März 5, 2026

Klausel 9.3.2 Eingaben für die Managementbewertung

(nach ISO/IEC 27001:2022)

Damit die Managementbewertung fundierte und wirksame Entscheidungen ermöglicht, muss sie auf vollständigen, aktuellen und relevanten Informationen basieren. Diese Klausel legt fest, welche Informationen als Eingaben für die Managementbewertung heranzuziehen sind. Sie stellt sicher, dass die oberste Leitung ein umfassendes Bild über den Zustand, die Leistung und die Weiterentwicklung des Informationssicherheitsmanagementsystems (ISMS) erhält.

Zweck der Klausel

Klausel 9.3.2 soll gewährleisten, dass die Managementbewertung auf einer belastbaren Informationsgrundlage erfolgt. Ziel ist es, alle relevanten internen und externen Einflussfaktoren, Leistungsdaten und Erkenntnisse systematisch zu berücksichtigen, um wirksame Managemententscheidungen zu treffen.

Anforderungen und Maßnahmen

1. Status von Maßnahmen aus vorherigen Managementbewertungen

Die Managementbewertung muss Informationen enthalten zu:

  • umgesetzten Maßnahmen aus früheren Bewertungen
  • offenen oder verzögerten Maßnahmen
  • Wirksamkeit der umgesetzten Entscheidungen
  • identifizierten Hindernissen

Dies ermöglicht die Nachverfolgung von Entscheidungen.

2. Veränderungen externer und interner Themen

Als Eingaben sind Veränderungen zu berücksichtigen, insbesondere:

  • Änderungen im organisatorischen Kontext
  • rechtliche, regulatorische oder vertragliche Änderungen
  • technologische Entwicklungen
  • Veränderungen der Bedrohungs- und Risikolage

So bleibt das ISMS anpassungsfähig.

3. Informationen zur Leistung des ISMS

Die Managementbewertung muss Leistungsinformationen enthalten, zum Beispiel:

  • Ergebnisse der Überwachung und Messung
  • Erreichung der Informationssicherheitsziele
  • Kennzahlen und Leistungsindikatoren
  • Wirksamkeit von Prozessen und Maßnahmen

Diese Informationen bilden die Grundlage für die Leistungsbewertung.

4. Ergebnisse interner und externer Audits

Audit-Ergebnisse sind zentrale Eingaben:

  • Feststellungen interner Audits
  • Ergebnisse externer Audits oder Zertifizierungen
  • Abweichungen und Empfehlungen
  • Status von Korrekturmaßnahmen

Audits liefern objektive Bewertungsgrundlagen.

5. Ergebnisse der Informationssicherheitsbewertung

Die Managementbewertung muss Informationen enthalten zu:

  • aktuellen Informationssicherheitsrisiken
  • Veränderungen des Risikoprofils
  • Ergebnissen der Risikobewertung
  • Status der Risikobehandlung

Dies unterstützt risikobasierte Entscheidungen.

6. Status von Vorfällen und Schwachstellen

Informationen zu Sicherheitsvorfällen müssen berücksichtigt werden:

  • gemeldete Informationssicherheitsvorfälle
  • Ursachen und Auswirkungen
  • ergriffene Maßnahmen
  • identifizierte Schwachstellen

Diese Informationen zeigen reale Risiken auf.

7. Rückmeldungen interessierter Parteien

Rückmeldungen relevanter Parteien sind einzubeziehen:

  • Kundenfeedback
  • Rückmeldungen von Lieferanten oder Partnern
  • Behörden oder Aufsichtsstellen
  • interne Rückmeldungen aus Fachbereichen

Dies unterstützt eine ganzheitliche Bewertung.

8. Möglichkeiten zur Verbesserung

Die Managementbewertung muss Informationen zu Verbesserungsmöglichkeiten enthalten:

  • identifizierte Optimierungspotenziale
  • Vorschläge aus Audits oder Bewertungen
  • technologische oder organisatorische Verbesserungen
  • Lessons Learned

Verbesserung ist ein zentrales Ziel der Bewertung.

Zusammenfassung

Klausel 9.3.2 fordert, dass die Managementbewertung des Informationssicherheitsmanagementsystems auf vollständigen und relevanten Eingaben basiert. Durch die systematische Berücksichtigung von Leistungsdaten, Audit-Ergebnissen, Risiken, Vorfällen, Veränderungen und Verbesserungsmöglichkeiten erhält die oberste Leitung eine fundierte Entscheidungsgrundlage. Diese Klausel stellt sicher, dass die Managementbewertung wirksam zur Steuerung und Weiterentwicklung des ISMS nach ISO/IEC 27001:2022 beiträgt.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 9.3.2 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 9.3.2 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Welche Eingaben lagen der Bewertung vor?“
Die Norm zählt sie auf. Der Auditor geht die Liste durch – fehlt ein Punkt, ist es eine Abweichung.
„War der Status der Maßnahmen aus früheren Bewertungen dabei?“
Klausel 9.3.2 a) nennt ihn zuerst. Genau dieser Rückblick fehlt in vielen Protokollen.
„Sind Rückmeldungen interessierter Parteien eingeflossen?“
Kundenanforderungen, Beschwerden und Auditergebnisse Dritter gehören dazu – nicht nur interne Zahlen.
„Waren Ergebnisse aus Risikobewertung und Kennzahlen enthalten?“
Die Bewertung ohne Risikostand und ohne Messergebnisse ist keine Bewertung, sondern ein Bericht.
Das Dokument dazu

9.3.1-1 Verfahren für Management Reviews

Vollständige Eingabenliste nach 9.3.2 · Status früherer Maßnahmen, Rückmeldungen interessierter Parteien, Auditergebnisse, Kennzahlen und Risikostand. In der ISMS-Plattform werden diese Eingaben aus den laufenden Daten zusammengestellt.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick