Management-Review (Managementbewertung)

Das Management-Review ist die dokumentierte Bewertung des Managementsystems durch die Geschäftsleitung: Sie sieht Auditergebnisse, Risiken, Vorfälle, Kennzahlen und offene Maßnahmen und entscheidet über Ziele, Mittel und Anpassungen. Es ist keine Präsentation, sondern eine Sitzung mit Beschlüssen und Protokoll.

Aktualisiert am: 19.08.2026

Übliche Eingangsgrößen

Ergebnisse interner und externer Audits
Sicherheitsvorfälle und ihre Aufarbeitung
Stand der Maßnahmen und Restrisiken
Rückmeldungen aus Kundenprüfungen und Lieferantenbewertungen
Bedarf an Personal, Budget und Schulung

Was es mit § 38 BSIG zu tun hat

Nach § 38 BSIG hat die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Das Management-Review ist die praktikabelste Form, diese Überwachung nachweisbar zu machen — mit Datum, Teilnehmenden und Beschlüssen.

Wo das im Mandat vorkommt

Ich bereite das Review vor und moderiere es — als Teil des Mandats externer CISO oder begleitend in der ISO-27001-Beratung. Zwei Stunden im Jahr reichen, wenn die Vorlage steht.

Häufige Frage

Wie oft muss ein Management-Review stattfinden?

Mindestens einmal jährlich, üblicherweise nach dem internen Audit und vor dem externen Audit. Bei größeren Veränderungen — Zukauf, neuer Standort, schwerer Vorfall — wird es zusätzlich einberufen.