März 5, 2026

Klausel 9.3.3 Ergebnisse der Managementbewertung

(nach ISO/IEC 27001:2022)

Die Managementbewertung ist nur dann wirksam, wenn aus ihr klare Ergebnisse, Entscheidungen und Maßnahmen hervorgehen. Diese Klausel stellt sicher, dass die Erkenntnisse aus der Managementbewertung in konkrete Ergebnisse überführt werden, die zur Steuerung, Verbesserung und Weiterentwicklung des Informationssicherheitsmanagementsystems (ISMS) beitragen.

Zweck der Klausel

Klausel 9.3.3 soll gewährleisten, dass die Managementbewertung zu klaren, nachvollziehbaren und umsetzbaren Ergebnissen führt. Ziel ist es, das ISMS gezielt weiterzuentwickeln, Ressourcen bedarfsgerecht bereitzustellen und die Wirksamkeit der Informationssicherheit nachhaltig zu verbessern.

Anforderungen und Maßnahmen

1. Ableitung von Entscheidungen zum ISMS

Die Managementbewertung muss zu Entscheidungen führen, insbesondere zu:

  • der fortlaufenden Eignung des ISMS
  • der Angemessenheit der Sicherheitsmaßnahmen
  • der Wirksamkeit der ISMS-Prozesse
  • der strategischen Ausrichtung der Informationssicherheit

Diese Entscheidungen müssen klar dokumentiert sein.

2. Entscheidungen zu Verbesserungsmöglichkeiten

Aus der Managementbewertung müssen Verbesserungen abgeleitet werden:

  • Optimierung von Prozessen und Maßnahmen
  • Anpassung von Richtlinien oder Verfahren
  • Einführung neuer Sicherheitsmaßnahmen
  • Weiterentwicklung von Methoden und Werkzeugen

Verbesserungen müssen priorisiert werden.

3. Entscheidungen zu Änderungen am ISMS

Die Ergebnisse müssen auch Änderungen umfassen, zum Beispiel:

  • Anpassung des Anwendungsbereichs
  • Überarbeitung der Informationssicherheitspolitik
  • Änderung von Rollen und Verantwortlichkeiten
  • Anpassung von Zielen oder Kennzahlen

Änderungen müssen geplant umgesetzt werden.

4. Entscheidungen zur Ressourcenausstattung

Die Managementbewertung muss Aussagen zur Ressourcensituation enthalten:

  • Bereitstellung zusätzlicher personeller Ressourcen
  • Freigabe finanzieller Mittel
  • Investitionen in Technologien oder Tools
  • Anpassung organisatorischer Rahmenbedingungen

Ressourcenentscheidungen sind zentral für die Wirksamkeit.

5. Festlegung von Maßnahmen und Verantwortlichkeiten

Aus der Managementbewertung müssen konkrete Maßnahmen hervorgehen:

  • Beschreibung der Maßnahmen
  • klare Verantwortlichkeiten
  • definierte Zeitrahmen
  • Priorisierung nach Risiko und Nutzen

Maßnahmen müssen umsetzbar sein.

6. Integration in das ISMS und die operative Steuerung

Die Ergebnisse müssen in das ISMS integriert werden:

  • Einbindung in operative Prozesse
  • Berücksichtigung im Risikomanagement
  • Abstimmung mit bestehenden Maßnahmen
  • Nutzung für Ziel- und Maßnahmenplanung

So werden Ergebnisse wirksam umgesetzt.

7. Überwachung der Umsetzung

Die Umsetzung der Ergebnisse muss überwacht werden:

  • regelmäßige Statuskontrollen
  • Nachverfolgung offener Maßnahmen
  • Bewertung der Wirksamkeit
  • Eskalation bei Verzögerungen

Überwachung stellt Nachhaltigkeit sicher.

8. Dokumentation und Nachweisführung

Die Ergebnisse der Managementbewertung müssen dokumentiert sein:

  • Entscheidungen und Beschlüsse
  • Maßnahmenpläne
  • Verantwortlichkeiten und Fristen
  • Nachweise zur Umsetzung und Überprüfung

Die Dokumentation ist auditrelevant.

Zusammenfassung

Klausel 9.3.3 fordert, dass aus der Managementbewertung konkrete, nachvollziehbare Ergebnisse hervorgehen. Durch klare Entscheidungen, festgelegte Maßnahmen, definierte Verantwortlichkeiten und eine konsequente Nachverfolgung wird sichergestellt, dass die Managementbewertung einen echten Beitrag zur Steuerung, Verbesserung und strategischen Weiterentwicklung des Informationssicherheitsmanagementsystems leistet. Diese Klausel schließt den Managementbewertungsprozess im ISMS nach ISO/IEC 27001:2022 wirksam ab.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
Klausel 9.3.3 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu Klausel 9.3.3 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Welche Entscheidungen hat die Leitung getroffen?“
Ergebnisse müssen Entscheidungen enthalten, nicht Kenntnisnahmen. „Zur Kenntnis genommen" trägt nicht.
„Welcher Änderungsbedarf am ISMS wurde festgestellt?“
Klausel 9.3.3 verlangt Entscheidungen zu Verbesserungsmöglichkeiten und zum Änderungsbedarf am ISMS.
„Wer setzt das bis wann um?“
Ein Ergebnis ohne Verantwortlichen und Termin ist im nächsten Jahr unverändert wieder Thema.
„Wie wird die Umsetzung nachgehalten?“
Die Verbindung zur nächsten Bewertung schließt den Kreis – und wird genau dort geprüft.
Das Dokument dazu

9.3.1-1 Verfahren für Management Reviews

Entscheidungen und Änderungsbedarf als Ergebnis der Bewertung · Verantwortliche und Termine · Nachverfolgung bis zur nächsten Bewertung. In der ISMS-Plattform werden die Beschlüsse als Aufgaben mit Fristen weitergeführt.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick