¶ Wirksamkeitsmessungen
Beispieldokument: Diese Seite beschreibt ein Mess- und Nachweisverfahren für die fiktive „Muster GmbH“. Die Beispiele bestätigen weder umgesetzte Sicherheitsmaßnahmen noch erreichte Ziele, belastbare Kennzahlen, bestandene Prüfungen oder ein wirksames ISMS.
Aussagegrundsatz: „Dokumentiert“, „umgesetzt“, „durchgeführt“, „bestanden“, „Ziel erreicht“ und „wirksam“ sind unterschiedliche Aussagen. Eine Kennzahl, ein Screenshot oder ein einzelner erfolgreicher Test reicht ohne bestätigten Scope, Prüfmaßstab, Datenqualität und Auswertung nicht für eine Wirksamkeitsaussage.
Schutzregel: Rohdaten, Stichproben, Schwachstellen, Vorfälle, Personenbezüge, technische Messwerte und negative Ergebnisse können vertraulich oder streng vertraulich sein. Die allgemein lesbare Wiki-Seite enthält nur Methode, Status und kontrollierte Referenzen; Originale verbleiben in geschützten Ablagen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-NW-07-09 |
| Dokumentenart | Nachweisverfahren für Überwachung, Messung, Analyse und Wirksamkeitsbewertung |
| Wiki.js-Pfad | /ISMS/07-Nachweise/Wirksamkeitsmessungen |
| Verantwortlich | ISMS-Beauftragte/r gemeinsam mit Maßnahmen-, Prozess-, Kontroll- und Daten-Ownern |
| Fachlich geprüft durch | Informationssicherheit, IT/OT, Fachbereiche, Datenschutz, BCM, Personal, Einkauf, Qualitätsmanagement und Audit entsprechend dem Messgegenstand |
| Freigabe durch | Geschäftsführung beziehungsweise festgelegte befugte Rolle |
| Status | Entwurf – keine reale Wirksamkeitsmessung durchgeführt oder bestätigt |
| Version | 0.2 |
| Stand | 08.08.2026 |
| Gültig ab | Nach fachlicher Prüfung und Freigabe |
| Nächste Prüfung | Nach freigegebenem Messprogramm sowie anlassbezogen bei Risiken, Änderungen, Vorfällen, Abweichungen oder unzureichender Datenqualität |
| Schutzklasse | Intern; Messdaten und Einzelnachweise nach Inhalt regelmäßig vertraulich oder streng vertraulich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 6.2, 8, 9.1 bis 9.3 und 10 sowie relevante Annex-A-Maßnahmen |
| TISAX-Bezug | Maßgebliche ISA-Fassung, zugeordnete Kontrollfragen, Umsetzungsbeschreibung, Nachweise und Reifegradbewertung |
| Weitere Bezüge | ISO/IEC 27004:2016, ISO 19011, NIS2-Umsetzung, DSGVO sowie Kunden-, Vertrags- und Versicherungsanforderungen, soweit anwendbar |
Messkette von Wirkung und Prüfmaßstab über belastbare Daten und Bewertung bis zur dokumentierten Entscheidung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Dieses Verfahren legt fest, wie die Leistung des ISMS und die Wirksamkeit von Prozessen, Sicherheitsmaßnahmen, Risiko- und Korrekturmaßnahmen geplant, überwacht, gemessen, analysiert, bewertet und nachgewiesen werden. Es soll insbesondere sicherstellen, dass:
- die beabsichtigte Wirkung vor der Messung eindeutig beschrieben ist,
- Messgegenstand, Scope, Owner, Zeitraum und Datenquelle feststehen,
- Baseline, Ziel, Akzeptanzkriterium und Aussagegrenze vorab festgelegt werden,
- Kennzahlen nicht mit Wirksamkeit gleichgesetzt werden,
- Datenqualität, Stichprobe und mögliche Verzerrungen geprüft werden,
- Umsetzung und Wirkung organisatorisch unterscheidbar bewertet werden,
- negative, widersprüchliche und nicht schlüssige Ergebnisse sichtbar bleiben,
- Entscheidungen, Maßnahmen und Wiederholungsprüfungen nachvollziehbar sind,
- Wirksamkeitsaussagen nur für den tatsächlich geprüften Scope und Zeitraum gelten.
Die Seite ersetzt weder operative Dashboards, technische Messsysteme, Auditberichte, Managementbewertungen noch die geschützten Originalnachweise.
¶ 2. Begriffe und Aussageebenen
| Aussage | Was damit belegt wird | Was damit noch nicht belegt wird |
|---|---|---|
| Dokumentiert | Vorgabe oder Verfahren ist beschrieben | Umsetzung im Alltag |
| Freigegeben | befugte Rolle hat Inhalt und Gültigkeit bestätigt | Durchführung oder Wirkung |
| Umgesetzt | Maßnahme wurde technisch oder organisatorisch eingerichtet | dauerhafte Nutzung und Wirkung |
| Durchgeführt | Aktivität, Test, Schulung oder Review fand statt | Bestehen oder Zielerreichung |
| Bestanden | vorab bestätigte Prüfkriterien wurden im Test erfüllt | nachhaltige Wirkung außerhalb des Tests |
| Ziel erreicht | definierter Zielwert wurde im Messzeitraum erreicht | Ursache, Nachhaltigkeit oder Gesamtwirksamkeit |
| Wirksam | beabsichtigter Sicherheitseffekt ist anhand geeigneter Kriterien und belastbarer Daten für den geprüften Scope bestätigt | zukünftige oder organisationsweite Wirksamkeit außerhalb der Aussagegrenze |
¶ 3. Messgrundsätze
- Die Messung folgt dem Risiko und der beabsichtigten Wirkung, nicht der bloßen Datenverfügbarkeit.
- Kriterien werden vor Kenntnis des Ergebnisses festgelegt oder nachträgliche Festlegungen ausdrücklich gekennzeichnet.
- Quantitative und qualitative Methoden können kombiniert werden.
- Eine leicht messbare Aktivität wird nicht automatisch zur geeigneten Wirksamkeitskennzahl.
- Durchschnittswerte dürfen kritische Einzelfälle nicht verdecken.
- Fehlende Daten werden als fehlend dargestellt und nicht als Null oder positives Ergebnis interpretiert.
- Änderungen an Formel, Quelle, Scope oder Schwelle unterbrechen die Vergleichbarkeit und werden dokumentiert.
- Wesentliche Wirksamkeitsaussagen werden nicht allein durch die umsetzende Person bestätigt.
- Negative Ergebnisse lösen keine Datenbereinigung aus, sondern Bewertung und gegebenenfalls Maßnahmen.
- Eine Messung wird eingestellt, wenn ihr Aufwand, Risiko oder Fehlanreiz ihren Steuerungsnutzen überwiegt.
¶ 4. Geltungsbereich
Wirksamkeitsmessungen können sich beziehen auf:
- das ISMS als Managementsystem,
- Informationssicherheitsziele,
- Risiko- und Risikobehandlungsmaßnahmen,
- organisatorische und technische Sicherheitsmaßnahmen,
- TISAX-Kontrollfragen und Reifegradmerkmale,
- NIS2-bezogene Risikomanagementmaßnahmen, soweit anwendbar,
- Korrektur- und Verbesserungsmaßnahmen,
- Awareness, Kompetenz und Verhalten,
- Lieferanten-, Cloud- und Vertragssteuerung,
- Incident Response, Notfallvorsorge, Restore und Wiederanlauf,
- Dokumenten-, Freigabe- und Nachweisprozesse.
Nicht erfasste Organisationseinheiten, Standorte, Systeme, Zeiträume, Nutzergruppen oder Szenarien werden als Aussagegrenze dokumentiert.
¶ 5. Rollen und Funktionstrennung
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Messziele, Ressourcen, wesentliche Kriterien und Entscheidungen bestätigen |
| ISMS-Beauftragte/r | Messprogramm koordinieren, Methodik und Querverweise pflegen, Ergebnisse berichten |
| Kontroll-/Maßnahmen-Owner | beabsichtigte Wirkung, Scope, Umsetzung und fachliche Zielsetzung beschreiben |
| Daten-Owner | Quelle, Definition, Vollständigkeit, Zugriff und Aufbewahrung verantworten |
| messende Rolle | Daten nach freigegebener Methode erheben und Berechnung reproduzierbar dokumentieren |
| fachlich bewertende Rolle | Ergebnis, Ursachen, Einschränkungen und Risikowirkung beurteilen |
| unabhängige prüfende Rolle | Datenqualität, Stichprobe, Methode und Wirksamkeitsaussage angemessen verifizieren |
| Audit/QM | Auswahl, Nachvollziehbarkeit und Unabhängigkeit risikoorientiert prüfen |
Bei wesentlichen oder risikoreichen Maßnahmen bestätigt der Maßnahmen-Owner die Wirksamkeit nicht allein.
¶ 6. Auslöser für eine Messung
Eine Messung kann ausgelöst werden durch:
- ein Informationssicherheitsziel,
- eine neue oder geänderte Sicherheitsmaßnahme,
- eine Risikobehandlung oder Risikoakzeptanz,
- eine Abweichung oder Korrekturmaßnahme,
- einen Vorfall, eine Notfallübung oder Lessons Learned,
- ein Audit oder TISAX-Assessment,
- eine Rechts-, Kunden- oder Vertragsanforderung,
- eine Managemententscheidung,
- einen auffälligen Trend oder eine Datenqualitätsabweichung,
- eine wesentliche Änderung an Organisation, Technik, Standort oder Lieferant.
¶ 7. Messauftrag
Vor der Datenerhebung wird mindestens festgelegt:
| Feld | Mindestinhalt |
|---|---|
| Mess-ID | dauerhaft eindeutige Referenz, zum Beispiel WM-YYYY-NNN |
| Anlass und Bezug | Ziel, Risiko, Control, Maßnahme, Feststellung oder Entscheidung |
| beabsichtigte Wirkung | konkret erwarteter Sicherheits- oder Steuerungseffekt |
| Messgegenstand | Prozess, Maßnahme, System, Standort, Personengruppe oder Lieferant |
| Scope und Ausschlüsse | einbezogene und nicht einbezogene Elemente |
| Owner und prüfende Rolle | fachliche, datenbezogene und unabhängige Verantwortung |
| Methode und Quelle | Berechnung, Stichprobe, Test, Audit, Beobachtung oder Interview |
| Baseline | bestätigter Ausgangszustand oder begründete Kennzeichnung „nicht verfügbar“ |
| Ziel und Akzeptanzkriterium | vorab bestätigter Maßstab für die Entscheidung |
| Zeitraum und Prüftermin | Messperiode, Beobachtungsdauer und Auswertungstermin |
| Datenqualität | erwartete Vollständigkeit, Genauigkeit, Aktualität und Vergleichbarkeit |
| Schutz und Ablage | Klassifizierung, Zugriffe, Originalort und Aufbewahrung |
| mögliche Fehlanreize | erwartete Manipulations-, Verlagerungs- oder Optimierungsrisiken |
| Aussagegrenze | zulässige Schlussfolgerung und ausdrücklich nicht gedeckte Aussagen |
¶ 8. Wirkungskette
Jede wesentliche Messung wird entlang einer Wirkungskette beschrieben:
Risiko/Anforderung → Maßnahme → Leistung/Output → beobachtete Veränderung → Sicherheitseffekt → Restrisiko/Entscheidung
Beispielhafte Trennung:
| Ebene | Awareness-Beispiel | Zugriff-Beispiel |
|---|---|---|
| Umsetzung | Lernmodul bereitgestellt | Reviewprozess eingerichtet |
| Durchführung | Beschäftigte haben teilgenommen | Review wurde durchgeführt |
| Output | Testergebnis liegt vor | Entscheidungen sind dokumentiert |
| Verhaltens-/Prozesswirkung | Meldungen werden richtig und schneller ausgelöst | nicht mehr benötigte Rechte werden erkannt und entzogen |
| Sicherheitseffekt | geringere Wahrscheinlichkeit erfolgreicher Täuschung | geringere unberechtigte Zugriffsmöglichkeit |
¶ 9. Messarten
| Messart | Typischer Nutzen | Grenze |
|---|---|---|
| Kennzahl/KPI | Trend, Volumen, Quote oder Zeit sichtbar machen | Ursache und Wirkung häufig nicht allein ableitbar |
| technischer Test | konkrete Funktion oder Konfiguration prüfen | gilt nur für geprüften Scope und Testbedingungen |
| Stichprobe | reale Fälle mit vertretbarem Aufwand prüfen | Repräsentativität muss begründet werden |
| Audit | Konformität, Umsetzung und Wirksamkeit unabhängig beurteilen | Momentaufnahme und Stichprobengrenze |
| Übung/Simulation | Verhalten, Zusammenarbeit und Reaktion praktisch prüfen | Szenario- und Teilnehmergrenze |
| Interview/Beobachtung | gelebte Praxis und Verständnis erfassen | subjektive Verzerrungen möglich |
| Risikoneubewertung | Wirkung auf Eintritt, Auswirkung oder Exposition beurteilen | hängt von Methodik und Datenlage ab |
| Vorher-Nachher-Vergleich | Veränderung zur Baseline erkennen | externe Einflussfaktoren können Ursache verzerren |
¶ 10. Kennzahlendesign
Für jede Kennzahl werden Definition und Berechnung vollständig dokumentiert:
Kennzahl = eindeutig definierter Zähler / eindeutig definierter Nenner × Faktor
Zusätzlich werden festgelegt:
- eingeschlossene und ausgeschlossene Fälle,
- Stichtag, Zeitzone und Messperiode,
- Datenquelle und Extraktionslogik,
- Behandlung von Duplikaten, fehlenden oder verspäteten Daten,
- Rundung und Darstellung,
- Vergleichbarkeit zu Vorperioden,
- Owner, Prüfer und Freigabe,
- Bezug zur beabsichtigten Wirkung.
Eine Quote von 100 Prozent ist kein Wirksamkeitsnachweis, wenn der Nenner unvollständig, der Scope ungeklärt oder die Aktivität ungeeignet ist.
¶ 11. Baseline, Ziel und Akzeptanzkriterium
| Element | Bedeutung |
|---|---|
| Baseline | bestätigter Ausgangszustand vor Maßnahme oder Messperiode |
| Zielwert | angestrebte Leistung oder Veränderung |
| Mindestkriterium | Schwelle, unterhalb derer Nachbesserung erforderlich ist |
| Beobachtungszeitraum | Zeitraum, in dem eine nachhaltige Wirkung sichtbar werden soll |
| Abbruchkriterium | Risiko- oder Qualitätsgrenze, bei der Messung/Test beendet wird |
| Wiederholungsregel | Anlass und Zeitpunkt einer erneuten Messung |
Fehlt eine belastbare Baseline, kann zunächst ein Ausgangswert erhoben werden. Dieser wird nicht rückwirkend als Zielerreichung oder Wirksamkeit dargestellt.
¶ 12. Datenqualität
Vor der Bewertung werden mindestens geprüft:
| Qualitätsmerkmal | Prüffrage |
|---|---|
| Vollständigkeit | Sind alle relevanten Fälle, Systeme, Standorte und Perioden enthalten? |
| Genauigkeit | Stimmen Messwerte mit Originalquelle und Definition überein? |
| Aktualität | Ist die Datenperiode für die Entscheidung noch geeignet? |
| Konsistenz | Werden gleiche Begriffe und Regeln über Quellen hinweg gleich angewendet? |
| Vergleichbarkeit | Sind Scope, Formel und Quelle gegenüber Baseline und Vorperiode stabil? |
| Reproduzierbarkeit | Kann eine befugte zweite Person das Ergebnis nachvollziehen? |
| Integrität | Sind Änderung, Export, Verarbeitung und Ablage geschützt und protokolliert? |
| Repräsentativität | Ist die Stichprobe für die zulässige Aussage ausreichend begründet? |
Nicht ausreichende Datenqualität führt zu „nicht bewertbar“ oder einer ausdrücklich eingeschränkten Aussage, nicht zu einem positiven Ergebnis.
¶ 13. Früh- und Spätindikatoren
| Indikatorart | Beispiel | Verwendung |
|---|---|---|
| Frühindikator | überfällige Reviews, ungepatchte kritische Systeme, fehlende Schulung | Handlungsbedarf erkennen, bevor ein Schaden eintritt |
| Leistungsindikator | Bearbeitungszeit, Abdeckungsquote, Testquote | Prozessleistung und Umsetzung überwachen |
| Spätindikator | Vorfall, Datenverlust, Wiederholungsabweichung, Ausfall | eingetretene Wirkung oder Versagen erkennen |
| Risikowirkungsindikator | veränderte Exposition oder bestätigtes Restrisiko | Beitrag der Maßnahme zur Risikobehandlung beurteilen |
Eine robuste Bewertung kombiniert bei wesentlichen Themen mehrere Perspektiven.
¶ 14. Beispielhafter Messkatalog – ausschließlich Entwurf
| Mess-ID | Gegenstand | Beabsichtigte Wirkung | Geeignete Methode | Aktueller Status |
|---|---|---|---|---|
| M-WM-001 | Awareness | Beschäftigte erkennen und melden relevante Situationen richtig | Wissenstest, Simulation, Meldequalität und Trend | Nicht gemessen |
| M-WM-002 | Berechtigungsreviews | nicht erforderliche oder unzulässige Rechte werden erkannt und entfernt | Grundgesamtheit, Stichprobe, Entzugsnachweis und Nachkontrolle | Nicht gemessen |
| M-WM-003 | Patchmanagement | ausnutzbare Exposition wird innerhalb bestätigter Prioritäten reduziert | Assetabdeckung, Befundalter, Verifikation und Ausnahmen | Nicht gemessen |
| M-WM-004 | Backup und Restore | kritische Daten und Dienste sind fachlich nutzbar wiederherstellbar | praktischer Restore, Integrität, Fachabnahme und RTO/RPO | Nicht gemessen |
| M-WM-005 | Incident Response | Vorfälle werden erkannt, eingedämmt und nachvollziehbar behandelt | Übung/Vorfall, Zeitlinie, Kriterien, Wiederholung und Lessons Learned | Nicht gemessen |
| M-WM-006 | Lieferantensteuerung | kritische Fremdleistungen erfüllen bestätigte Sicherheitsanforderungen | Review, SLA, Befunde, Maßnahmen und Exit-Test | Nicht gemessen |
| M-WM-007 | Korrekturmaßnahmen | bestätigte Ursachen werden nachhaltig behandelt | Vorher-Nachher-Stichprobe, Wiederholungsbefund und Risikoneubewertung | Nicht gemessen |
| M-WM-008 | ISMS-Ziele | freigegebene Sicherheitsziele liefern den erwarteten Beitrag | KPI, Audit, Risiko- und Managementbewertung | Nicht gemessen |
Die Beispiele enthalten bewusst keine Zielwerte, Ampeln oder positiven Ergebnisse. Reale Kriterien werden organisationsbezogen beschlossen.
¶ 15. Awareness und Kompetenz
Teilnahme oder Kursabschluss belegen Aktivität, aber nicht automatisch Kompetenz oder Verhaltenswirkung. Eine angemessene Bewertung kann kombinieren:
- bestätigter rollenbezogener Schulungsbedarf,
- Teilnahme- und Lernergebnis,
- Qualität und Rechtzeitigkeit realer Meldungen,
- Simulationen mit zulässigem und transparentem Auswertungskonzept,
- wiederkehrende Fehler oder Regelverstöße,
- Interviews, Beobachtungen und Führungsfeedback,
- Nachschulung und erneute Prüfung.
Personenbezogene Auswertungen werden datenschutz-, arbeitsrechtlich und mitbestimmungsbezogen geprüft.
¶ 16. Zugriff und Berechtigungen
Wirksamkeit wird nicht allein durch ein abgeschlossenes Review belegt. Zu prüfen sind beispielsweise:
- Vollständigkeit der Grundgesamtheit,
- korrekte Owner- und Rollenentscheidung,
- tatsächliche technische Entfernung oder Korrektur,
- Behandlung privilegierter und verwaister Konten,
- zeitgerechter Entzug bei Austritt oder Rollenwechsel,
- Nachkontrolle und Wiederholungsbefunde,
- Auswirkungen auf unberechtigte Zugriffsmöglichkeiten.
¶ 17. Schwachstellen und Patches
Eine hohe Installationsquote kann kritische Ausnahmen verdecken. Geeignete Perspektiven sind:
- bestätigte Asset- und Scannerabdeckung,
- Alter und Kritikalität offener Befunde,
- risikobasierte Fristeinhaltung,
- technische Verifikation nach Behandlung,
- genehmigte Ausnahmen und Kompensationsmaßnahmen,
- Wiederauftreten oder verbleibende Exposition,
- Betriebsstörungen und Nebenwirkungen der Behandlung.
¶ 18. Backup, Restore und Wiederanlauf
Ein erfolgreich gelaufener Backupjob belegt noch keine Wiederherstellbarkeit. Die Bewertung umfasst abhängig vom Scope:
- vollständigen und geschützten Sicherungsumfang,
- praktischen Restore aus geeigneter Sicherung,
- Integrität und technische Startfähigkeit,
- fachliche Nutzbarkeit und Abnahme,
- gemessene Zeiten und Datenstände gegenüber bestätigtem RTO/RPO,
- Abhängigkeiten, Notbetrieb und Rückkehr in den Normalbetrieb,
- Befunde, Maßnahmen und Wiederholungstest.
¶ 19. Vorfälle und Notfallübungen
Wirksamkeit wird anhand vorab bestätigter Kriterien beurteilt, etwa:
- Erkennung und korrekt ausgelöster Meldeweg,
- Rollenübernahme, Lagebild und Entscheidungen,
- Eindämmung, Beweissicherung und Kommunikation,
- Wiederherstellung und fachliche Freigabe,
- Einhaltung anwendbarer interner und externer Fristen,
- Qualität der Lessons Learned,
- Behandlung von Befunden und Retest.
Ein ausgebliebener realer Vorfall ist allein kein Nachweis für wirksame Prävention.
¶ 20. Lieferanten und externe Leistungen
Mögliche Messperspektiven sind:
- Vollständigkeit des kritischen Lieferantenbestands,
- risikogerechte Due Diligence und Vertragsanforderungen,
- Leistungs-, Sicherheits- und Vorfallkennzahlen,
- Aktualität und Aussagekraft externer Nachweise,
- Behandlung von Abweichungen,
- Unterauftragnehmer und Konzentrationsrisiken,
- Notfall-, Wechsel- und Exit-Fähigkeit.
Eine Selbstauskunft des Lieferanten ist ein Eingangsnachweis, nicht automatisch eine Wirksamkeitsbestätigung.
¶ 21. Korrektur- und Verbesserungsmaßnahmen
Für jede wesentliche Maßnahme werden Umsetzungs- und Wirksamkeitskriterium getrennt geführt:
| Prüfschritt | Leitfrage |
|---|---|
| Umsetzung | Wurde die beschlossene Änderung vollständig realisiert? |
| Anwendung | Wird die Änderung im vorgesehenen Scope tatsächlich genutzt? |
| Wirkung | Hat sich der beabsichtigte Zustand im angemessenen Zeitraum verbessert? |
| Ursache | Ist die bestätigte Ursache behandelt oder nur das Symptom korrigiert? |
| Nebenwirkung | Sind neue Risiken, Umgehungen oder Betriebsprobleme entstanden? |
| Nachhaltigkeit | Bleibt das Ergebnis über den bestätigten Zeitraum stabil? |
| Abschluss | Liegen Prüfergebnis, Entscheidung und gegebenenfalls Retest vor? |
¶ 22. Auswertung und Ursachenbeitrag
Informationssicherheitswirkungen haben häufig mehrere Einflussfaktoren. Die Bewertung dokumentiert deshalb:
- beobachtete Veränderung gegenüber Baseline und Ziel,
- zeitlichen Zusammenhang zur Maßnahme,
- alternative Ursachen und externe Einflüsse,
- Änderungen an Scope, Systemen, Personal oder Bedrohungslage,
- Daten- und Stichprobengrenzen,
- plausible Beiträge der Maßnahme,
- verbleibende Unsicherheit und Restrisiko.
