¶ ISO 27001 Kapitel 9 – Bewertung der Leistung
Muster-Wiki / Entwurf: Zusammenfassung in eigenen Worten; maßgeblich bleibt die lizenzierte Norm.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokument-ID | ISMS-ISO-09 |
| Wiki.js-Pfad | /ISMS/10-ISO-27001-2022/09-Bewertung-der-Leistung |
| Version / Stand | 1.0 / 09.08.2026 |
| Status / Freigabe | Entwurf / Ausstehend |
| Verantwortlich | ISMS, interne Auditfunktion und Geschäftsführung |
¶ Zweck des Kapitels
Kapitel 9 beantwortet, ob das ISMS wie geplant funktioniert. Messungen, interne Audits und Managementbewertung betrachten unterschiedliche Ebenen: Kennzahlen liefern laufende Signale, Audits prüfen Konformität und Umsetzung, und die Leitung bewertet Eignung, Angemessenheit und Wirksamkeit des Gesamtsystems.
¶ Unterkapitel
| Abschnitt | Prüfauftrag | Zentrales Ergebnis |
|---|---|---|
| 9.1 Überwachung, Messung, Analyse und Bewertung | Messgegenstand, Methode, Zeitpunkt, Verantwortliche und Auswertung bestimmen | Kennzahlensystem mit belastbaren Daten und Entscheidungen |
| 9.2.1 Interne Audits – allgemein | Konformität mit eigenen und normativen Anforderungen sowie wirksame Umsetzung prüfen | unabhängige Feststellungen und belastbare Auditnachweise |
| 9.2.2 Auditprogramm | Häufigkeit, Methoden, Verantwortlichkeiten, Kriterien, Umfang und Berichterstattung risikobasiert planen | mehrjähriges Auditprogramm und einzelne Auditpläne |
| 9.3.1 Managementbewertung – allgemein | ISMS in geplanten Abständen durch die Leitung bewerten | protokollierte Managemententscheidung |
| 9.3.2 Eingaben | Status, Veränderungen, Leistung, Risiken, Chancen und Rückmeldungen zusammenführen | vollständige und entscheidungsreife Bewertungsunterlage |
| 9.3.3 Ergebnisse | Entscheidungen zu Verbesserungen und Änderungsbedarf treffen | Maßnahmen, Verantwortliche, Ressourcen und Termine |
¶ Typische Nachweise
- Kennzahlen und Zielerreichung
- Auditprogramm
- Interne Audits
- Managementbewertung
- Wirksamkeitsmessungen
¶ Geeignete Kennzahlen
Kennzahlen sollten eine Entscheidung ermöglichen. Beispiele sind fristgerecht behandelte kritische Schwachstellen, erfolgreich getestete Wiederherstellungen, abgeschlossene Berechtigungsreviews, Umsetzungsgrad freigegebener Maßnahmen, Reaktionszeiten bei Vorfällen und Erreichungsgrad der Sicherheitsziele. Eine reine Anzahl ohne Sollwert, Zeitraum oder Interpretation ist selten ausreichend.
¶ Auditfragen
- Sind Methoden und Datenquellen reproduzierbar und vor Manipulation geschützt?
- Deckt das Auditprogramm innerhalb eines angemessenen Zyklus den gesamten Scope ab?
- Ist die Unabhängigkeit der Auditorinnen und Auditoren gewährleistet?
- Enthält die Managementbewertung alle erforderlichen Eingaben und konkrete Beschlüsse?
- Werden Beschlüsse nachverfolgt und ihre Wirksamkeit später bewertet?
¶ Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | Arbeitsseite zu Kapitel 9 erstellt | Ausstehend |