Kontinuierliche Verbesserung

Einen Prozess der kontinuierlichen Verbesserung in das ISMS einzubauen, hat vor allem drei Gründe:

• Ein funktionierendes ISMS ist ein komplexes System, das meist nur schrittweise realisiert wird. Erst nach einiger Zeit - durchaus manchmal erst nach einigen Jahren - wird das ISMS die "volle" Leistung bringen. Bei jedem Schritt muss sich das ISMS verbessern.
• Im Laufe des Betriebs des ISMS, auch im Rahmen von Überwachungen und Audits, werden Unzulänglichkeiten, Fehler und Schwachstellen offenbar, so dass Änderungen, Reparaturen und Verbesserungen am ISMS erforderlich werden. Gemäß dem PDCA-Modell. PDCA ist als Methode nicht mehr explizit vorgeschrieben, allerdings die allgemeine Forderung nach kontinuierlicher Verbesserung.
• Änderungen der Geschäftstätigkeit der Organisation oder des regulativen Umfelds haben fast immer Anpassungen und Ergänzungen beim ISMS zur Folge. Die Anpassung ist ebenfalls als Verbesserung zu werten.