Wo ein eindeutiger Kausalnachweis nicht möglich ist, wird ein begründeter Wirkungsbeitrag beschrieben statt eine Scheingenauigkeit zu erzeugen.
¶ 23. Ergebnisstufen
| Ergebnis | Mindestbedeutung | Folge |
|---|---|---|
| Nicht gemessen | Messauftrag oder Daten fehlen | Messung planen; keine Wirksamkeitsaussage |
| Nicht bewertbar | Datenqualität, Scope oder Kriterium unzureichend | Ursache der Bewertungslücke behandeln |
| Nicht wirksam | Kriterium verfehlt oder beabsichtigte Wirkung nicht erkennbar | Risiko und Maßnahme neu bewerten |
| Teilweise wirksam | Wirkung nur in Teilen des bestätigten Scope oder mit wesentlichen Einschränkungen | Lücke behandeln und erneut prüfen |
| Wirksam im geprüften Scope | bestätigte Kriterien mit belastbaren Daten erfüllt | Aussagegrenze, Gültigkeitszeitraum und Review festhalten |
| Widersprüchlich | Indikatoren liefern gegensätzliche Ergebnisse | vertiefte Analyse und keine vorschnelle Freigabe |
Eine Ampelfarbe darf diese textliche Bewertung nicht ersetzen.
¶ 24. Umgang mit Nebenwirkungen und Fehlanreizen
Messungen können unerwünschtes Verhalten erzeugen. Geprüft werden beispielsweise:
- Verlagerung statt Reduktion eines Risikos,
- Schließen von Tickets ohne nachhaltige Behandlung,
- künstliche Verkleinerung des Nenners,
- Unterdrückung oder verspätete Meldung negativer Ereignisse,
- Auswahl nur leicht bestehbarer Stichproben,
- Überlastung durch ungeeignete Zielwerte,
- Beeinträchtigung von Datenschutz, Betrieb oder Sicherheitskultur.
Festgestellte Fehlanreize führen zur Anpassung von Kennzahl, Prozess oder Ziel.
¶ 25. Wirksamkeitsnachweispaket
Ein belastbares Nachweispaket enthält mindestens:
- freigegebenen Messauftrag,
- Bezug zu Ziel, Risiko, Control, Maßnahme oder Feststellung,
- Baseline, Ziel, Kriterium und Aussagegrenze,
- Datenquellen, Definitionen und Erhebungszeitraum,
- Rohdaten- oder Originalreferenz mit Schutzklasse,
- dokumentierte Datenqualitätsprüfung,
- Berechnung, Stichprobe, Test- oder Auditprotokoll,
- Ergebnis einschließlich negativer oder widersprüchlicher Befunde,
- fachliche Bewertung und unabhängige Prüfung,
- Entscheidung, Restrisiko und Folgemaßnahmen,
- Wiederholungsprüfung oder nächster Reviewtermin,
- Version, Freigabe und Aufbewahrung.
¶ 26. Registerstruktur
| Feld | Inhalt |
|---|---|
| Mess-ID | eindeutige Referenz |
| Messgegenstand | Ziel, Risiko, Control, Prozess oder Maßnahme |
| Wirkung | erwarteter Sicherheitseffekt |
| Owner/Prüfer | verantwortliche und unabhängige Rolle |
| Scope/Periode | Aussagebereich und Messzeitraum |
| Methode/Quelle | Erhebung, Formel, Stichprobe und Originalreferenz |
| Baseline/Ziel/Kriterium | bestätigte Bewertungsgrundlage |
| Datenqualität | Ergebnis und Einschränkungen |
| Messergebnis | Wert, Befund oder qualitative Bewertung |
| Wirksamkeitsurteil | Ergebnisstufe mit Begründung |
| Maßnahmenbezug | Folgemaßnahme, Owner und Termin |
| Retest/Review | Wiederholungsprüfung und Gültigkeit |
| Schutz/Aufbewahrung | Klassifizierung, Ablage und Frist |
Das Nachweisregister bleibt die führende Bestands- und Steuerungsliste für konkrete Nachweisreferenzen. Diese Seite beschreibt die Methodik und die erwartete Qualität der Wirksamkeitsnachweise.
¶ 27. Entscheidung und Statuswechsel
Ein Status wird nur geändert, wenn die dafür festgelegten Kriterien erfüllt und belegt sind. Mögliche Entscheidungen sind:
- Wirksamkeit im geprüften Scope bestätigen,
- Ergebnis mit Einschränkungen bestätigen,
- zusätzliche Daten oder längeren Beobachtungszeitraum anfordern,
- Maßnahme nachbessern oder neu gestalten,
- Risiko neu bewerten oder eskalieren,
- Kriterium fachlich ändern und Vergleichbarkeit kenntlich machen,
- unabhängigen Retest oder Audit veranlassen,
- Maßnahme beenden, ersetzen oder als ungeeignet verwerfen.
Eine nachträgliche Absenkung des Zielwerts, nur um ein negatives Ergebnis positiv darzustellen, ist nicht zulässig.
¶ 28. Managementbewertung
Für die Managementbewertung werden keine unkommentierten Zahlenlisten übergeben. Die Eingabe enthält:
- Zweck, Scope und Datenperiode,
- Ziel, Kriterium und Ergebnis,
- Trend und Datenqualität,
- kritische Einzelabweichungen,
- Wirksamkeitsurteil und Aussagegrenze,
- wesentliche Risiken und Nebenwirkungen,
- offene Maßnahmen, Ressourcen- und Entscheidungsbedarf,
- Vergleichbarkeit mit früheren Perioden.
Die Geschäftsführung entscheidet auf dieser Grundlage über Prioritäten, Ressourcen, Änderungen und Verbesserungen.
¶ 29. TISAX- und ISA-Bezug
Wirksamkeitsmessungen können Umsetzungsbeschreibung, Nachweise und Reifegradbewertung unterstützen. Dabei gilt:
- die maßgebliche ISA-Fassung wird vor Nutzung bestätigt,
- alle Fragen des Reiters Informationssicherheit werden umgesetzt und bewertet; es gibt keine individuelle SoA-artige Nichtanwendbarkeitsauswahl,
- Zielreifegrad, Prozessumsetzung und objektive Nachweise werden getrennt betrachtet,
- ein errechneter Reifegrad ersetzt keine fachliche Nachweisprüfung,
- eine Wirksamkeitsmessung wird kontrollfragenbezogen referenziert, wenn Scope und Aussage tatsächlich passen,
- negative Befunde werden im Maßnahmenplan nachvollziehbar behandelt.
¶ 30. NIS2-Bezug
Soweit die Organisation oder ein Dienst rechtlich betroffen ist, können Messungen die dokumentierte Überwachung von Risikomanagementmaßnahmen und Leitungsentscheidungen unterstützen. Die Rechtsentscheidung zur Betroffenheit, die Angemessenheit der Maßnahme und die Wirksamkeitsbewertung bleiben getrennte Prüfschritte. Diese Musterseite trifft keine rechtliche Betroffenheits- oder Konformitätsentscheidung.
¶ 31. Schutz, Datenschutz und Aufbewahrung
- Personenbezug wird auf das notwendige Maß begrenzt.
- Wo möglich werden aggregierte oder pseudonymisierte Auswertungen verwendet.
- Rohdatenzugriffe werden rollenbezogen beschränkt.
- Sicherheitskritische Details werden nicht in offene Dashboards oder allgemein lesbare Seiten übernommen.
- Aufbewahrung folgt Rechts-, Vertrags-, Audit-, Beweis- und Löschanforderungen.
- Export, Weitergabe und Präsentation berücksichtigen Schutzklasse und Need-to-know.
- Anonymisierung darf kritische Einzelfälle nicht fachlich unsichtbar machen.
¶ 32. Audit- und Assessmentfragen
| Prüffrage | Status Entwurf |
|---|---|
| Ist die beabsichtigte Wirkung je wesentlicher Messung definiert? | Nein |
| Sind Messgegenstand, Scope, Quelle, Methode und Zeitraum bestätigt? | Nein |
| Sind Baselines, Ziele und Akzeptanzkriterien freigegeben? | Nein |
| Wurde die Datenqualität nachvollziehbar geprüft? | Nein |
| Werden Umsetzung, Zielerreichung und Wirksamkeit getrennt bewertet? | Methodisch vorgesehen, nicht operationalisiert |
| Sind kritische Einzelfälle und negative Ergebnisse sichtbar? | Keine realen Daten vorhanden |
| Ist die unabhängige Prüfung wesentlicher Aussagen geregelt? | Rollen noch zu bestätigen |
| Sind Originalnachweise geschützt und reproduzierbar referenziert? | Nein |
| Werden Folgemaßnahmen und Retests nachverfolgt? | Nein |
| Liegt eine fachliche Prüfung und formale Freigabe vor? | Nein |
¶ 33. Aktueller Entwurfsstatus
| Statusfeld | Musterwert |
|---|---|
| reale Messaufträge | 0 bestätigt |
| freigegebene Baselines | 0 |
| freigegebene Wirksamkeitskriterien | 0 |
| geprüfte Datenquellen | 0 |
| abgeschlossene Wirksamkeitsmessungen | 0 |
| als wirksam bestätigte Maßnahmen | 0 |
| offene oder negative Ergebnisse | noch nicht erhoben |
| dokumentierte Retests | 0 |
Diese Nullwerte sind Lückenindikatoren und keine positive Aussage über den Sicherheitszustand.
¶ 34. Mitgeltende Seiten
- Informationssicherheitsziele
- Methodik Risikobewertung
- Risikobehandlungsplan
- Statement of Applicability
- Maßnahmenplan und Reifegrad
- Nachweisregister
- Nachweis-Explorer
- Schulungs- und Awarenessnachweise
- Berechtigungsreviews
- Backup-, Restore- und Wiederanlauftests
- Patch- und Schwachstellennachweise
- Lieferantenbewertungen
- Vorfall- und Notfallübungen
- Kennzahlen und Zielerreichung
- Interne Audits
- Abweichungen und Korrekturmaßnahmen
- Maßnahmen- und Umsetzungsregister
- Managementbewertung
- Kontinuierliche Verbesserung
- NIS2-Wirksamkeitsprüfung
¶ 35. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei ISO 27001, TISAX, Kennzahlen, internen Audits, Managementbewertungen und belastbaren Wirksamkeitsnachweisen
| SMCT-Information | Beschreibung |
|---|---|
| Informationssicherheit im Unternehmen | Praxisbezug von Kennzahlen, Nachweisen, Audits, Managementbewertung und kontinuierlicher Verbesserung |
| Managementbewertung nach ISO 27001 | Kennzahlen, Risiken, Maßnahmen und Wirksamkeit als faktenbasierte Entscheidungsgrundlage der Leitung |
| 93 Controls risikobasiert auditieren | Nachvollziehbare Auditabdeckung und Prüfung gelebter Wirksamkeit statt reinem Abhaken |
| ISO-27001-Fragenkatalog und ISMS-Audits | Praxisorientierte Audit-, KPI- und Wirksamkeitsperspektiven für das ISMS |
| ISO-27001-Beratung | Unterstützung bei Kennzahlen, Reporting, Audit, Managementreview und kontinuierlicher Verbesserung |
Erstgespräch unter info@smct-management.de vereinbaren
¶ 36. Offene Punkte vor Freigabe
- reale Ziele, Risiken, Controls, Maßnahmen und Feststellungen priorisieren,
- Messprogramm, Verantwortlichkeiten und Funktionstrennung freigeben,
- Mess-IDs, Register und geschützte Originalablagen einrichten,
- beabsichtigte Wirkung je Messgegenstand eindeutig beschreiben,
- Baselines, Ziele, Kriterien, Perioden und Aussagegrenzen festlegen,
- Datenquellen, Definitionen, Qualität und Reproduzierbarkeit bestätigen,
- Datenschutz-, Mitbestimmungs-, Vertrags- und Schutzanforderungen prüfen,
- erste Messungen durchführen und negative Ergebnisse sichtbar behandeln,
- unabhängige Prüfung und Managemententscheidung dokumentieren,
- Folgemaßnahmen, Wiederholungsprüfungen und Aufbewahrung operationalisieren.
¶ 37. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.2 | 08.08.2026 | NIS2-Wirksamkeitsprüfung als gesetzliche und dienstbezogene Schnittstelle ergänzt | ISMS-Beauftragte/r / NIS2-Koordination | Ausstehend | – |
| 0.1 | 08.08.2026 | Erste Fassung für Messauftrag, Wirkungskette, Kriterien, Datenqualität, Ergebnisstufen, Nachweispaket, Managementbewertung und Retest | ISMS-Beauftragte/r | Ausstehend | – |
¶ 38. Quellen und fachliche Grundlagen
- ISO – ISO/IEC 27001 Informationssicherheitsmanagementsysteme
- ISO – ISO/IEC 27004:2016 Monitoring, measurement, analysis and evaluation
- ISO – How to measure the effectiveness of information security
- ISO – ISO 19011 Leitfaden zur Auditierung von Managementsystemen
- ENX – TISAX Downloads und ISA
- ENX – TISAX Participant Handbook
- SMCT MANAGEMENT – Informationssicherheit im Unternehmen
- SMCT MANAGEMENT – Managementbewertung ISO 27001
ISO/IEC 27004:2016 ist zum Stand dieser Seite veröffentlicht, befindet sich laut ISO jedoch in Überarbeitung. Vor der betrieblichen Nutzung sind daher die tatsächlich maßgebliche Ausgabe, die operative ISA-Fassung sowie anwendbare Rechts-, Kunden- und Vertragsanforderungen zu bestätigen. Lizenzierte Norm- und ISA-Texte bleiben die führenden Quellen und werden nicht in dieser Wiki-Seite reproduziert.