In der Managementbewertung prüft die oberste Leitung in geplanten Abständen, ob das ISMS geeignet, angemessen und wirksam ist. Varmo stellt die Eingaben aus Ihren aktuellen Daten zusammen, sodass die Leitung auf einen Blick sieht, wo Handlungsbedarf besteht. Diese Anleitung richtet sich an ISMS-Verantwortliche, die die Bewertung vorbereiten, und an die oberste Leitung.

Bevor Sie beginnen

  • Planen und vorbereiten dürfen Personen mit dem Recht, Managementbewertungen zu verwalten, standardmässig die ISMS-Verantwortlichen. Lesen dürfen standardmässig auch die oberste Leitung und „Revision & Audit (nur lesen)“.
  • Den Vorsitz übernimmt nach ISO/IEC 27001 (9.3) eine Person aus der obersten Leitung. Varmo bietet alle Mitglieder zur Auswahl an und prüft nicht, ob die Person zur obersten Leitung gehört; wählen Sie sie darum bewusst. Der Vorsitz sieht seine Bewertung auch ohne weiteres Recht.
  • Je vollständiger Risiken, Massnahmen, Audits, Feststellungen, Ziele, Kontrollen und Vorfälle gepflegt sind, desto aussagekräftiger sind die Eingaben.
  1. PlanendePlanen

    Titel, Termin, Vorsitz und Verteiler.

  2. PlanendeEingaben zusammenstellen

    Varmo friert den Stand ein.

  3. Verteiler mit „liefert Eingaben“Rückmeldung geben

    Jede Person für sich selbst.

  4. Beschlüsse festhalten

    In der Sitzung, auf Wunsch mit Massnahme.

  5. VorsitzAbschliessen

    Datum der Sitzung, Fazit und Beurteilung der Ressourcen.

Abschliessen gesperrt

Solange die Eingaben nicht zusammengestellt sind, eine Rückmeldung fehlt oder Datum, Fazit oder Beurteilung der Ressourcen fehlen.

Beschlüsse als Massnahmen

Mit „Massnahme anlegen“ entsteht aus einem Beschluss eine Massnahme, auch nach dem Abschluss.

Der Weg einer Managementbewertung

Fünf Schritte: Die Planenden planen die Bewertung mit Termin, Vorsitz und Verteiler und stellen die Eingaben zusammen; Varmo friert dabei den Stand ein. Personen im Verteiler, die Eingaben liefern, geben ihre Rückmeldung. In der Sitzung werden Beschlüsse festgehalten. Der Vorsitz schliesst die Bewertung mit Datum der Sitzung, Fazit und Beurteilung der Ressourcen ab. Abschliessen ist gesperrt, solange etwas davon fehlt. Aus Beschlüssen entstehen Massnahmen, auch nach dem Abschluss.

Managementbewertung planen

  1. Öffnen Sie Managementbewertung und klicken Sie auf Managementbewertung planen.
  2. Geben Sie Titel und Termin ein und wählen Sie den Vorsitz (oberste Leitung). Der Vorsitz ist beim Planen noch keine Pflicht; fehlt er, erhalten die Planenden die Pendenz „Vorsitz festlegen und vorbereiten“.
  3. Legen Sie den Verteiler fest: Personen aus Ihren Mitgliedern. Wer zurückmelden soll, erhält das Häkchen liefert Eingaben; die übrigen Personen im Verteiler lesen nur mit. Unter Weitere Teilnehmende (ohne Konto) nennen Sie Personen ohne Zugang, z. B. eine externe Beraterin.
  4. Speichern Sie. Die Planung können Sie später mit Planung ändern anpassen.

Vorbereiten

  1. 30 Tage vor dem Termin erhalten die Planenden eine Pendenz zur Vorbereitung.
  2. Klicken Sie auf Eingaben zusammenstellen. Varmo friert den Stand ein: Beschlüsse der letzten Bewertung mit Stand der Massnahmen, Feststellungen, Audits, Kontrollen, Ziele, Risiken je Stufe, Massnahmen, Vorfälle, Ausnahmen, Geltungsbereich, Erklärung zur Anwendbarkeit, Schulungen und Kenntnisnahmen. Der Zeitraum reicht ab der letzten Sitzung, sonst über die letzten 12 Monate. Mit Neu zusammenstellen holen Sie später den aktuellen Stand.
  3. Ergänzen Sie die Ergänzenden Eingaben als Text, etwa Änderungen bei Themen und interessierten Parteien, Rückmeldungen und Verbesserungsmöglichkeiten.
  4. Personen im Verteiler, die Eingaben liefern, geben mit Rückmeldung geben ihre Sicht ab. Sie können sie bis zum Abschluss anpassen.

Die Bewertung lesen

Die Seite der Bewertung zeigt für die Leitung:

  • Auf einen Blick: eine Ampel je Thema (In Ordnung, Beobachten, Handlungsbedarf) mit einem Satz dazu.
  • Worauf die Leitung achten sollte: was zu tun ist, warum, wer zuständig ist und bis wann, zum Beispiel offene Abweichungen mit Ursache.
  • Detailbericht: alle Kennzahlen und Einzelheiten aufgeklappt. Mit Drucken / PDF erhalten Sie eine Fassung für die Sitzung.

Durchführen und abschliessen

  1. Halten Sie in der Sitzung die Beschlüsse mit Beschluss festhalten fest. Mit Massnahme anlegen wird aus einem Beschluss eine Massnahme mit Pendenz für die verantwortliche Person; das geht auch nach dem Abschluss.
  2. Der Vorsitz wählt Managementbewertung abschliessen und gibt das Datum der Sitzung, das Fazit und die Beurteilung der Ressourcen an: Reichen Personen, Zeit, Budget und Werkzeuge für das ISMS?
  3. Danach sind Fazit und Beschlüsse unveränderlich.

Findet eine geplante Bewertung nicht statt, sagen Sie sie mit Begründung ab.

Was danach passiert

  • Ist die Bewertung vorbereitet, erhält der Vorsitz eine Pendenz in Meine Pendenzen, sie abzuschliessen. Personen im Verteiler, die Eingaben liefern, erhalten die Pendenz „Rückmeldung zur Managementbewertung geben“.
  • Die nächste Bewertung zeigt unter den Eingaben den Stand der Beschlüsse und der daraus entstandenen Massnahmen.
  • Ist zehn Monate nach einer Bewertung keine neue geplant, erhalten die Planenden die Pendenz, die nächste zu planen. Üblich ist mindestens eine Bewertung pro Jahr.

Häufige Fragen

Warum zeigt die Bewertung nicht die neuesten Zahlen?

Die Eingaben sind beim Zusammenstellen eingefroren, damit die Leitung über einen festen Stand entscheidet. Wählen Sie Neu zusammenstellen, solange die Bewertung nicht abgeschlossen ist.

Wer kann eine Rückmeldung geben?

Nur Personen im Verteiler mit dem Häkchen liefert Eingaben, und jede nur für sich selbst.

Wie hängen Vorfälle und Audits mit der Bewertung zusammen?

Abgeschlossene Vorfälle, Meldungen an Behörden, Audits und Feststellungen fliessen automatisch ein. Siehe Vorfälle melden und bearbeiten und Interne Audits und Feststellungen bearbeiten.