Board
Briefing.
Eine Vorlage für den Cyber-Risikobericht an den Verwaltungsrat: zwei Seiten, beginnend mit den erbetenen Entscheiden, mit Top-Risiken im Vergleich zur Risikotoleranz und acht Kennzahlen mit vorab festgelegten Schwellen.
Das
Paket.
Warum der Bericht
so aufgebaut ist.
Die Oberleitung und die Oberaufsicht gehören zu den unübertragbaren Aufgaben des Verwaltungsrats (Art. 716a OR); für Pflichtverletzungen haften seine Mitglieder persönlich (Art. 754 OR). Geschäftsentscheide werden gerichtlich nur zurückhaltend überprüft, wenn sie auf angemessener Informationsbasis, in einem einwandfreien Verfahren und ohne Interessenkonflikte getroffen wurden. Der Bericht liefert diese Informationsbasis und dokumentiert die Entscheide. Für Banken und Wertpapierhäuser verlangt das FINMA-Rundschreiben 2023/1 zusätzlich, dass das Oberleitungsorgan die Grundzüge des Managements operationeller Risiken einschliesslich der IKT- und Cyberrisiken und mindestens jährlich die Risikotoleranz für operationelle Risiken genehmigt.
| ID | Kennzahl | Frage an den Verwaltungsrat | Vorschlag Grün |
|---|---|---|---|
| K1 | Kritische Schwachstellen auf exponierten Systemen über Behebungsfrist | Können Angreifer bekannte, kritische Lücken auf erreichbaren Systemen ausnutzen? | 0 |
| K2 | Phishing-resistente MFA für privilegierte und Fernzugänge | Sind die wichtigsten Zugänge gegen Phishing geschützt? | 100 % |
| K3 | Kritische Services mit getesteter Wiederherstellung innerhalb RTO | Kommen wir nach einem Angriff rechtzeitig zurück? | ≥ 90 % |
| K4 | Meldepflichtige Vorfälle mit fristgerechter Meldung | Erfüllen wir unsere Meldepflichten? | 100 % |
| K5 | Kritische Dienstleister mit aktueller Sicherheitsbeurteilung | Kennen wir die Lage unserer kritischen Dienstleister? | ≥ 90 % |
| K6 | Risikoakzeptanzen und Ausnahmen nach Ablaufdatum | Sind akzeptierte Risiken noch bewusst akzeptiert? | 0 |
| K7 | Zeit bis zur Eindämmung wesentlicher Vorfälle (Median) | Wie schnell begrenzen wir Schaden? | ≤ 24 h |
| K8 | Meilensteine des Sicherheitsprogramms im Plan | Liefert das Programm, was beschlossen wurde? | ≥ 80 % |