Januar 4, 2026

Klausel 10.2 Nichtkonformität und Korrekturmaßnahmen

(nach ISO/IEC 27001:2022)

Nichtkonformitäten im Informationssicherheitsmanagementsystem (ISMS) können aus Abweichungen von normativen Anforderungen, internen Vorgaben oder gesetzlichen und vertraglichen Verpflichtungen entstehen. Diese Klausel stellt sicher, dass solche Abweichungen systematisch erkannt, analysiert und nachhaltig behoben werden, um Wiederholungen zu vermeiden und die Wirksamkeit des ISMS sicherzustellen.

Zweck der Klausel

Klausel 10.2 soll gewährleisten, dass Organisationen angemessen auf Nichtkonformitäten reagieren und wirksame Korrekturmaßnahmen umsetzen. Ziel ist es, Ursachen zu beseitigen, negative Auswirkungen zu minimieren und das ISMS kontinuierlich zu verbessern.

Anforderungen und Maßnahmen

1. Erkennen und Melden von Nichtkonformitäten

Nichtkonformitäten müssen erkannt und gemeldet werden, insbesondere durch:

  • interne und externe Audits
  • Überwachung und Messung
  • Sicherheitsvorfälle
  • Rückmeldungen interessierter Parteien

Eine frühzeitige Erkennung ist entscheidend.

2. Reaktion auf Nichtkonformitäten

Bei Auftreten einer Nichtkonformität muss die Organisation reagieren:

  • sofortige Korrektur zur Begrenzung der Auswirkungen
  • Bewertung der Folgen für Informationssicherheit
  • Sicherstellung der Einhaltung relevanter Anforderungen
  • Information relevanter Stellen

Schnelles Handeln reduziert Risiken.

3. Analyse der Ursachen

Die Ursachen der Nichtkonformität müssen ermittelt werden:

  • systematische Ursachenanalyse
  • Betrachtung organisatorischer, technischer und menschlicher Faktoren
  • Identifikation von Prozess- oder Kontrollschwächen
  • Nutzung geeigneter Analysemethoden

Ursachenanalyse ist Grundlage nachhaltiger Maßnahmen.

4. Festlegung von Korrekturmaßnahmen

Auf Basis der Ursachenanalyse müssen Korrekturmaßnahmen festgelegt werden:

  • Maßnahmen zur Beseitigung der Ursachen
  • Anpassung von Prozessen, Richtlinien oder Kontrollen
  • Schulungs- oder Sensibilisierungsmaßnahmen
  • technische oder organisatorische Änderungen

Maßnahmen müssen angemessen sein.

5. Umsetzung der Korrekturmaßnahmen

Die festgelegten Maßnahmen müssen umgesetzt werden:

  • innerhalb definierter Zeitrahmen
  • durch verantwortliche Personen
  • unter Bereitstellung geeigneter Ressourcen
  • mit dokumentierter Umsetzung

Die Umsetzung muss nachvollziehbar sein.

6. Bewertung der Wirksamkeit

Die Wirksamkeit der Korrekturmaßnahmen muss überprüft werden:

  • Überprüfung, ob die Ursache beseitigt wurde
  • Bewertung der nachhaltigen Wirkung
  • Erkennung möglicher Nebenwirkungen
  • Anpassung bei unzureichender Wirksamkeit

Wirksamkeit ist entscheidend für Nachhaltigkeit.

7. Aktualisierung des ISMS

Bei Bedarf muss das ISMS angepasst werden:

  • Aktualisierung von Risikobewertungen
  • Anpassung von Richtlinien und Verfahren
  • Überarbeitung von Kontrollen
  • Berücksichtigung in Schulungen und Awareness

So wird das ISMS weiterentwickelt.

8. Dokumentation und Nachweisführung

Nichtkonformitäten und Korrekturmaßnahmen müssen dokumentiert sein:

  • Beschreibung der Nichtkonformität
  • Ergebnisse der Ursachenanalyse
  • festgelegte und umgesetzte Maßnahmen
  • Bewertung der Wirksamkeit

Die Dokumentation ist auditrelevant.

Zusammenfassung

Klausel 10.2 fordert, dass Organisationen Nichtkonformitäten systematisch behandeln und wirksame Korrekturmaßnahmen umsetzen. Durch frühzeitige Erkennung, strukturierte Ursachenanalyse, gezielte Maßnahmenplanung, konsequente Umsetzung und Wirksamkeitsprüfung wird sichergestellt, dass Abweichungen nachhaltig beseitigt und Wiederholungen vermieden werden. Diese Klausel schließt den kontinuierlichen Verbesserungsprozess im Informationssicherheitsmanagementsystem nach ISO/IEC 27001:2022 ab.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 10.2 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 10.2 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Zeigen Sie mir eine Nichtkonformität und ihre Behandlung.“
Ein Register ohne einzigen Eintrag wirkt nicht wie ein reifes ISMS, sondern wie ein ungenutztes Verfahren.
„Wie haben Sie die Ursache ermittelt?“
Klausel 10.2 verlangt die Ursachenanalyse – und die Prüfung, ob Ähnliches anderswo besteht. Das ist der meistübersehene Halbsatz.
„Woran haben Sie erkannt, dass es nicht wieder auftritt?“
Die Wirksamkeit der Korrekturmaßnahme muss bewertet werden. Geschlossen ist nicht gleich wirksam.
„Wo ist das dokumentiert?“
Art der Nichtkonformität, ergriffene Maßnahmen und Ergebnisse sind aufzubewahren – alle drei.
Das Dokument dazu

10.2-1 Verfahren für das Management von Nichtkonformitäten

Erfassung von Abweichungen mit Sofortmaßnahme und Ursachenanalyse · Prüfung auf gleichartige Fälle · Korrekturmaßnahme mit Wirksamkeitsbewertung und Nachweis. In der ISMS-Plattform ist der Vorgang vom Fund bis zum Abschluss nachvollziehbar.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick