ISO 27001-Managementbewertung als Nachweis für NIS2 und DORA

Es ist 08:00 Uhr an einem Montagmorgen im Februar 2026. Maria, CISO eines schnell wachsenden europäischen Fintechs, öffnet eine E-Mail des CEO mit dem Betreff: „DRINGEND: Vorbereitung für das Leitungsorgan“. Angehängt ist ein Nachrichtenlink zu einer Durchsetzungsmaßnahme in Millionenhöhe unter der NIS2-Richtlinie, bei der es nicht nur um versagende Kontrollen geht, sondern um Fahrlässigkeit des Leitungsorgans.

Die Frage des CEO ist kurz und unbequem:

„Können wir nachweisen, dass das Leitungsorgan Cybersicherheitsrisiken aktiv steuert und nicht nur IT-Updates entgegennimmt?“

Um 08:30 Uhr hat der CFO einen Fragebogen für ein Kundenaudit ergänzt. Der Vorsitzende des Leitungsorgans möchte vor der nächsten Sitzung des Risikoausschusses eine einseitige Übersicht zur Cyber-Rechenschaftspflicht. Der CTO fragt, ob ein Lieferantenvorfall das DORA-Nachweispaket für Kunden verändert. Gleichzeitig blickt Maria auf vier Punkte, die oberflächlich operativ wirken: eine ungeklärte Ausnahme für privilegierten Zugriff, zwei verspätete Korrekturmaßnahmen, ein Fehlschlag in einer Tabletop-Übung und eine Lücke in einem Lieferantenvertrag.

Das sind keine getrennten Probleme. Es sind Probleme der Governance-Nachweise.

Im Jahr 2026 stehen Organisationen, die NIS2, DORA, GDPR, Kundenzusicherungen und dem Zertifizierungsaudit nach ISO/IEC 27001:2022 unterliegen, vor einer deutlich schärferen Frage als „Haben wir Sicherheitskontrollen?“

Die eigentliche Frage lautet:

Kann das Management nachweisen, dass es Cybersicherheitsrisiken geprüft, die Auswirkungen verstanden, Entscheidungen getroffen, Maßnahmen zugewiesen, Abhilfemaßnahmen finanziert, Restrisiken angemessen akzeptiert und nachverfolgt hat?

Dieser Nachweis entsteht nicht allein durch eine Richtlinie als PDF. Er entsteht durch eine disziplinierte Managementbewertung nach ISO/IEC 27001:2022 Klausel 9.3, gestützt auf Eingaben, Sitzungsprotokolle, Entscheidungen, Aufzeichnungen zur Risikoakzeptanz, Korrekturmaßnahmen und Nachweispfade.

Warum ISO 27001 Klausel 9.3 heute Nachweis für das Leitungsorgan ist

Eine schwache Managementbewertung besteht aus einem hastig erstellten Foliensatz, einigen Kennzahlen und einer Unterschrift. Eine starke Managementbewertung ist ein gesteuertes Governance-Ereignis, bei dem Führungsentscheidungen zu Nachweisen werden.

ISO/IEC 27001:2022 Klausel 9.3 verlangt, dass die oberste Leitung das Informationssicherheits-Managementsystem in geplanten Abständen bewertet, um dessen fortdauernde Eignung, Angemessenheit und Wirksamkeit sicherzustellen. Die Bewertung muss frühere Maßnahmen, Änderungen interner und externer Themen, Änderungen bei Bedürfnissen und Erwartungen interessierter Parteien, Rückmeldungen zur Leistung, Auditergebnisse, Zielerreichung, Ergebnisse der Risikobeurteilung, Status der Risikobehandlung und Möglichkeiten zur fortlaufenden Verbesserung berücksichtigen.

Genau diese Struktur erwarten Leitungsorgane, Aufsichtsbehörden, Kunden und Auditoren heute von Cybersicherheits-Governance.

Für wesentliche und wichtige Einrichtungen nach NIS2 verlangt Article 20, dass Leitungsorgane Maßnahmen zum Management von Cybersicherheitsrisiken genehmigen, deren Umsetzung überwachen und Schulungen erhalten. Article 21 verlangt verhältnismäßige technische, operative und organisatorische Maßnahmen, einschließlich Risikoanalyse, Umgang mit Informationssicherheitsvorfällen, Aufrechterhaltung des Geschäftsbetriebs, Sicherheit der Lieferkette, sicherer Entwicklung, Wirksamkeitsbewertung, Cyberhygiene, Kryptografie, HR-Sicherheit, Zugriffskontrolle, Asset-Management, MFA soweit angemessen sowie Korrekturmaßnahmen ohne unangemessene Verzögerung.

Für Finanzunternehmen verankert DORA die IKT-Risikogovernance unmittelbar beim Leitungsorgan. DORA Article 5 verlangt, dass das Leitungsorgan das Rahmenwerk für das IKT-Risikomanagement definiert, genehmigt, überwacht und dafür verantwortlich bleibt. Dazu gehören IKT-Risikotoleranz, Kontinuitäts- und Wiederherstellungspläne, Auditpläne, Budget, Schulungen, Richtlinien zu IKT-Drittparteien, Meldekanäle für wesentliche Vorfälle und Korrekturmaßnahmen. Article 6 verlangt ein dokumentiertes Rahmenwerk für das IKT-Risikomanagement, das mindestens jährlich sowie nach wesentlichen IKT-bezogenen Vorfällen, aufsichtsbehördlichen Anweisungen, Tests, Audits oder wesentlichen Änderungen überprüft wird.

GDPR ergänzt die Rechenschaftsebene. Article 5(2) verlangt, dass Verantwortliche für die Einhaltung der Datenschutzgrundsätze verantwortlich sind und diese nachweisen können. Article 32(1)(d) erwartet ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen.

Eine angemessen gestaltete Managementbewertung ist der Punkt, an dem diese Verpflichtungen zusammenlaufen.

Der regulatorische Druck hinter der Bewertungsagenda

NIS2 und DORA verwenden nicht dieselbe Sprache. DORA fungiert zudem als sektorspezifischer EU-Rechtsakt für erfasste Finanzunternehmen, soweit sich Cybersicherheits- und Meldepflichten überschneiden. Beide verfolgen jedoch dasselbe Governance-Ergebnis: Die obere Führungsebene muss Cyberrisikomanagement genehmigen, überwachen, mit Ressourcen ausstatten und korrigieren.

NIS2 gilt breit für mittlere und größere Einrichtungen in erfassten Sektoren und in einigen Fällen unabhängig von der Größe. Anhang I umfasst Anbieter digitaler Infrastruktur wie Cloud-Computing-Diensteanbieter, Rechenzentrumsdiensteanbieter, Content-Delivery-Network-Anbieter, Vertrauensdiensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsdienste, Managed Service Provider und Managed Security Service Provider. Die Mitgliedstaaten mussten bis zum 17. April 2025 Listen wesentlicher und wichtiger Einrichtungen erstellen.

Die Durchsetzungsrisiken sind erheblich. Bei Verstößen im Zusammenhang mit Maßnahmen zum Management von Cybersicherheitsrisiken nach Article 21 oder Vorfallsmeldungen nach Article 23 können maximale Verwaltungsgeldbußen mindestens EUR 10.000.000 oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und mindestens EUR 7.000.000 oder 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen erreichen, je nachdem, welcher Betrag höher ist.

DORA gilt seit dem 17. Januar 2025 und erfasst ein breites Ökosystem des Finanzsektors, einschließlich Kreditinstituten, Zahlungsinstituten, E-Geld-Instituten, Wertpapierfirmen, Anbietern von Kryptowerte-Dienstleistungen, Versicherern, Rückversicherern, Handelsplätzen, Ratingagenturen, Crowdfunding-Dienstleistern, Verbriefungsregistern und IKT-Drittdienstleistern. DORA ist verhältnismäßig, aber verhältnismäßig bedeutet nicht informell. Auch kleinere Finanzunternehmen benötigen Aufzeichnungen, die zeigen, dass IKT-Risikogovernance skaliert, bewusst, dokumentiert und überprüft ist.

Deshalb darf die Managementbewertung keine Zertifizierungsformalität bleiben. Sie ist zu einem der praktischsten Nachweismechanismen für NIS2-Rechenschaftspflicht, DORA-IKT-Risikogovernance, GDPR-Rechenschaftspflicht und Kunden-Due-Diligence geworden.

Das Clarysec-Richtlinienfundament für Bewertungsdisziplin

Clarysec behandelt die Managementbewertung als Nachweispaket für das Leitungsorgan, nicht als zeremonielle Jahressitzung.

Die Informationssicherheitsleitlinie macht die ISO 27001-Managementbewertung ausdrücklich verbindlich:

Tätigkeiten der Managementbewertung (gemäß ISO/IEC 27001 Klausel 9.3) müssen mindestens jährlich durchgeführt werden und Folgendes umfassen:

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.3.

Dieselbe Richtlinie definiert die Nachweiserwartungen:

Überprüfung von Sicherheitskennzahlen (KPIs), Vorfällen, Audit-Feststellungen und Risikostatus

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.3.2.

Und sie verknüpft die Bewertung mit Entscheidungen der Geschäftsleitung:

Entscheidungen über Aktualisierungen des Geltungsbereichs, der Kontrollen und der Ressourcenzuweisung

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.3.3.

Dieser letzte Punkt ist wesentlich. Eine Managementbewertung ist keine Präsentation. Sie ist ein Entscheidungsforum.

Die Richtlinie zu Governance-Rollen und Verantwortlichkeiten ergänzt die Regel zur Nachvollziehbarkeit:

Governance muss die Integration mit anderen Disziplinen unterstützen (z. B. Risiko, Recht, IT, HR), und ISMS-Entscheidungen müssen auf ihre Quelle zurückführbar sein (z. B. Audit-Aufzeichnungen, Überprüfungsprotokolle, Sitzungsprotokolle).

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.5.

Sie weist außerdem Eskalationsverantwortung zu:

Nimmt an ISMS-Managementbewertungen teil und eskaliert Entscheidungen, die eine Genehmigung auf Ebene des Leitungsorgans erfordern.

Aus Abschnitt „Rollen und Verantwortlichkeiten“, Richtlinienklausel 4.1.3.

Für kleinere Organisationen gilt dieselbe Governance-Logik skaliert, nicht ignoriert. Die Richtlinie zu Governance-Rollen und Verantwortlichkeiten für KMU stellt fest:

Alle wesentlichen Sicherheitsentscheidungen, Ausnahmen und Eskalationen müssen aufgezeichnet und nachvollziehbar sein.

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.5.

Die Richtlinie zur Audit- und Compliance-Überwachung für KMU stellt sicher, dass Assurance-Feststellungen die Führungsebene erreichen:

Audit-Feststellungen und Statusaktualisierungen müssen in den Prozess der ISMS-Managementbewertung aufgenommen werden.

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.4.3.

Und die Risikomanagement-Richtlinie für KMU setzt einen Rhythmus für hohe Risiken:

Überprüft die höchsten Risiken vierteljährlich mit dem Risikokoordinator.

Aus Abschnitt „Rollen und Verantwortlichkeiten“, Richtlinienklausel 4.1.3.

Das Ergebnis ist ein praktikabler Rhythmus: vierteljährliche Überprüfung der höchsten Risiken, jährliche oder geplante Managementbewertung nach Klausel 9.3 und anlassbezogene Bewertungen nach wesentlichen Vorfällen, Audits, Resilienztests, Lieferantenausfällen, regulatorischen Änderungen oder wesentlichen Geschäftsänderungen.

Das Nachweispaket für das Leitungsorgan vor der Sitzung aufbauen

Der Zenith Blueprint: An Auditor’s 30-Step Roadmap behandelt die Managementbewertung in der Phase Audit, Review & Improvement, Schritt 28: Management Review. Er weist Teams an, die erforderlichen Eingaben vor der Sitzung vorzubereiten:

ISO 27001 legt mehrere erforderliche Eingaben für die Managementbewertung fest. Bereiten Sie einen kurzen Bericht
oder eine Präsentation vor, der bzw. die diese Punkte abdeckt:

Aus der Phase Audit, Review & Improvement, Schritt 28: Management Review.

Der Blueprint betont frühere Maßnahmen, Änderungen externer und interner Themen, ISMS-Leistung und -Wirksamkeit, Auditergebnisse, Ergebnisse aus Überwachung und Messung, Sicherheitsziele, Vorfälle, Nichtkonformitäten, Verbesserungsmöglichkeiten, Ressourcenbedarf und Nachverfolgung früherer Entscheidungen.

Er warnt außerdem, dass die Bewertung zu Maßnahmen führen muss:

Entscheidungen und Maßnahmen: Dies ist entscheidend – die Managementbewertung ist nicht nur eine Präsentation;
es geht darum, Entscheidungen zu treffen.

Aus der Phase Audit, Review & Improvement, Schritt 28: Management Review.

Ein für das Leitungsorgan geeignetes Nachweispaket sollte für Führungskräfte knapp genug, für Auditoren aber ausreichend detailliert sein.

ISO-Eingaben in NIS2- und DORA-Nachweise übersetzen

Marias Fintech benötigt eine einzige Agenda, die ISO-Zertifizierungsauditoren, DORA-orientierte Kunden, NIS2-Scoping-Fragen und Erwartungen an die Aufsicht durch das Leitungsorgan erfüllt. Der einfachste Weg besteht darin, jede Eingabe nach Klausel 9.3 in eine Governance-Frage zu übersetzen.

Die letzte Zeile ersetzt nicht die erforderlichen Bewertungseingaben der ISO 27001. Sie ist Clarysecs praktische Erweiterung für Governance im Jahr 2026, weil DORA, NIS2 und echte Rechenschaftspflicht des Leitungsorgans Nachweise verlangen, dass die Führungsebene geprüft hat, ob die Sicherheit über ausreichend Personal, Budget, Werkzeuge und Befugnisse verfügt.

Eine 90-minütige Managementbewertung für einen Fintech-SaaS-Anbieter

Betrachten wir Marias Unternehmen: einen Fintech-SaaS-Anbieter mit EU-Kunden. Es bietet Services zur Transaktionsüberwachung an, nutzt einen großen Cloud-Anbieter, stützt sich auf ein ausgelagertes SOC, verarbeitet personenbezogene Daten und hat kürzlich zwei neue Zahlungskunden onboarded. Es bereitet sich auf ein ISO/IEC 27001:2022-Überwachungsaudit, eine DORA-orientierte Kundenprüfung und eine NIS2-Scoping-Bewertung vor.

Eine fokussierte 90-minütige Managementbewertung könnte wie folgt ablaufen.

1. Mit Verpflichtungen und Kontextänderungen beginnen

Für KMU bietet die Richtlinie zur Einhaltung gesetzlicher und regulatorischer Anforderungen für KMU einen einfachen Einstiegspunkt:

Der GM muss ein einfaches, strukturiertes Compliance-Register führen, das Folgendes aufführt:

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.1.1.

Das Bewertungspaket sollte zusammenfassen, ob die Organisation in den Geltungsbereich von NIS2 fällt, ob DORA direkt oder über Kundenanforderungen gilt, ob sich die GDPR-Verarbeitung geändert hat und ob sich vertragliche Sicherheitsverpflichtungen geändert haben.

Beispiele:

• Ein neuer EU-Kundenvertrag verlangt die Meldung eines Sicherheitsvorfalls beim Kunden innerhalb von 72 Stunden.
• Eine DORA-orientierte Kunden-Due-Diligence-Anfrage fordert Register zu IKT-Drittparteien, Nachweise zur Exit-Strategie und Aufzeichnungen zur Vorfalleskalation.
• Eine NIS2-Bewertung identifiziert ein mögliches Klassifizierungsrisiko, weil ein Service Managed-Security-Aktivitäten in einem Mitgliedstaat unterstützt.
• Eine neue Analysefunktion ändert das GDPR-Dateninventar, weil sie Online-Kennungen verarbeitet.

Managemententscheidungen sollten die Aktualisierung des Compliance-Registers genehmigen, Recht und GRC mit der Validierung der NIS2-Klassifizierung durch lokale Rechtsberater beauftragen und ein DORA-Nachweispaket für Kunden bis zum nächsten Quartal verlangen.

2. Risiken und Entscheidungen zur Erklärung zur Anwendbarkeit vorstellen

Die Risikomanagementphase des Zenith Blueprint, Schritt 13: Risk Treatment Planning and Statement of Applicability, betont die Genehmigung durch die Geschäftsleitung:

Entscheidungen zur Risikobehandlung und die SoA sollten von der obersten Leitung überprüft und genehmigt werden.

Aus der Risikomanagementphase, Schritt 13: Risk Treatment Planning and Statement of Applicability.

Die Bewertung sollte das Leitungsorgan nicht mit jedem einzelnen Risiko überfrachten. Sie sollte Top-Risiken, Behandlungsstatus, Ausnahmen, überfällige Maßnahmen und genehmigungsbedürftige Restrisiken zeigen.

Dies schafft eine nachvollziehbare Kette von der Risikobeurteilung über die Behandlung bis zur Managemententscheidung.

3. Vorfälle, Beinahe-Vorfälle und Meldebereitschaft überprüfen

NIS2 Article 23 verlangt gestufte Meldungen für erhebliche Vorfälle, einschließlich einer Frühwarnung innerhalb von 24 Stunden, einer Meldung innerhalb von 72 Stunden und eines Abschlussberichts innerhalb eines Monats nach der Vorfallmeldung, mit Fortschrittsberichterstattung für laufende Vorfälle. DORA Articles 17 to 19 verlangen Erkennung, Klassifizierung, Eskalation, Kommunikation, Meldung, Ursachenanalyse und Verbesserung für IKT-bezogene Vorfälle.

Die Managementbewertung sollte erhebliche Vorfälle, Beinahe-Vorfälle, Klassifizierungsergebnisse, Ursachen, Erkennungszeit, Eskalationszeit, Wiederherstellungszeit, Bereitschaft zur Kundenbenachrichtigung, Bereitschaft zur Meldung an Behörden, Lessons Learned und Korrekturmaßnahmen umfassen.

Der Zenith Blueprint erläutert in der Phase Controls in Action, Schritt 16: People Controls II, warum Mitarbeitermeldungen in die Governance einfließen müssen:

Schließlich muss Maßnahme 6.8 in den Zyklus der kontinuierlichen Verbesserung des ISMS einfließen. Von Personal
erstellte Meldungen sollten während der Managementbewertung (Klausel 9.3) geprüft und
genutzt werden, um Schwachstellen in Richtlinien wie Offboarding, Asset-Rückgabe oder NDA-Verstößen zu identifizieren.

Aus der Phase Controls in Action, Schritt 16: People Controls II.

Wenn ein Konto eines ehemaligen Mitarbeiters nach dem Austritt aktiv blieb, sollte das Leitungsorgan dies nicht als einzelnes Ticket behandeln. Es ist ein Nachweis für eine mögliche Schwäche in HR, IT, Zugriffskontrolle, Asset-Management, Überwachung und Korrekturmaßnahmen.

4. Lieferanten, Cloud und Exit-Bereitschaft überprüfen

DORA Article 28 macht IKT-Drittparteienrisiken zu einem Bestandteil des Rahmenwerks für das IKT-Risikomanagement. Finanzunternehmen bleiben vollständig für die Einhaltung verantwortlich, wenn IKT-Services ausgelagert werden. Sie müssen ein aktuelles Register der vertraglichen IKT-Vereinbarungen führen, kritische oder wichtige Funktionen unterscheiden, gebotene Sorgfalt durchführen, Konzentrationsrisiken steuern, Audit- und Inspektionsrechte sichern und Exit-Strategien aufrechterhalten.

NIS2 Article 21 verlangt ebenfalls Sicherheit der Lieferkette, einschließlich Sicherheit der Lieferantenbeziehung, lieferantenspezifischer Schwachstellen, Cybersicherheitspraktiken von Lieferanten und Korrekturmaßnahmen.

Für die Managementbewertung darf die Lieferantenberichterstattung kein Anhang der Beschaffung sein. Sie muss Nachweis für das Leitungsorgan sein.

Beziehen Sie Änderungen bei kritischen Lieferanten, Due-Diligence-Status, Vertragslücken, Überprüfung der geteilten Cloud-Verantwortung, Konzentrationsrisiko, Ergebnisse der Exit-Strategie, Zusammenarbeit bei Lieferantenvorfällen und Korrekturmaßnahmen aus Lieferantenbewertungen ein. Wenn die Führungsebene die weitere Nutzung eines Lieferanten mit hohem Risiko genehmigt, sollten die Protokolle Begründung, kompensierende Kontrollen, Überprüfungstermin und verantwortlichen Eigentümer festhalten.

