wirksamkeitsprüfung | Umsetzung ist bestätigt; Wirkung wird nach angemessener Zeit geprüft |
| Wirksam abgeschlossen | Ziel und Wirkung sind nachgewiesen und Abschluss ist bestätigt |
| Teilweise wirksam | Nutzen ist nur begrenzt erreicht; Folgebedarf besteht |
| Nicht wirksam | beabsichtigte Wirkung wurde nicht erreicht |
| Abgebrochen | Umsetzung wurde befugt beendet; Auswirkungen und Restbedarf sind bewertet |
| Überfällig | freigegebener Termin ist ohne wirksamen Abschluss überschritten |
Vor Umsetzung werden:
Ein nicht bestätigter Ausgangszustand erschwert die Wirkungsmessung und wird als Einschränkung dokumentiert.
Ein Pilot wird verwendet, wenn Unsicherheit, Risiko oder Veränderungsumfang eine begrenzte Erprobung sinnvoll machen.
Der Pilot enthält:
Ein erfolgreicher Pilot belegt nur die geprüfte Umgebung und wird vor einer breiteren Einführung auf Übertragbarkeit bewertet.
Verbesserungen mit technischen oder organisatorischen Änderungen werden in die jeweiligen Change-, Projekt-, Datenschutz-, Betriebs- und Freigabeprozesse integriert.
Mindestens werden geprüft:
Eine Verbesserungsfreigabe ersetzt keine erforderliche Produktions-, Datenschutz- oder Kundenfreigabe.
Während der Umsetzung werden:
Wesentliche Scope-, Ziel-, Risiko- oder Ressourcenänderungen benötigen eine neue Entscheidung.
Vor der Wirksamkeitsprüfung wird bestätigt:
„Technisch eingebaut“ oder „Ticket geschlossen“ reicht nicht als vollständige Umsetzungsprüfung.
Die Prüfmethode wird vor Umsetzung festgelegt und kann umfassen:
Die Prüfung erfolgt nach einer angemessenen Wirkungsdauer. Ein zu früher Test wird als Einschränkung behandelt.
| Ergebnis | Bedeutung | Folge |
|---|---|---|
| Wirksam | Zielzustand erreicht, Wirkung bestätigt, keine unvertretbaren Nebenwirkungen | standardisieren und Abschluss prüfen |
| Teilweise wirksam | Teilnutzen erreicht, aber Lücke oder Nebenwirkung bleibt | Folgemaßnahme und erneute Prüfung |
| Nicht wirksam | Zielzustand oder beabsichtigte Wirkung nicht erreicht | Ursache bewerten, neu planen oder abbrechen |
| Nicht bewertbar | Daten, Zeit, Scope oder Prüfmethode reichen nicht aus | Bewertungsgrundlage verbessern und erneut prüfen |
Eine positive Selbsteinschätzung des Maßnahmen-Owners allein reicht für wesentliche Verbesserungen nicht aus.
Nach Umsetzung werden insbesondere geprüft:
Neue Risiken werden im Risikoregister erfasst und behandelt.
Eine Verbesserung wird nur „wirksam abgeschlossen“, wenn:
Bei fehlender Wirkung oder Abbruch werden:
Der Datensatz wird nicht gelöscht oder stillschweigend als erledigt markiert.
Nach bestätigter Wirkung wird geprüft:
Eine Übertragung auf andere Bereiche wird erneut risikobasiert geplant und nicht ungeprüft kopiert.
Verbesserungen werden dauerhaft verankert durch:
Die Dokumentation wird nach der Dokumentenlenkung geändert und freigegeben.
Lessons Learned enthalten:
Erkenntnisse werden nicht nur gesammelt, sondern auf Umsetzbarkeit und erforderliche Maßnahmen bewertet.
Das ISMS prüft regelmäßig:
Systemische Themen werden gebündelt bewertet und an die zuständige Managementebene eskaliert. Einzelkorrekturen dürfen eine gemeinsame Ursache nicht verdecken.
Das Portfolio stellt mindestens dar:
Mehrere Verbesserungen mit gemeinsamen Ressourcen oder Risiken werden zusammen priorisiert.
| Prüfaspekt | Leitfrage |
|---|---|
| Strategie | Unterstützt das Portfolio Leitlinie, Ziele und Geschäftsbedarf? |
| Risiko | Werden wesentliche Risiken angemessen priorisiert? |
| Verpflichtungen | Sind Rechts-, Vertrags-, Kunden- und TISAX-Bedarfe berücksichtigt? |
| Ressourcen | Sind Personal, Budget, Kompetenz und Zeit realistisch? |
| Abhängigkeiten | Sind Konflikte und Reihenfolgen sichtbar? |
| Balance | Werden kurzfristige Korrekturen und nachhaltige Verbesserungen ausgewogen behandelt? |
| Wirkung | Liegen belastbare Wirksamkeitsnachweise vor? |
| Überfälligkeit | Sind Verzögerungen und Blockaden eskaliert? |
| Lernen | Werden erfolgreiche Lösungen übertragen und Fehlschläge genutzt? |
Die Managementbewertung bewertet:
Managementbeschlüsse erhalten Owner, Ressourcen, Termin und erwarteten Nachweis. Der Beschluss allein ist noch keine Umsetzung.
Bei bestätigten Nichtkonformitäten bleibt Abweichungen und Korrekturmaßnahmen führend.
Dieses Verbesserungsverfahren wird ergänzend genutzt, wenn:
Beide Register werden über IDs verknüpft. Ein Statuswechsel in einem Register schließt den Vorgang im anderen nicht automatisch.
Verbesserungen werden mit:
verknüpft, wenn Risiko, Maßnahme, Ziel oder Messung betroffen sind.
Eine Verbesserung ersetzt nicht automatisch eine erforderliche Risikobehandlung oder Korrekturmaßnahme.
Für die VDA ISA gilt:
Die führenden TISAX-Seiten sind:
| Kennzahl | Zweck | Aussagegrenze |
|---|---|---|
| eingegangene Ideen | Beteiligung und Themenaufkommen erkennen | hohe Anzahl bedeutet nicht automatisch hohe Verbesserung |
| bewertete Ideen | Prozessdurchsatz messen | Qualität der Bewertung separat prüfen |
| angenommene Verbesserungen | freigegebenes Portfolio darstellen | Genehmigung ist keine Umsetzung |
| fristgerecht umgesetzte Verbesserungen | Umsetzungsdisziplin bewerten | Wirkung noch separat prüfen |
| wirksam abgeschlossene Verbesserungen | bestätigten Nutzen darstellen | Kriterien und Prüftiefe müssen geeignet sein |
| teilweise/nicht wirksame Verbesserungen | Lern- und Nachsteuerungsbedarf erkennen | offene Fehlerkultur fördern |
| überfällige/blockierte Verbesserungen | Ressourcen- und Eskalationsbedarf erkennen | Priorität und Ursache berücksichtigen |
| übertragene Verbesserungen | Standardisierung und Skalierung erkennen | Übertragbarkeit muss geprüft sein |
| wiederkehrende Ursachen | systemischen Handlungsbedarf erkennen | vollständige Quellenbasis erforderlich |
Zielwerte, Formeln und Datenquellen werden vor einer Leistungsbewertung unter Kennzahlen und Zielerreichung freigegeben.
| Prüfaspekt | bestätigter Stand |
|---|---|
| freigegebenes Verbesserungsverfahren | 0 nachgewiesen |
| formal geführtes Verbesserungsportfolio | 0 nachgewiesen |
| bestätigte Verbesserungs-Owner | 0 nachgewiesen |
| freigegebene Verbesserungsvorhaben | 0 nachgewiesen |
| wirksam abgeschlossene Verbesserungen | 0 nachgewiesen |
| freigegebene Verbesserungskennzahlen | 0 nachgewiesen |
Dieser Musterstand belegt nicht, dass im Unternehmen keine Verbesserungen stattgefunden haben. Er zeigt nur, dass noch kein organisationsbezogen freigegebenes Register und keine belastbare Auswertung vorliegen.
Verbesserungsvorschläge können Schwachstellen, Vorfälle, Personaldaten oder kritische Systemdetails enthalten. Deshalb gelten:
Allgemeine Berichte verwenden geeignete Aggregation und veröffentlichen keine unnötigen technischen oder personenbezogenen Details.
| Nachweis | Mindestinhalt |
|---|---|
| Verbesserungsidee | Quelle, Ausgangslage, Scope, Nutzen und Datum |
| Bewertung | Kriterien, Risiken, Optionen, Ergebnis und prüfende Rollen |
| Entscheidung | Version, Befugnis, Datum, Ressourcen und Auflagen |
| Verbesserungsplan | Ziel, Baseline, Maßnahmen, Owner, Termine und Kriterien |
| Pilot-/Testnachweis | Scope, Methode, Ergebnis, Abweichungen und Entscheidung |
| Umsetzungsnachweis | vollständig eingeführte Arbeitspakete und Versionen |
| Wirksamkeitsprüfung | Methode, Wirkungsdauer, Daten, Ergebnis und Einschränkungen |
| Risikoneubewertung | alte/neue Bewertung, Begründung und Restrisiko |
| Standardisierung | geänderte Dokumente, Schulung, Betrieb und Übertragung |
| Abschluss | Ergebnis, Restpunkte, prüfende Rolle und Datum |
| Lessons Learned | Erkenntnisse, Übertragbarkeit und Folgemaßnahmen |
Audits prüfen risikobasiert:
| Thema | Dokument |
|---|---|
| Informationssicherheitsrahmen | Informationssicherheitspolitik |
| Dokumentenänderungen | Dokumentenlenkung |
| Ziele | Informationssicherheitsziele |
| Risiken | Risikoregister |
| Behandlungsmaßnahmen | Risikobehandlungsplan |
| SoA | Statement of Applicability |
| TISAX-Bewertung | VDA-ISA-Selbsteinschätzung |
| TISAX-Maßnahmen | Maßnahmenplan und Reifegrad |
| Audit | Auditprogramm |
| Abweichungen/Korrekturen | Abweichungen und Korrekturmaßnahmen |
| Kennzahlen | Kennzahlen und Zielerreichung |
| Managemententscheidungen | Managementbewertung |
| Prüffrage | Status Entwurf |
|---|---|
| Sind Eingangskanal, ID-Vergabe und Register eingerichtet? | Nein |
| Sind Abgrenzungen zu Incident, Risiko und Korrektur operationalisiert? | Nein |
| Sind Kategorien, Kriterien und Prioritäten freigegeben? | Nein |
| Sind Rollen, Befugnisse und Stellvertretungen bestätigt? | Nein |
| Sind Ressourcen-, Portfolio- und Entscheidungsprozesse eingerichtet? | Nein |
| Sind Pilot-, Change-, Test- und Rollbackregeln integriert? | Nein |
| Sind Umsetzungs- und Wirksamkeitsprüfungen organisatorisch getrennt? | Nein |
| Sind Kennzahlen und Managementbericht freigegeben? | Nein |
| Sind Datenschutz und Schutz sensibler Meldungen geregelt? | Nein |
| Ist die Verbindung zu SoA und allen 46 TISAX-Fragen eingerichtet? | Nein |
| Liegen fachliche Prüfung und Geschäftsführungsfreigabe vor? | Nein |
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Musterverfahren und leeres Register für kontinuierliche Verbesserung erstellt | ISMS-Beauftragte/r | Ausstehend | – |
Für dieses Beispiel wird der dokumentierte Arbeitsstand ISA 6.0.3 verwendet. Vor der Freigabe sind die tatsächlich anzuwendende ISA-Version, der ISMS- und Assessment-Scope sowie Rollen, Ressourcen, Verbesserungsziele und Nachweisprozesse zu bestätigen.