Management Review nach ISO 27001: 7 Pflicht-Inputs aus Kapitel 9.3 — und was § 38 BSIG der Geschäftsleitung zusätzlich abverlangt

Wenn Sie ISO-27001-zertifiziert sind, hält Ihre oberste Leitung bereits regelmäßig ein Management Review nach Kapitel 9.3 ab. Damit ist ein großer Teil dessen erledigt, was § 38 Absatz 1 BSIG seit dem 6. Dezember 2025 von der Geschäftsleitung verlangt: die Risikomanagementmaßnahmen „umzusetzen und ihre Umsetzung zu überwachen“. Ganz erledigt ist es aber nicht. An drei Stellen reicht ein normkonformes Review nicht für den gesetzlichen Nachweis: bei der Frage, wer am Tisch sitzt, was geprüft wird und wann geprüft wird.

Wie ernst das BSI diese Lücke nimmt, zeigt seine Handreichung zur Schulung für Geschäftsleitungen (Version 1.0 vom 17.04.2026). Dort stehen Leitfragen, die sich eine Geschäftsleitung stellen soll, jeweils mit Antworten, „die weitere Nachfragen erfordern“. Zur Risikoanalyse steht dort wörtlich: „Das ist mit unserer ISO-Zertifizierung schon abgedeckt.“ Dieser Beitrag zeigt, wie Sie Ihr bestehendes Management Review so erweitern, dass diese Antwort stimmt.

Auf einen Blick: Wann reicht das Management Review, wann nicht?

Kurz gesagt: Die ISO-Norm verpflichtet die oberste Leitung des ISMS-Anwendungsbereichs. Das BSIG verpflichtet die gesetzlichen Vertreter der ganzen Einrichtung. Je nachdem, wo Ihr Unternehmen steht, ergibt sich daraus eine andere Pflichtenlage.

Ihre Situation	Management Review Pflicht?	Grundlage	Fester Mindestturnus
ISO-27001-zertifiziert, nicht NIS2-reguliert	Ja, aus der Norm	ISO/IEC 27001:2022, 9.3	Nein („geplante Abstände“)
Wichtige oder besonders wichtige Einrichtung, ohne ISO	Kein Review im Normsinn, aber laufende Überwachung durch die Geschäftsleitung	§ 38 Abs. 1 BSIG	Nein, im BSIG nicht festgelegt
Wichtige oder besonders wichtige Einrichtung, mit ISO	Ja, und das Review muss zusätzlich die § 38-Überwachung belegen	9.3 und § 38 BSIG	Nein, außer die nächste Zeile trifft zu
Cloud, Rechenzentrum, MSP/MSSP, DNS, TLD, CDN, Online-Marktplatz, Suchmaschine, soziales Netzwerk, Vertrauensdienst	Ja, Prüfung durch die Leitungsorgane	DVO (EU) 2024/2690, Anhang 1.1.2	Ja: mindestens jährlich und anlassbezogen
Betreiber kritischer Anlagen (KRITIS)	Wie oben, zusätzlich externer Nachweis	§ 39 BSIG	Nachweis alle drei Jahre

Eine schnelle Prüfung in drei Schritten:

1. Sind Sie wichtige oder besonders wichtige Einrichtung? Nein → Kapitel 9.3 genügt, solange Sie zertifiziert bleiben wollen. Ja → weiter.
2. Deckt Ihr ISMS-Anwendungsbereich die gesamte Einrichtung ab, und leitet die gesetzliche Geschäftsführung das Review? Nein → Lücke 1 (siehe unten). Ja → weiter.
3. Gehört Ihre Einrichtung zu den Diensteanbietern aus der DVO 2024/2690? Ja → jährlicher Mindestturnus plus Anlassprüfungen sind verbindlich. Nein → Turnus bleibt Ihre Entscheidung, muss aber begründbar sein.

Was Kapitel 9.3 der ISO 27001 verlangt: sieben Inputs, zwei Outputs

Kurz gesagt: Die oberste Leitung prüft das ISMS in geplanten Abständen auf fortdauernde Eignung, Angemessenheit und Wirksamkeit. Mit der Ausgabe 2022 wurde das Kapitel in drei Unterabschnitte gegliedert: 9.3.1 Allgemeines, 9.3.2 Eingaben, 9.3.3 Ergebnisse. Laut dem Änderungsleitfaden der Zertifizierungsstelle SGS ist Eingabe c) neu hinzugekommen. Die übrigen Änderungen sind redaktionell und schaffen keine neuen Anforderungen.

Die folgende Tabelle listet die sieben Pflicht-Eingaben (Zusammenstellung nach der Vanta-Checkliste zu ISO/IEC 27001:2022). Die rechte Spalte zeigt, was das deutsche NIS2-Recht an jedem Punkt verschärft:

Eingabe nach 9.3.2	Inhalt	Was NIS2/BSIG ergänzt
a)	Status der Maßnahmen aus früheren Reviews	Offene Punkte brauchen eine Entscheidung: Korrekturmaßnahme oder dokumentierte Restrisiko-Akzeptanz (DVO 2.3.3)
b)	Veränderte externe und interne Themen	Neue Rechtslage selbst: Registrierung, Meldepflichten, Einstufung als (besonders) wichtige Einrichtung
c) neu seit 2022	Veränderte Erfordernisse und Erwartungen interessierter Parteien	BSI und Aufsichtsbehörden gehören seit Dezember 2025 als interessierte Parteien mit gesetzlichen Befugnissen in diese Liste
d) 1–4	Rückmeldungen zur Sicherheitsleistung: Nichtkonformitäten und Korrekturmaßnahmen, Überwachungs- und Messergebnisse, Auditergebnisse, Zielerreichung	Kennzahlen je Maßnahme aus § 30 Abs. 2 Nr. 1–10, nicht nur je ISMS-Ziel
e)	Rückmeldungen interessierter Parteien	Kundenanforderungen aus der Lieferkette (Lieferanten-Fragebögen nach § 30 Abs. 2 Nr. 4)
f)	Ergebnisse der Risikobeurteilung, Status des Risikobehandlungsplans	Für DVO-Einrichtungen mindestens jährlich zu bewerten (Anhang 2.1.4)
g)	Möglichkeiten zur fortlaufenden Verbesserung	Die Verpflichtung zur kontinuierlichen Verbesserung muss im Sicherheitskonzept stehen (DVO 1.1.1 d)

Als Ergebnis verlangt 9.3.3 Entscheidungen zu Verbesserungsmöglichkeiten und zu notwendigen Änderungen am ISMS. Diese Entscheidungen müssen als dokumentierte Information vorliegen. Nach der Analyse von Advisera ist das Protokoll des Management Reviews eines der Pflichtdokumente der Norm, und mindestens ein Mitglied der obersten Leitung muss teilnehmen. Einen festen Turnus schreibt die Norm nicht vor. In der Zertifizierungspraxis gilt ein jährliches Review als übliche Untergrenze. Das ist aber Konvention, kein Normtext.

Genau hier liegt die erste Schwäche für den NIS2-Nachweis: 9.3.3 verlangt nur, dass Entscheidungen festgehalten werden. Ob die Geschäftsleitung die Umsetzung der gesetzlichen Maßnahmen tatsächlich überwacht hat, steht in keinem Pflichtfeld.

Drei Lücken zwischen Kapitel 9.3 und § 38 BSIG

Kurz gesagt: Die Norm fragt, ob das Managementsystem funktioniert. Das Gesetz fragt, ob bestimmte Personen bestimmte Maßnahmen überwacht haben. Beim Abgleich von DVO-Anhang und Normkapitel für diesen Beitrag fiel auf: Erhebliche Sicherheitsvorfälle als Auslöser für eine Leitungsprüfung nennt Kapitel 9.3 nicht. Im DVO-Anhang stehen sie dagegen bei beiden Prüfpflichten, die ausdrücklich an die Leitungsorgane gerichtet sind (Nr. 1.1.2 und 1.2.6).

Lücke 1: Wer am Tisch sitzt

ISO-Normen definieren die „oberste Leitung“ als Person oder Personengruppe, die eine Organisation auf der obersten Ebene führt und steuert. Die Zertifizierungsstelle DQS weist darauf hin, dass „die Organisation“ im Sinne des Managementsystems nicht immer mit dem Unternehmen identisch ist. Umfasst der Anwendungsbereich nur einen Standort oder die IT-Abteilung, kann die oberste Leitung im Normsinn ein Standortleiter oder CIO sein.

Das BSIG lässt diesen Spielraum nicht. § 2 Nr. 13 BSIG definiert „Geschäftsleitung“ als „natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung“ der Einrichtung berufen ist, also Geschäftsführer oder Vorstand. Das BSI schreibt in seiner Handreichung, die Geschäftsleitung könne diese Aufgabe „auch nicht delegieren“. Ein Review, das der CIO leitet und dessen Protokoll die Geschäftsführung nie sieht, kann ISO-konform sein und trotzdem nichts über die Erfüllung von § 38 belegen.

Lücke 2: Was geprüft wird — das ISMS oder die § 30-Maßnahmen

§ 38 Abs. 1 BSIG bezieht sich auf die „nach § 30 zu ergreifenden Risikomanagementmaßnahmen“. Das sind die zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG, für die gesamte Einrichtung und alle Dienste. Das Gesetz verlangt dabei nur, „einschlägige europäische und internationale Normen“ zu berücksichtigen. Ein Zertifikat ersetzt die Prüfung also nicht. Wer in seiner Erklärung zur Anwendbarkeit etwa Lieferantenmanagement oder Multi-Faktor-Authentifizierung für bestimmte Bereiche ausgeschlossen hat, hat im Review möglicherweise nie über eine Pflichtmaßnahme gesprochen.

Ein zweiter, oft übersehener Unterschied steckt im Verb. Artikel 20 Abs. 1 der NIS2-Richtlinie verlangt, dass die Leitungsorgane die Maßnahmen „billigen“ und ihre Umsetzung überwachen. Der deutsche § 38 Abs. 1 spricht dagegen von „umzusetzen und ihre Umsetzung zu überwachen“. Das Wort „billigen“ kommt dort nicht vor. Ein einmaliger Freigabebeschluss belegt also nur die Kenntnisnahme. Für den Nachweis brauchen Sie zwei Belegketten: Entscheidungen zur Umsetzung (Ressourcen, Verantwortliche, Fristen) und wiederkehrende Überwachung (Berichte, Kennzahlen, Nachverfolgung offener Punkte).

Lücke 3: Wann geprüft wird

ISO 27001 kennt nur „geplante Abstände“. Die Durchführungsverordnung (EU) 2024/2690 ist für ihre Zieleinrichtungen konkreter. Nach Anhang Nr. 1.1.2 wird das Sicherheitskonzept „von den Leitungsorganen mindestens jährlich sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder der Risiken überprüft“, und das Ergebnis wird dokumentiert. Nr. 1.2.6 und Nr. 2.3.4 verwenden dieselben Auslöser. Nach Nr. 2.3.3 werden die Ergebnisse unabhängiger Überprüfungen den Leitungsorganen gemeldet. Dann sind „Korrekturmaßnahmen zu ergreifen oder Restrisiken zu akzeptieren“.

Verbindlich ist das nur für die in Artikel 1 der DVO genannten Diensteanbieter. Für alle anderen Einrichtungen ist der Anhang aber der detaillierteste amtliche Text dazu, was eine geeignete Überwachung sein kann. In der Praxis spricht wenig dagegen, ihn als Maßstab zu übernehmen: Ein Review nach einem erheblichen Vorfall ist ohnehin das, was eine sorgfältige Geschäftsleitung tun würde.

Lücke	ISO 27001, 9.3	§ 38 BSIG / DVO	So schließen Sie sie	Aufwand
Wer	Oberste Leitung des Anwendungsbereichs	Gesetzliche Vertreter (§ 2 Nr. 13), nicht delegierbar	Geschäftsführung leitet das Review oder erhält das Protokoll zur eigenen, protokollierten Befassung	Niedrig
Was	Eignung, Angemessenheit, Wirksamkeit des ISMS	Umsetzung der Maßnahmen nach § 30 Abs. 2 Nr. 1–10	Fester Tagesordnungspunkt mit Status je Maßnahme; Abgleich mit der Erklärung zur Anwendbarkeit	Mittel
Wann	Geplante Abstände	Mindestens jährlich plus bei erheblichen Vorfällen und wesentlichen Änderungen (DVO 1.1.2)	Anlassbezogene Sonder-Reviews in die Verfahrensanweisung aufnehmen	Niedrig
Nachweis	Entscheidungen dokumentiert	Einhaltung dokumentiert (§ 30 Abs. 1 S. 3), Restrisiko-Akzeptanz nach Kriterien (DVO 2.3.3)	Protokoll-Checkliste (siehe unten)	Mittel

Warum das Protokoll Ihr wichtigstes Haftungsdokument ist

Kurz gesagt: § 38 BSIG schafft keinen eigenen Bußgeldtatbestand gegen Geschäftsführer. Er macht die Überwachung aber zur Organpflicht, und Organpflichten werden im Gesellschaftsrecht über die Frage verhandelt, was die Leitung wusste und wann.

Nach § 38 Abs. 2 BSIG haften Geschäftsleitungen ihrer Einrichtung „nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts“. Nach dem BSIG selbst haften sie nur dann, wenn das Gesellschaftsrecht keine solche Regelung enthält. Für AG und GmbH führt das zu zwei Normen, in denen das Management Review eine Schlüsselrolle spielt:

• Business Judgment Rule: Nach § 93 Abs. 1 Satz 2 AktG liegt keine Pflichtverletzung vor, wenn das Vorstandsmitglied vernünftigerweise annehmen durfte, „auf der Grundlage angemessener Information“ zum Wohle der Gesellschaft zu handeln. Die Eingabeunterlagen des Reviews sind genau diese Informationsgrundlage. Fehlen sie, fehlt der Schutz.
• Beweislast: Ist streitig, ob ein Vorstand sorgfältig gehandelt hat, „so trifft sie die Beweislast“ (§ 93 Abs. 2 Satz 2 AktG). Ohne datiertes Protokoll lässt sich Überwachung kaum beweisen.
• GmbH: § 43 GmbHG verlangt die Sorgfalt eines ordentlichen Geschäftsmannes. Ansprüche verjähren nach Absatz 4 in fünf Jahren. Das ist ein sinnvoller Maßstab dafür, wie lange Review-Protokolle mindestens aufbewahrt werden sollten.

Konsequenz	Adressat	Grundlage
Bußgeld bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen), wenn Maßnahmen nach § 30 Abs. 1 S. 1 fehlen	Einrichtung	§ 65 Abs. 2 Nr. 2, Abs. 5 BSIG
Bußgeld in gleicher Höhe, wenn die Einhaltung nicht dokumentiert ist	Einrichtung	§ 65 Abs. 2 Nr. 3, Abs. 5 BSIG
Umsatzbezogene Obergrenze von 2 % bzw. 1,4 % nur bei Gesamtumsatz über 500 Mio. €	Einrichtung	§ 65 Abs. 6 ff. BSIG
Schadensersatz gegenüber der eigenen Gesellschaft	Geschäftsleitung persönlich	§ 38 Abs. 2 BSIG i. V. m. § 93 AktG / § 43 GmbHG

Ein Abgleich mit dem Gesetzestext: § 65 BSIG nennt § 38 an keiner Stelle. Ein fehlendes Review ist also für sich genommen keine Ordnungswidrigkeit. Wer aber keine Überwachung belegen kann, hat meist auch Mühe, die Dokumentation nach § 30 Abs. 1 Satz 3 vorzulegen, und die ist bußgeldbewehrt. Mehr zu den Beträgen finden Sie in unserem Überblick zu NIS2-Sanktionen und Managerhaftung, zur Organhaftung im Detail im Beitrag zur Managementhaftung.

Die NIS2-taugliche Tagesordnung in neun Punkten

Kurz gesagt: Sie brauchen kein zweites Gremium. Ergänzen Sie die sieben ISO-Eingaben um zwei gesetzliche Punkte und strukturieren Sie die Leistungsbewertung nach § 30 statt nach Normkapiteln.

1. Offene Maßnahmen aus dem letzten Review (9.3.2 a): für jeden Punkt Status, und bei Verzug eine Entscheidung zwischen Korrektur und Restrisiko-Akzeptanz.
2. Kontext und Rechtslage (9.3.2 b, c): Einstufung, Registrierungsdaten, neue Anforderungen von Kunden und Aufsicht.
3. Status der zehn Maßnahmen nach § 30 Abs. 2: eine Zeile je Nummer mit Ampel, Kennzahl und verantwortlicher Person. Das ist der Kern des § 38-Nachweises.
4. Sicherheitsvorfälle und Meldungen: erhebliche Vorfälle, fristgerechte Meldungen, Erkenntnisse aus der Nachbereitung.
5. Audit- und Prüfergebnisse (9.3.2 d 3): interne Audits, Penetrationstests, Lieferantenprüfungen.
6. Risikolage (9.3.2 f): wesentliche Änderungen der Risikobewertung, Stand des Behandlungsplans, Akzeptanz von Restrisiken mit Begründung.
7. Wirksamkeit (9.3.2 d 2, 4; § 30 Abs. 2 Nr. 6): Kennzahlen und Zielerreichung. Das BSI nennt als Beispiele die Zeit bis zur Erkennung, die Zeit bis zur Reaktion und die Anzahl offener Schwachstellen.
8. Ressourcen und Schulungsstand der Geschäftsleitung: Budget, Personal, Nachweis der eigenen Schulungen nach § 38 Abs. 3 BSIG. Details zur Schulungspflicht finden Sie im Beitrag zur Schulungspflicht der Geschäftsführung.
9. Beschlüsse und nächster Termin (9.3.3): Entscheidungen mit Verantwortlichen und Fristen, nächster Regeltermin, Auslöser für Sonder-Reviews.

Wer was vorbereitet, hängt von der Größe ab. Eine typische Verteilung:

Rolle	Aufgabe im Review
Geschäftsführung / Vorstand	Leitet die Sitzung oder befasst sich protokolliert mit den Ergebnissen; trifft Ressourcen- und Akzeptanzentscheidungen; unterschreibt
Informationssicherheitsbeauftragte/r	Stellt die Eingaben zusammen, bewertet den Maßnahmenstatus, schlägt Entscheidungen vor (zu den Aufgaben im Detail: ISB-Aufgaben unter NIS2)
Compliance / Recht	Prüft Rechtslage, Melde- und Registrierungsstatus, Protokollqualität und Aufbewahrung
IT-Leitung	Liefert Kennzahlen, Vorfallsdaten und den Umsetzungsstand technischer Maßnahmen

Für KMU ohne eigenen ISB: Die Rollen dürfen zusammenfallen, die Unterschrift nicht. Auch ein kompaktes Review mit dem Geschäftsführer und einem externen Berater kann den Zweck erfüllen, wenn die Punkte 3 und 9 sauber protokolliert sind.

Protokoll-Checkliste: Was im Nachweis stehen muss

Das BSI beschreibt als „hilfreiche Antwort“ auf seine Leitfrage zu den Geschäftsleitungspflichten eine Leitung, die „regelmäßig die Umsetzung von Risikomanagementmaßnahmen“ überprüft und sich über Risiken, Maßnahmen und deren Wirksamkeit berichten lässt. Damit ein Protokoll genau das belegt, sollte es Folgendes enthalten:

• Datum, Art des Reviews (Regeltermin oder Anlass, mit Nennung des Anlasses)
• Teilnehmende mit Funktion; mindestens ein Mitglied der gesetzlichen Geschäftsleitung namentlich
• Liste der behandelten Eingaben a–g und Verweis auf die Unterlagen (Versionsstand)
• Status je Maßnahme nach § 30 Abs. 2 Nr. 1–10
• Entscheidungen mit verantwortlicher Person und Frist
• Restrisiko-Akzeptanzen mit Bezug auf die festgelegten Akzeptanzkriterien
• Freigegebene Ressourcen (Budget, Personal)
• Schulungsnachweise der Geschäftsleitung (Datum, Inhalt)
• Nächster Regeltermin und definierte Auslöser für Sonder-Reviews
• Unterschrift oder dokumentierte Freigabe durch die Geschäftsleitung; Ablage für mindestens fünf Jahre

Für KRITIS-Betreiber kommt eine weitere Ebene hinzu. Nach § 39 Abs. 1 BSIG ist die Umsetzung alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen, und das BSI kann die zugrunde liegende Dokumentation anfordern. Welche Nachweise geeignet sind, kann das BSI nach Absatz 2 festlegen. Das Review-Protokoll ist dann eines der ersten Dokumente, die geprüft werden. Wie Sie die übrigen Nachweise vorbereiten, beschreibt unser Leitfaden zu den NIS2-Dokumentationspflichten. Den vollständigen Abgleich aller Anforderungen beider Rahmenwerke finden Sie im Hub NIS2 vs. ISO 27001.

Häufige Fragen

Ersetzt ein ISO-27001-Zertifikat die Überwachungspflicht nach § 38 BSIG?
Nein. § 30 Abs. 2 BSIG verlangt, dass einschlägige Normen berücksichtigt werden. Er macht kein Zertifikat zum Nachweis. Das Zertifikat belegt, dass ein ISMS im zertifizierten Anwendungsbereich funktioniert. § 38 verlangt, dass die gesetzliche Geschäftsleitung die Umsetzung der § 30-Maßnahmen für die ganze Einrichtung überwacht.

Darf der Informationssicherheitsbeauftragte das Review leiten?
Vorbereiten und moderieren: ja. Die Überwachung selbst bleibt nach § 38 Abs. 1 BSIG bei der Geschäftsleitung, und das BSI betont, dass sie nicht delegierbar ist. Entscheidend ist, dass die Geschäftsleitung die Ergebnisse protokolliert zur Kenntnis nimmt und selbst entscheidet.

Muss das Protokoll an das BSI geschickt werden?
Nicht von sich aus. Die Einhaltung ist nach § 30 Abs. 1 Satz 3 BSIG zu dokumentieren, und genau auf diese Dokumentation greift eine spätere Prüfung zu. Betreiber kritischer Anlagen übermitteln nach § 39 BSIG zusätzlich alle drei Jahre Prüfergebnisse.

Gilt das für wichtige und besonders wichtige Einrichtungen gleichermaßen?
Ja. § 38 BSIG unterscheidet bei der Umsetzungs-, Überwachungs- und Schulungspflicht nicht zwischen den beiden Kategorien. Unterschiede gibt es bei den Bußgeldrahmen und bei der Intensität der Aufsicht. Einen Einstieg in die Einstufung bietet unser NIS2-Grundlagen-Leitfaden.

Dieser Artikel bietet allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Anforderungen können je nach Rechtsordnung und Organisationstyp variieren. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Juristin, einen qualifizierten Juristen oder eine Compliance-Fachkraft.

Quellen

1. § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, Gesetze im Internet (BMJ/juris)
2. § 2 BSIG: Begriffsbestimmungen (Nr. 13 „Geschäftsleitung“), Gesetze im Internet
3. § 30 BSIG: Risikomanagementmaßnahmen, Gesetze im Internet
4. § 39 BSIG: Nachweispflichten für Betreiber kritischer Anlagen, Gesetze im Internet
5. § 65 BSIG: Bußgeldvorschriften, Gesetze im Internet
6. Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, deutscher Volltext, EUR-Lex
7. Durchführungsverordnung (EU) 2024/2690, Artikel 1 und Anhang Nr. 1.1, 1.2, 2.1, 2.3, deutscher Volltext, EUR-Lex
8. Bundesamt für Sicherheit in der Informationstechnik: Schulung für Geschäftsleitungen, Handreichung, Version 1.0 vom 17.04.2026
9. § 93 AktG: Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder, Gesetze im Internet
10. § 43 GmbHG: Haftung der Geschäftsführer, Gesetze im Internet
11. SGS: Comparing ISO/IEC 27001:2022 to ISO/IEC 27001:2013 — What are the changes?
12. DQS: Oberste Leitung in ISO 9001 — was sagt die Norm?
13. Advisera: ISO 27001 Clause 9.3 Management review
14. Vanta: ISO/IEC 27001:2022 ISMS Management Review Checklist