Januar 4, 2026

Klausel 10.1 Fortlaufende Verbesserung

(nach ISO/IEC 27001:2022)

Die fortlaufende Verbesserung ist ein zentrales Prinzip des Informationssicherheitsmanagementsystems (ISMS). Informationssicherheit ist kein statischer Zustand, sondern muss kontinuierlich an neue Bedrohungen, technologische Entwicklungen, organisatorische Veränderungen und regulatorische Anforderungen angepasst werden. Diese Klausel stellt sicher, dass die Organisation ihr ISMS systematisch weiterentwickelt und dessen Wirksamkeit nachhaltig verbessert.

Zweck der Klausel

Klausel 10.1 soll gewährleisten, dass die Organisation kontinuierlich Maßnahmen zur Verbesserung der Angemessenheit, Eignung und Wirksamkeit des ISMS identifiziert und umsetzt. Ziel ist es, das Informationssicherheitsniveau fortlaufend zu erhöhen und das ISMS an veränderte Rahmenbedingungen anzupassen.

Anforderungen und Maßnahmen

1. Verpflichtung zur kontinuierlichen Verbesserung

Die Organisation muss sich zur fortlaufenden Verbesserung verpflichten, insbesondere:

  • Weiterentwicklung von Prozessen und Maßnahmen
  • Anpassung an neue Risiken und Bedrohungen
  • Optimierung organisatorischer und technischer Kontrollen
  • Förderung einer lernenden Organisation

Verbesserung ist ein dauerhafter Managementprozess.

2. Nutzung von Ergebnissen aus Überwachung und Bewertung

Erkenntnisse aus Bewertungen müssen zur Verbesserung genutzt werden:

  • Ergebnisse der Überwachung und Messung
  • Erkenntnisse aus internen Audits
  • Ergebnisse der Managementbewertung
  • Kennzahlen und Leistungsindikatoren

Diese Informationen bilden die Grundlage für Verbesserungen.

3. Nutzung von Vorfällen und Abweichungen

Informationssicherheitsvorfälle und Abweichungen sind gezielt auszuwerten:

  • Analyse von Ursachen und Auswirkungen
  • Ableitung präventiver Maßnahmen
  • Vermeidung von Wiederholungen
  • Integration der Erkenntnisse in Prozesse

Vorfälle liefern wertvolle Verbesserungspotenziale.

4. Identifikation von Verbesserungsmöglichkeiten

Verbesserungsmöglichkeiten können identifiziert werden durch:

  • interne und externe Audits
  • Rückmeldungen interessierter Parteien
  • technologische Entwicklungen
  • Benchmarks und Best Practices

Die Identifikation muss systematisch erfolgen.

5. Planung und Umsetzung von Verbesserungsmaßnahmen

Verbesserungsmaßnahmen müssen geplant und umgesetzt werden:

  • klare Definition der Maßnahmen
  • Festlegung von Verantwortlichkeiten
  • Definition von Zeitrahmen und Prioritäten
  • Bereitstellung notwendiger Ressourcen

Strukturierte Umsetzung erhöht die Wirksamkeit.

6. Überprüfung der Wirksamkeit von Verbesserungen

Die Organisation muss prüfen, ob Verbesserungen wirksam sind:

  • Bewertung der Zielerreichung
  • Überprüfung anhand definierter Kriterien
  • Analyse von Kennzahlen
  • Anpassung bei unzureichender Wirkung

Wirksamkeit ist entscheidend für Nachhaltigkeit.

7. Integration der Verbesserung in das ISMS

Verbesserungen müssen in das ISMS integriert werden:

  • Anpassung von Richtlinien und Verfahren
  • Aktualisierung der Risikobewertung
  • Berücksichtigung in Schulungen und Awareness
  • Einbindung in operative Prozesse

So wird Verbesserung dauerhaft verankert.

8. Dokumentation und Nachweisführung

Die fortlaufende Verbesserung muss dokumentiert sein:

  • identifizierte Verbesserungen
  • umgesetzte Maßnahmen
  • Ergebnisse der Wirksamkeitsprüfung
  • Lessons Learned

Die Dokumentation ist auditrelevant.

Zusammenfassung

Klausel 10.1 fordert, dass Organisationen ihr Informationssicherheitsmanagementsystem kontinuierlich verbessern. Durch die systematische Nutzung von Erkenntnissen aus Überwachung, Audits, Managementbewertungen und Vorfällen sowie durch die strukturierte Planung und Umsetzung von Verbesserungsmaßnahmen wird sichergestellt, dass das ISMS wirksam, aktuell und anpassungsfähig bleibt. Diese Klausel bildet den Abschluss des kontinuierlichen Verbesserungszyklus (PDCA) im ISMS nach ISO/IEC 27001:2022.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 10.1 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 10.1 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Woran zeigt sich, dass Ihr ISMS besser wird?“
Die Norm verlangt fortlaufende Verbesserung von Eignung, Angemessenheit und Wirksamkeit. Gefragt ist eine Entwicklung, kein Zustand.
„Welche Verbesserung haben Sie im letzten Jahr umgesetzt?“
Eine konkrete, abgeschlossene Verbesserung mit Anlass und Ergebnis beantwortet diese Klausel schneller als jedes Konzept.
„Woher kommen Ihre Verbesserungsideen?“
Audits, Vorfälle, Kennzahlen, Hinweise von Mitarbeitenden – wenn nur eine Quelle vorkommt, ist der Kreislauf dünn.
„Wie unterscheiden Sie Verbesserung von Korrektur?“
Korrektur beseitigt eine Abweichung, Verbesserung hebt das Niveau. Wer beides vermischt, kann 10.1 nicht belegen.
Das Dokument dazu

10.1-1 Fortlaufende Verbesserung

Quellen für Verbesserungen und ihr Weg durch das ISMS · Abgrenzung zur Korrekturmaßnahme · Nachweis umgesetzter Verbesserungen mit Anlass und Ergebnis. In der ISMS-Plattform laufen sie über den PDCA-Zyklus im Betriebsmodus.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick