Managementbericht

Einleitung

Obwohl die Leitung einer Organisation die Gesamtverantwortung für die Informationssicherheit trägt, ist sie nicht ständig in die entsprechenden betrieblichen Prozesse eingebunden. Um ihrer Verantwortung gerecht zu werden und sachgerechte Entscheidungen treffen zu können, benötigt sie daher regelmäßig Informationen über den aktuellen Stand, Probleme und mögliche Entwicklungen der Informationssicherheit in der Organisation.

Ein Managementbericht zur Informationssicherheit enthält eine Zusammenfassung wichtiger Informationen über den aktuellen Stand der Informationssicherheit in einem Unternehmen oder einer Organisation. Der Bericht beschreibt geplante Sicherheitsmaßnahmen, Risiken und Vorfälle. Er dient dazu, Führungskräften und Entscheidungsträgern einen klaren Überblick über die Sicherheitslage zu geben, damit sie fundierte Entscheidungen zur Verbesserung der Informationssicherheit treffen können.

Kurz gesagt: Welche Erfolge wurden erzielt? Was waren die größten Herausforderungen im Berichtszeitraum? Was können wir besser machen?

Alle gängigen ISMS-Standards enthalten klare Anforderungen für eine Berichterstattung und die Einbeziehung des Managements. Die Berichterstattung ist somit ein elementarer Bestandteil eines ISMS.

Form und Umfang

Das Management ist in der Regel nicht sehr IT-affin. Achte auf eine klare und verständliche Sprache ohne zu viele Fachbegriffe und Abkürzungen. Dies trägt dazu bei, dass die Informationen leicht verständlich sind. Der Umfang des Berichts sollte ausreichend sein, um alle relevanten Informationen abzudecken, aber gleichzeitig so knapp und zielgerichtet wie möglich, um die Aufmerksamkeit des Lesers nicht zu überfordern.

In einem Managementbericht sollte eine klare und präzise Schreibweise verwendet werden, die leicht verständlich ist. Im Folgenden sind einige hilfreiche Richtlinien für die Schreibweise aufgeführt:

• Klare und verständliche Sprache: Vermeide Fachjargon und komplizierte Ausdrücke. Verwende stattdessen klare und einfache Wörter, um die Botschaft zu vermitteln.
• Aktive Stimme: Verwende die aktive Stimme, um deine Sätze direkter und lebendiger zu gestalten. Zum Beispiel: "Das Team implementierte Sicherheitsmaßnahmen" statt "Sicherheitsmaßnahmen wurden vom Team implementiert."
• Kurze Sätze und Absätze: Halte Sätze kurz und Absätze übersichtlich. Dies erleichtert das Verständnis und die Lesbarkeit.
• Vermeide Redundanz: Vermeide die Wiederholung von Informationen. Stelle sicher, dass jeder Abschnitt des Berichts neue und relevante Informationen enthält.
• Präzise und spezifische Informationen: Stelle sicher, dass die Informationen präzise und spezifisch sind. Verwende Zahlen, Daten und Beispiele, um wichtige Punkte zu stützen.
• Genderneutrale Sprache: Achte darauf, genderneutrale Sprache zu verwenden, um Geschlechtergerechtigkeit sicherzustellen. Vermeide geschlechtsspezifische Begriffe und verwende geschlechtsneutrale Formulierungen ohne übermäßig zu gendern, beachte dabei die Präferenzen oder Regelungen des Managements.
• Vermeide Abkürzungen: Wenn Abkürzungen verwendet werden müssen, erkläre diese zu Beginn des Berichts oder in einer Abkürzungsliste.
• Strukturierte Abschnitte: Unterteile den Bericht in klar definierte Abschnitte und verwende Überschriften, um die Struktur zu verdeutlichen.
• Vermeide unnötige Informationen: Konzentriere dich auf relevante Informationen, die für das Management von Interesse sind. Vermeide insbesondere zu technische Details, die für das Management nicht relevant sind.
• Handlungsoptionen anbieten: Wenn das Management eine Entscheidung treffen muss, sollten immer alternative Optionen angeboten werden, wobei die bevorzugte Entscheidung klar erkennbar sein sollte.
• Korrekturlesen und Überprüfen: Bevor der Bericht abgeschlossen wird, korrigiere Grammatik- und Rechtschreibfehler sorgfältig und stelle sicher, dass alle Informationen korrekt sind.

Format und Häufigkeit

Das Format und die Intervalle des Managementberichts sind von Organisation zu Organisation unterschiedlich. Der Bericht sollte aber auf jeden Fall regelmäßig erfolgen.

Das Format (Word, PDF, Powerpoint) hängt letztlich von den Präferenzen des Managements ab, der Umfang sollte 10 Seiten nicht überschreiten.

Ein nur jährliches Berichtsintervall ist etwas zu dünn, um das Management nachhaltig zu informieren und zu sensibilisieren, ein wöchentlicher Bericht landet wahrscheinlich eher im Spam-Ordner der Organisationsleitung. Daher sollte ein Intervall zwischen monatlich und halbjährlich angestrebt werden.

Inhalt eines Managementberichts

Metadaten

Titel, Berichterstatter, Empfänger, Berichtszeitraum, Klassifizierung

Einleitung

Kurze Einleitung zum Zweck des Berichts ohne unnötige Prosa.

Beispiel:

"Dieser Managementreport dient dazu, die Geschäftsleitung über den aktuellen Stand der Informationssicherheit zu informieren. Er hilft bei der Entscheidungsfindung, der Priorisierung von Maßnahmen und fördert die Transparenz innerhalb der Organisation."

Gesamtüberblick (Management Summary)

Zielerreichung

• Wie wurden die zuletzt geplanten Maßnahmen umgesetzt?
• Welche Defizite bestehen noch?
• Wie können diese behoben werden?

Sicherheitslage

Eine kurze Bewertung der aktuellen Sicherheitslage der Organisation.

Dies beinhaltet eine kurze Beschreibung der aktuellen Bedrohungen und möglichen Schwachstellen der Organisation in Bezug auf die Kernprozesse der Organisation.

Compliance

Kurze Beschreibung des Erfüllungsgrades der gesetzlichen, normativen und vertraglichen Anforderungen sowie möglicher Herausforderungen und Abweichungen. (dazu gehört z.B. auch der Stand von Zertifizierungen).

Effektivität und Qualität

Gibt es KPIs (Key Performance Indicators) für die Informationssicherheit und wie entwickeln sich diese?

Alternativ: Bewertung anhand eines Reifegradmodells.

Vorfallmanagement

Statistik der sicherheitsrelevanten Ereignisse sowie eine kurze Beschreibung besonders relevanter Sicherheitsvorfälle im Berichtszeitraum.

Gibt es eine Häufung von Sicherheitsvorfällen, die vorbeugende Maßnahmen oder zusätzliche Schulung oder Sensibilisierung erfordern?

Risikomanagement

Kurzbericht zum Risikomanagement

• Darstellung der derzeitigen Risikolandschaft (Risikomatrix)
• Gibt es neue Risiken, die bisher nicht berücksichtigt wurden?

Notfallmanagement

Kurzbericht zum Notfallmanagement

• Gab es Notfälle oder Kriesen und wie wurden diese bewältigt?
• Wurden Notfallübungen durchgeführt und mit welchem Ergebnis?
• Gibt es äußere Rahmenbedingungen, die Änderungen an den bestehenden Notfallvorsorgekonzepten und Notfallplänen erforderlich machen?

Innovation

Weiterentwicklung der Informationssicherheit

• Gibt es neue technische Instrumente oder Verfahren, die zur Verbesserung der Präventivmaßnahmen eingesetzt werden können?
• Sind zusätzliche Schulungs- und Sensibilisierungsmaßnahmen erforderlich?

Butget und Ressourcen

Wie wurden die vorhandenen finanziellen und personellen Ressourcen eingesetzt? Gibt es Engpässe?

Entscheidungsvorlagen

Gibt es bestimmte Themen, über die das Management entscheiden muss?

Vorlagen / Templates

Hier folgen Vorlagen für Managementberichte