Marias Leitungsorgan erhält ein konkretes Lieferantenthema: Ein wichtiger Plattformanbieter hatte einen geringfügigen, nicht meldepflichtigen Vorfall. Es waren keine Kundendaten betroffen, aber das Ereignis legte ein Konzentrationsrisiko offen. Der CEO weist den CTO an, bis zum nächsten Quartal eine Machbarkeitsstudie für einen Zweitlieferanten abzuschließen, und stellt EUR 25.000 für die Bewertung bereit. Diese einzelne dokumentierte Entscheidung belegt Aufsicht über Lieferkettenrisiken, Ressourcenzuweisung und Nachverfolgung.

Wie Zenith Controls die Nachweise verbindet

Clarysecs Zenith Controls: The Cross-Compliance Guide hilft Teams zu erklären, warum ISO-Kontrollnachweise über mehrere Rahmenwerke hinweg relevant sind.

Für die Managementbewertung ist ISO/IEC 27002:2022 Maßnahme 5.4, Verantwortlichkeiten der Leitung, ein Governance-Anker. Sie unterstützt Managementvorgaben, Rechenschaftspflicht, Ressourcenausstattung und Aufsicht. Zenith Controls verknüpft Maßnahme 5.4 mit unterstützenden ISO/IEC 27002:2022-Maßnahmen, die häufig in Nachweisen zur Managementbewertung erscheinen.

Dieses Kontrollset gibt Maria eine Cross-Compliance-Erzählung. Ihre Nachweise aus der Managementbewertung können die Zertifizierung nach ISO/IEC 27001:2022, die Aufsicht nach NIS2 Article 20, Maßnahmen zum Management von Cybersicherheitsrisiken nach NIS2 Article 21, IKT-Governance nach DORA Article 5, die Überprüfung des Rahmenwerks für das IKT-Risikomanagement nach DORA Article 6, Tests der digitalen operationalen Resilienz nach DORA Articles 24 to 27, GDPR Article 32(1)(d), NIST CSF 2.0 GOVERN Outcomes und Governance-Ziele nach COBIT 2019 unterstützen.

Unabhängige Überprüfung und Überwachung der Einhaltung verdienen besondere Aufmerksamkeit. Eine Managementbewertung ohne unabhängige Nachweise wird zur Selbstauskunft. ISO/IEC 27002:2022 Maßnahme 5.35 gibt dem Leitungsorgan objektive Assurance durch interne Audits, externe Bewertungen, Zusammenfassungen von Penetrationstests, Beobachtungen aus Zertifizierungsaudits und Überprüfungen der Kontrollwirksamkeit. Maßnahme 5.36 macht aus „wir haben eine Richtlinie“ die Aussage „wir wissen, ob Menschen und Systeme die Richtlinie befolgen“.

Wie Auditoren Ihre Managementbewertung prüfen werden

Eine Managementbewertung nach Klausel 9.3 ist eine der ersten Stellen, an denen Auditoren prüfen, ob Governance tatsächlich gelebt wird. Unterschiedliche Auditoren stellen unterschiedliche Fragen, aber alle achten auf Nachvollziehbarkeit.

Der häufige Fehler besteht nicht darin, dass keine Sitzung stattgefunden hat. Er besteht darin, dass die Sitzung nichts verändert hat. Auditoren wollen Entscheidungen, Verantwortliche, Fristen, erwartete Nachweise und Abschlussaufzeichnungen sehen.

Ergebnisse, die Aufsicht durch die Geschäftsleitung belegen

Eingaben erzeugen die Bewertung. Ergebnisse belegen Governance.

Mindestens sollte die Aufzeichnung der Managementbewertung Folgendes enthalten:

1. Genehmigte Entscheidungen
   Beispiele sind die Genehmigung der Auditbereitschaft für Zertifizierungen, die Aktualisierung des ISMS-Geltungsbereichs, die Überarbeitung von Workflows zur Vorfallmeldung, die Anforderung einer Korrektur von Lieferantenverträgen oder die Akzeptanz von Restrisiko bis zu einem festgelegten Datum.

2. Zugewiesene Maßnahmen
   Jede Maßnahme benötigt einen Verantwortlichen, einen Fälligkeitstermin, eine Priorität, erwartete Nachweise und einen Überprüfungsrhythmus.

3. Aufzeichnungen zur Risikoakzeptanz
   Akzeptierte Risiken sollten den Risikoverantwortlichen, die Begründung, die Restrisikostufe, kompensierende Kontrollen, das Ablaufdatum und die Eskalationsschwelle ausweisen.

4. Ressourcenentscheidungen
   Dokumentieren Sie Budget, Personalbestand, Werkzeuge, Schulungen, externe Auditunterstützung, rechtliche Bewertung, Tabletop-Übungen oder Lieferanten-Assurance-Aktivitäten.

5. Aktualisierungen von Richtlinien und Kontrollen
   Erfassen Sie Änderungen an Zugriffskontrolle, Incident Response, Aufrechterhaltung des Geschäftsbetriebs, Lieferantenmanagement, Verschlüsselung, sicherer Entwicklung, Protokollierung, Schwachstellenmanagement oder Datenaufbewahrung.

6. Genehmigungen von Korrekturmaßnahmen
   Nichtkonformitäten und Audit-Feststellungen sollten zu Korrekturmaßnahmen mit Verantwortlichkeit, Zeitplan und Nachweiserwartungen werden.

7. Nachverfolgungsmechanismus
   Die nächste Bewertung sollte mit dem Status dieser Entscheidungen beginnen.

Für KMU verstärkt die Informationssicherheitsleitlinie für KMU die Notwendigkeit, Zertifizierung, Regulierung und Geschäftsänderungen zu verbinden:

Diese Richtlinie muss vom General Manager (GM) mindestens jährlich überprüft werden, um die fortdauernde Einhaltung der ISO/IEC 27001-Zertifizierungsanforderungen, regulatorischer Änderungen (wie GDPR, NIS2 und DORA) sowie sich entwickelnder Geschäftsanforderungen sicherzustellen.

Aus Abschnitt „Überprüfungs- und Aktualisierungsanforderungen“, Richtlinienklausel 9.1.1.

Dieser Satz beschreibt die Realität des Jahres 2026. Die Managementbewertung muss ISMS, regulatorische Änderungen, Kunden, Lieferanten, Vorfälle, Risiken, Ressourcen und Geschäftsstrategie in einem Governance-Kreislauf verbinden.

Häufige Fehler bei Managementbewertungen im Jahr 2026

Die häufigsten Fehler sind vorhersehbar.

Erstens ist die Bewertung zu technisch. Führungskräfte erhalten Zahlen zu Schwachstellen und Alarmvolumina, aber keine Geschäftsrisiken, regulatorische Exponierung, Kundenauswirkungen oder Entscheidungsoptionen.

Zweitens fehlt ein Entscheidungsprotokoll. In Protokollen steht „Lieferantenrisiko besprochen“, aber nicht, ob das Management das Risiko akzeptiert, Abhilfe verlangt, Budget genehmigt oder eine Frist zugewiesen hat.

Drittens erfolgt die Akzeptanz von Restrisiken informell. Ein Risiko bleibt monatelang offen, weil „das Geschäft davon weiß“, aber es gibt keine Genehmigung durch den Verantwortlichen, keine Begründung, kein Ablaufdatum und keinen Überprüfungsauslöser.

Viertens erreichen Audit-Feststellungen das Management nicht. Interne Auditberichte verbleiben in GRC-Ordnern, während die Führungsebene nur eine grüne Statuszusammenfassung sieht.

Fünftens werden Lieferanten und Cloud-Anbieter getrennt von der ISMS-Leistung behandelt. Unter DORA und NIS2 ist IKT-Drittparteienrisiko ein zentraler Governance-Nachweis.

Sechstens werden Vorfälle als operative Ereignisse gemeldet, aber nicht auf systemische Verbesserung hin überprüft. Ursachen, Lessons Learned und Korrekturmaßnahmen müssen in die Managementbewertung einfließen.

Siebtens fehlt der Tracker früherer Maßnahmen. Auditoren werden fragen, was mit den Entscheidungen des Vorjahres geschehen ist. Wenn die Antwort über E-Mails und Tickets verstreut ist, wird die Governance-Erzählung schwächer.

Ein Governance-Kreislauf, viele Verpflichtungen

Clarysecs praktisches Modell ist einfach:

1. Geltungsbereich und Verpflichtungen
   Nutzen Sie den ISMS-Geltungsbereich, interessierte Parteien, das Compliance-Register, Kundenverpflichtungen und Lieferantenabhängigkeiten, um festzulegen, was die Bewertung abdecken muss.

2. Risiko- und Kontrollnachweise
   Nutzen Sie das Risikoregister, die Erklärung zur Anwendbarkeit, Nachweise zur Umsetzung von Kontrollen, KPIs und Überwachung der Einhaltung.

3. Assurance-Eingaben
   Bringen Sie interne Audits, unabhängige Überprüfungen, Penetrationstests, Lieferantenbewertungen, Kundenaudits und Zertifizierungsfeststellungen ein.

4. Eingaben zur operativen Resilienz
   Berücksichtigen Sie Vorfälle, Beinahe-Vorfälle, Tests zur Aufrechterhaltung des Geschäftsbetriebs, Backup-Ergebnisse, Disaster-Recovery-Übungen, Lessons Learned aus dem Krisenmanagement und Meldebereitschaft.

5. Führungsentscheidungen
   Dokumentieren Sie Risikoakzeptanz, Ressourcenzuweisung, Änderungen des Geltungsbereichs, Kontrolländerungen, Lieferantenentscheidungen, Korrekturmaßnahmen und strategische Ziele.

6. Nachweisaufbewahrung
   Speichern Sie Protokolle, Pakete, Genehmigungen, Maßnahmentracker und Abschlussnachweise in einem kontrollierten Repository.

7. Nachverfolgungsrhythmus
   Überprüfen Sie hohe Risiken vierteljährlich, führen Sie geplante Managementbewertungen nach Klausel 9.3 durch und lösen Sie zusätzliche Bewertungen nach wesentlichen Vorfällen, Lieferantenänderungen, Audits, Tests oder regulatorischen Entwicklungen aus.

So kann eine einzige Managementbewertung die Zertifizierung nach ISO/IEC 27001:2022, die Rechenschaftspflicht des Leitungsorgans nach NIS2, DORA-IKT-Risikogovernance, GDPR-Rechenschaftspflicht, NIST CSF GOVERN-Überprüfung, Aufsicht des Leitungsorgans nach COBIT 2019 und Kunden-Due-Diligence unterstützen.

Machen Sie Ihre nächste Managementbewertung auditbereit

Marias Leitungsorgan brauchte kein weiteres technisches Dashboard. Es brauchte belastbare Nachweise, dass Cybersicherheitsrisiken überprüft, verstanden, entschieden, finanziert und verbessert wurden.

Ihre Organisation benötigt dasselbe.

Beginnen Sie diesen Monat:

• Erstellen Sie ein Nachweispaket nach Klausel 9.3.
• Ordnen Sie jedes Agendaelement einem Risiko, einer Verpflichtung, einem KPI, einer Audit-Feststellung, einem Vorfall, einem Lieferantenthema oder einer Korrekturmaßnahme zu.
• Dokumentieren Sie jede Entscheidung mit Verantwortlichem, Fälligkeitstermin, Begründung und erwarteten Nachweisen.
• Verwenden Sie den Tracker früherer Maßnahmen als ersten Agendapunkt in der nächsten Bewertung.
• Bewahren Sie Protokolle, Genehmigungen, Risikoakzeptanzen und Abschlussaufzeichnungen in einem kontrollierten Repository auf.

Clarysec kann Ihnen helfen, dies schnell operativ umzusetzen, indem Sie den Zenith Blueprint, die Clarysec-Richtlinienbibliothek und Zenith Controls als Cross-Compliance-Kompass für ISO/IEC 27001:2022, NIS2, DORA, GDPR, NIST CSF, COBIT 2019 und Auditbereitschaft nutzen.

Wenn Ihre Managementbewertung noch immer eine Compliance-Aufgabe ist, ist es Zeit, sie in einen strategischen Governance-Wert zu verwandeln. Laden Sie die Clarysec-Toolkits herunter, bereiten Sie Ihr Nachweispaket für das Leitungsorgan vor und machen Sie Ihre nächste Bewertung zum Beleg dafür, dass die Führungsebene Cybersicherheitsrisiken aktiv steuert.