Dezember 21, 2025

Anhang A 5.4 Verantwortlichkeiten des Managements

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Das Management trägt die übergeordnete Verantwortung für die Etablierung, Umsetzung und Wirksamkeit der Informationssicherheit innerhalb der Organisation. Informationssicherheit ist nicht ausschließlich eine technische oder operative Aufgabe, sondern ein wesentliches Führungs- und Governance-Thema. Dieses Control stellt sicher, dass die oberste Leitung ihre Verantwortung aktiv wahrnimmt, Informationssicherheit strategisch steuert und dauerhaft unterstützt.

Zweck des Controls

A 5.4 soll gewährleisten, dass das Management die Verantwortung für Informationssicherheit übernimmt, diese sichtbar unterstützt und in die Führungs- und Entscheidungsprozesse der Organisation integriert. Ziel ist es, sicherzustellen, dass Informationssicherheit als integraler Bestandteil der Unternehmensführung verstanden wird und dass das ISMS angemessen gesteuert, überwacht und kontinuierlich verbessert wird.

Anforderungen und Maßnahmen

1. Festlegung der Managementverantwortung für Informationssicherheit

Das Management muss seine Verantwortung für Informationssicherheit klar definieren und wahrnehmen, insbesondere durch:

  • Übernahme der Gesamtverantwortung für das ISMS
  • Festlegung strategischer Ziele der Informationssicherheit
  • Integration von Informationssicherheit in Unternehmensstrategie und Governance
  • Unterstützung der Einhaltung gesetzlicher, regulatorischer und vertraglicher Anforderungen

Diese Verantwortung kann delegiert, jedoch nicht abgegeben werden.

2. Genehmigung und Unterstützung der Informationssicherheitsleitlinie

Das Management ist verantwortlich für:

  • Genehmigung der Informationssicherheitsleitlinie und wesentlicher Richtlinien
  • Sicherstellung der Übereinstimmung mit den Unternehmenszielen
  • Kommunikation der Leitlinie innerhalb der Organisation
  • Sichtbare Unterstützung der definierten Sicherheitsgrundsätze

Damit wird die Verbindlichkeit der Informationssicherheit unterstrichen.

3. Bereitstellung von Ressourcen

Um die Wirksamkeit des ISMS sicherzustellen, muss das Management:

  • ausreichende personelle, finanzielle und technische Ressourcen bereitstellen
  • geeignete Rollen und Verantwortlichkeiten benennen
  • sicherstellen, dass Rolleninhaber über notwendige Kompetenzen verfügen
  • Prioritäten für sicherheitsrelevante Maßnahmen setzen

Ohne angemessene Ressourcen können Sicherheitsziele nicht erreicht werden.

4. Förderung einer Sicherheitskultur

Das Management muss aktiv zu einer positiven Sicherheitskultur beitragen, unter anderem durch:

  • Vorleben sicherheitsbewussten Handelns („Tone from the Top“)
  • Unterstützung von Schulungs- und Awareness-Maßnahmen
  • Förderung offener Kommunikation zu Sicherheitsrisiken und Vorfällen
  • Etablierung einer Kultur, in der Sicherheitsvorfälle gemeldet werden können

Eine gelebte Sicherheitskultur ist entscheidend für den Erfolg des ISMS.

5. Integration der Informationssicherheit in Geschäftsprozesse

Informationssicherheit muss Bestandteil relevanter Management- und Geschäftsprozesse sein:

  • Berücksichtigung von Sicherheitsaspekten bei strategischen Entscheidungen
  • Integration in Risiko-, Projekt- und Änderungsmanagement
  • Einbindung in Beschaffungs-, Outsourcing- und Lieferantenprozesse
  • Abstimmung mit Datenschutz, Compliance und Business Continuity

Dies stellt sicher, dass Informationssicherheit nicht isoliert betrachtet wird.

6. Überwachung und Bewertung der Wirksamkeit

Das Management muss die Wirksamkeit des ISMS regelmäßig überwachen:

  • Durchführung von Management Reviews
  • Bewertung von Risiken, Vorfällen und Kennzahlen
  • Überprüfung von Audit-Ergebnissen und Abweichungen
  • Festlegung und Nachverfolgung von Verbesserungsmaßnahmen

So wird eine kontinuierliche Verbesserung sichergestellt.

7. Umgang mit Abweichungen und Sicherheitsvorfällen

Das Management muss sicherstellen, dass:

  • Sicherheitsvorfälle angemessen eskaliert und behandelt werden
  • Ursachen analysiert und geeignete Maßnahmen ergriffen werden
  • Abweichungen vom ISMS bewertet und korrigiert werden
  • notwendige Entscheidungen zeitnah getroffen werden

Dies reduziert Auswirkungen und stärkt die Resilienz der Organisation.

8. Sicherstellung der kontinuierlichen Verbesserung

Das Management trägt Verantwortung für:

  • Festlegung von Verbesserungszielen für Informationssicherheit
  • Förderung von Lessons Learned aus Vorfällen und Audits
  • Anpassung des ISMS an neue Risiken, Technologien und Anforderungen
  • Regelmäßige Überprüfung der Angemessenheit des ISMS

Damit bleibt das Informationssicherheitsmanagement dauerhaft wirksam.

Zusammenfassung

A 5.4 fordert, dass das Management die Verantwortung für Informationssicherheit aktiv übernimmt und sichtbar wahrnimmt. Durch strategische Steuerung, Bereitstellung von Ressourcen, Förderung einer Sicherheitskultur, Integration in Geschäftsprozesse sowie regelmäßige Überwachung und Verbesserung stellt das Management sicher, dass Informationssicherheit nachhaltig und wirksam in der Organisation verankert ist. Dieses Control ist eine zentrale Voraussetzung für ein funktionierendes und glaubwürdiges Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 5.4 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 5.4 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Wie stellt das Management sicher, dass Sicherheitsregeln eingehalten werden?“
Das Control richtet sich an Führungskräfte, nicht an das ISMS-Team. Gefragt ist deren aktiver Beitrag.
„Wie werden Führungskräfte auf diese Pflicht hingewiesen?“
Ohne eigene Unterweisung wissen viele Führungskräfte nicht, dass ihnen diese Rolle zugewiesen ist.
„Was tut eine Führungskraft bei einem Verstoß im eigenen Bereich?“
Hier verbindet sich das Control mit dem Maßregelungsprozess – die Schnittstelle muss geregelt sein.
„Wie belegen Sie, dass das gelebt wird?“
Teambesprechungen mit Sicherheitsthemen, dokumentierte Unterweisungen, Nachweise über Freigaben.
Das Dokument dazu

A 5.4-1 Verantwortlichkeiten des Managements

Pflichten der Führungskräfte im ISMS · Unterweisung und Kommunikation an die Führungsebene · Schnittstelle zum Maßregelungsprozess und Nachweise. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick