STOP.LI · Berichte · Führung
CISO
Monatsbericht.
Der monatliche Bericht des CISO an die Geschäftsleitung: operative Lage, Kennzahlen gegen Zielwerte, offene Eskalationen und die Entscheide, die vor dem nächsten Board-Bericht fallen müssen.
Auf einen
Blick.
AdressatGeschäftsleitungCEO, CIO, CRO oder das zuständige Mitglied der Geschäftsleitung. Der Bericht ist die Arbeitsgrundlage für den Board-Bericht.
RhythmusMonatlich, zwei SeitenGleiche Gliederung und gleiche Kennzahlen jeden Monat, damit Trends sichtbar werden.
ZweckSteuern statt informierenAbweichungen vom Ziel, Eskalationen und Entscheide stehen vorne; Aktivitäten nur, wenn sie eine Abweichung erklären.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Lage in drei Sätzen | Gesamteinschätzung, wesentliche Veränderung seit dem Vormonat, grösstes offenes Risiko. | Muss die Geschäftsleitung diesen Monat handeln? |
| Entscheide und Eskalationen | Was zu entscheiden ist, Optionen mit Kosten und Restrisiko, Frist; Eskalationen aus Betrieb und Projekten. | Wer entscheidet bis wann? |
| Kennzahlen | Acht bis zwölf Kennzahlen mit Zielwert, Ist-Wert und Verlauf über drei bis sechs Monate. | Wo weichen wir vom Ziel ab und warum? |
| Vorfälle | Anzahl nach Schweregrad, meldepflichtige Vorfälle mit Meldestatus, offene Massnahmen aus Post-Incident-Reviews. | Haben wir unsere Pflichten fristgerecht erfüllt? |
| Exposition | Kritische Schwachstellen über Behebungsfrist, aus dem Internet erreichbare Altsysteme, laufende Ausnahmen. | Wo sind wir heute angreifbar? |
| Programm | Meilensteine, Budget und Abhängigkeiten des Sicherheitsprogramms. | Liefert das Programm, was beschlossen wurde? |
| Dritte | Neue kritische Dienstleister, fällige Beurteilungen, Vorfälle bei Dienstleistern. | Kennen wir die Lage unserer kritischen Dienstleister? |
| Prüfungen und Fristen | Offene Feststellungen aus Revision, externer Prüfung und Aufsicht; regulatorische Fristen der nächsten 90 Tage. | Was wird demnächst geprüft oder fällig? |
Kennzahlen
mit Richtung.
Ein Vorschlag für den Kern des Kennzahlenteils. Zielwerte legt die Geschäftsleitung fest; die acht Board-Kennzahlen aus dem Board Briefing sind darin enthalten, damit Monats- und Board-Bericht dieselben Zahlen verwenden.
| Kennzahl | Definition | Besser, wenn |
|---|---|---|
| Kritische Schwachstellen über Frist | Kritische Schwachstellen auf aus dem Internet erreichbaren Systemen, deren interne Behebungsfrist überschritten ist (Stichtag). | tiefer |
| Phishing-resistente MFA | Anteil privilegierter Konten und Fernzugänge mit FIDO2, Passkey oder zertifikatsbasierter Anmeldung. | höher |
| Getestete Wiederherstellung | Anteil kritischer Services, deren Wiederherstellung in den letzten zwölf Monaten innerhalb des genehmigten RTO getestet wurde. | höher |
| Fristgerechte Meldungen | Anteil der meldepflichtigen Vorfälle der Periode, die fristgerecht gemeldet wurden. | höher |
| Eindämmungszeit | Median der Stunden zwischen Erkennung und wirksamer Eindämmung wesentlicher Vorfälle. | tiefer |
| Abgelaufene Ausnahmen | Risikoakzeptanzen und Ausnahmen nach Ablaufdatum ohne Verlängerungsentscheid. | tiefer |
| Feststellungen über Termin | Offene Feststellungen aus Revision, externer Prüfung und Aufsicht, deren Umsetzungstermin überschritten ist. | tiefer |
| Dienstleisterbeurteilungen | Anteil kritischer Dienstleister mit Sicherheitsbeurteilung, die nicht älter als zwölf Monate ist. | höher |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| Deutschland | Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmassnahmen umsetzen und ihre Umsetzung überwachen. | Der Monatsbericht ist ein geeignetes Mittel, diese Überwachung zu belegen. Eine Pflicht zum Monatsbericht besteht nicht. | § 38 Abs. 1 BSIG ↗ |
| FinanzD | Die Strategie für die digitale operationale Resilienz legt Ziele für die Informationssicherheit mit Leistungs- und Risikokennzahlen fest. Leitende IKT-Mitarbeiter berichten dem Leitungsorgan mindestens jährlich über Erkenntnisse aus Tests und Vorfällen. | Kennzahlen aus der DORA-Strategie übernehmen; der Monatsbericht speist den Jahresbericht nach Art. 13 Abs. 5. | Art. 6 Abs. 8 Bst. c, Art. 13 Abs. 5 DORA ↗ |
| FinanzCH | Die mindestens jährliche Berichterstattung an die Geschäftsleitung zu IKT- und Cyberrisiken enthält die Entwicklung dieser Risiken, die Effektivität der Schlüsselkontrollen und wesentliche Ereignisse. | Diese drei Elemente monatlich mitführen; der Jahresbericht wird dann eine Zusammenfassung. | FINMA-RS 2023/1, Rz 40 ↗ |
| Schweiz | Für Unternehmen ohne Aufsicht besteht keine gesetzliche Berichtspflicht des CISO. Der Verwaltungsrat trägt die Oberaufsicht und braucht dafür eine angemessene Informationsbasis. | Der Monatsbericht ist die Vorstufe dieser Informationsbasis. | Art. 716a OR ↗ |
| Norm | Die Organisation überwacht, misst, analysiert und bewertet die Informationssicherheitsleistung und führt Managementbewertungen durch. | Kennzahlen und Messmethode dokumentieren; ISO/IEC 27004 hilft bei der Definition. | ISO/IEC 27001:2022, Kap. 9.1 und 9.3 ↗ |
Häufige
Fehler.
FehlerAktivität statt WirkungWie viele Tickets bearbeitet wurden, sagt nichts über das Risiko. Berichtet wird, was sich an der Exposition verändert hat.
FehlerKennzahlen ohne ZielwertOhne vorab festgelegten Zielwert wird jede Zahl verhandelt. Zielwert, Ist und Verlauf gehören zusammen.
FehlerJeden Monat andersWechselnde Kennzahlen verhindern Trends. Änderungen am Kennzahlenset nur mit Begründung und Übergangsmonat.
FehlerEskalation ohne VorlageEine Eskalation braucht Optionen, Kosten, Restrisiko und eine Empfehlung, sonst bleibt sie liegen.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugISMS-WerkzeugeFühren Risiken, Massnahmen und Kontrollen, aus denen die Monatskennzahlen stammen.WerkzeugVulnerability ManagementLiefert offene Schwachstellen, Alter und Fristeinhaltung.WerkzeugSIEMLiefert Ereignisse und Vorfälle für die Lagezahlen.WerkzeugCyber Risk QuantificationÜbersetzt ausgewählte Risiken in finanzielle Szenarien.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Board Briefing →, Management Risk Report →, Fristenkalender DCH →.