März 5, 2026

Klausel 9.3.1 Managementbewertung – Allgemeines

(nach ISO/IEC 27001:2022)

Die Managementbewertung ist ein zentrales Führungsinstrument zur Bewertung der Angemessenheit, Angemessenheit, Wirksamkeit und strategischen Ausrichtung des Informationssicherheitsmanagementsystems (ISMS). Sie stellt sicher, dass die oberste Leitung regelmäßig prüft, ob das ISMS die beabsichtigten Ergebnisse erreicht und an veränderte interne und externe Rahmenbedingungen angepasst werden muss.

Zweck der Klausel

Klausel 9.3.1 soll gewährleisten, dass die oberste Leitung das ISMS in geplanten Abständen bewertet. Ziel ist es, sicherzustellen, dass das ISMS weiterhin geeignet, angemessen und wirksam ist sowie die strategischen Ziele der Organisation unterstützt.

Anforderungen und Maßnahmen

1. Durchführung der Managementbewertung

Die Managementbewertung muss:

  • durch die oberste Leitung erfolgen
  • in geplanten Intervallen durchgeführt werden
  • alle relevanten Aspekte des ISMS berücksichtigen
  • auf verlässlichen Informationen basieren

Die Durchführung muss strukturiert erfolgen.

2. Umfang der Managementbewertung

Die Managementbewertung muss das gesamte ISMS umfassen, insbesondere:

  • die Leistung und Wirksamkeit des ISMS
  • die Erreichung der Informationssicherheitsziele
  • die Angemessenheit der Sicherheitsmaßnahmen
  • die Integration des ISMS in die Organisation

Der Umfang muss vollständig und angemessen sein.

3. Berücksichtigung von Veränderungen

Bei der Managementbewertung müssen Veränderungen berücksichtigt werden:

  • interne organisatorische Änderungen
  • externe Rahmenbedingungen
  • rechtliche, regulatorische oder vertragliche Anforderungen
  • neue oder geänderte Risiken

So bleibt das ISMS aktuell.

4. Bewertung der strategischen Ausrichtung

Die Managementbewertung muss die strategische Ausrichtung berücksichtigen:

  • Übereinstimmung mit der Unternehmensstrategie
  • Unterstützung der Geschäftsziele
  • Angemessenheit der Informationssicherheitsstrategie
  • Beitrag zur Wertschöpfung

Informationssicherheit ist Teil der Unternehmensführung.

5. Bewertung der Ressourcenausstattung

Die Managementbewertung muss prüfen:

  • Angemessenheit personeller Ressourcen
  • Verfügbarkeit finanzieller Mittel
  • Eignung technischer Ressourcen
  • organisatorische Unterstützung

Ressourcen sind Voraussetzung für Wirksamkeit.

6. Einbindung relevanter Informationen

Die Bewertung muss auf relevanten Informationen basieren:

  • Ergebnisse interner Audits
  • Ergebnisse der Überwachung und Messung
  • Ergebnisse von Risikoanalysen und -behandlungen
  • Status von Maßnahmen und Verbesserungen

Fundierte Entscheidungen benötigen valide Daten.

7. Ableitung von Entscheidungen und Maßnahmen

Aus der Managementbewertung müssen Entscheidungen abgeleitet werden:

  • Anpassung des ISMS
  • Festlegung oder Anpassung von Zielen
  • Priorisierung von Maßnahmen
  • Bereitstellung zusätzlicher Ressourcen

Die Bewertung muss handlungsorientiert sein.

8. Dokumentation der Managementbewertung

Die Managementbewertung muss dokumentiert werden:

  • Inhalte und Ergebnisse der Bewertung
  • getroffene Entscheidungen
  • beschlossene Maßnahmen
  • Verantwortlichkeiten und Fristen

Die Dokumentation ist auditrelevant.

Zusammenfassung

Klausel 9.3.1 fordert, dass die oberste Leitung das Informationssicherheitsmanagementsystem regelmäßig bewertet. Durch eine strukturierte Managementbewertung, die Wirksamkeit, strategische Ausrichtung, Ressourcenausstattung und Veränderungen berücksichtigt, wird sichergestellt, dass das ISMS geeignet, angemessen und wirksam bleibt. Diese Klausel ist ein zentrales Element der Führung und Steuerung des ISMS nach ISO/IEC 27001:2022.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 9.3.1 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 9.3.1 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Wann hat Ihre Leitung das ISMS zuletzt bewertet?“
Die Norm verlangt geplante Abstände. Einmal jährlich ist üblich – aber der Abstand muss festgelegt und eingehalten sein.
„Wer hat teilgenommen?“
Die oberste Leitung muss beteiligt sein. Eine Bewertung durch den ISB allein erfüllt 9.3 nicht.
„Wo ist das Protokoll?“
Ohne dokumentierte Information über die Ergebnisse fehlt der Nachweis – auch wenn die Sitzung stattgefunden hat.
„Wie haben Sie Eignung, Angemessenheit und Wirksamkeit beurteilt?“
Die Norm nennt diese drei Maßstäbe ausdrücklich. Ein Protokoll, das nur Zahlen referiert, beantwortet sie nicht.
Das Dokument dazu

9.3.1-1 Verfahren für Management Reviews

Turnus, Teilnehmerkreis und Ablauf der Managementbewertung · Beurteilung von Eignung, Angemessenheit und Wirksamkeit · Protokollierung als Nachweis. In der ISMS-Plattform liegen die Eingaben dafür bereits aufbereitet vor.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick