STOP.LI · Berichte · Nachweis
Compliance
Status.
Der Statusbericht zur Einhaltung der anwendbaren Pflichten in der Informationssicherheit: welche Regelwerke gelten, wie weit sie erfüllt sind, wo Lücken bestehen und welche Fristen anstehen.
Auf einen
Blick.
AdressatGeschäftsleitung, ComplianceBei regulierten Unternehmen auch Prüfungs- oder Risikoausschuss.
RhythmusQuartalsweiseZusätzlich vor wichtigen Stichtagen und nach Feststellungen der Aufsicht.
ZweckPflichten im GriffDer Bericht zeigt Erfüllung mit Nachweis, offene Lücken mit Plan und die Fristen der nächsten zwölf Monate.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Anwendbarkeit | Pflichtenregister: Regelwerke, Rolle des Unternehmens (z. B. wichtige Einrichtung, Finanzunternehmen, Hersteller), Begründung. | Was gilt für uns und warum? |
| Erfüllungsgrad | Je Regelwerk und Pflichtengruppe: Status nach fester Skala, mit Nachweis. | Wie weit sind wir? |
| Wesentliche Lücken | Lücke, Risiko, Massnahme, Eigner, Termin. | Wo sind wir nicht konform? |
| Fristen | Stichtage und Meldefristen der nächsten zwölf Monate. | Was wird wann fällig? |
| Aufsicht und Prüfungen | Feststellungen von Aufsicht, Revision und externen Prüfern mit Stand. | Was wurde beanstandet? |
| Meldungen | Meldungen an Behörden in der Periode, fristgerecht oder nicht. | Haben wir gemeldet, was zu melden war? |
| Änderungen | Neue oder geänderte Pflichten und ihre Auswirkung. | Was ändert sich? |
| Erbetene Entscheide | Budget, Priorisierung, Akzeptanz von Restlücken. | Was soll entschieden werden? |
Eine Skala,
mit Nachweis.
Der Status ist nur so gut wie seine Definition. Ein «erfüllt» ohne Beleg wird bei der nächsten Prüfung zum Befund.
| Status | Definition | Nachweis |
|---|---|---|
| Erfüllt | Anforderung umgesetzt und Wirksamkeit belegt. | Verweis auf Dokument, Test oder Prüfbericht. |
| Teilweise erfüllt | Umsetzung begonnen oder nur für einen Teil des Umfangs wirksam. | Beschreibung des Rests mit Plan und Termin. |
| Nicht erfüllt | Anforderung nicht umgesetzt. | Risiko, Massnahme, Eigner, Termin oder Akzeptanzentscheid. |
| Nicht anwendbar | Pflicht gilt für das Unternehmen nicht. | Begründung der Nichtanwendbarkeit, periodisch überprüft. |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| Deutschland | Für besonders wichtige und wichtige Einrichtungen: Risikomanagementmassnahmen, Meldepflichten, Registrierung und Pflichten der Geschäftsleitung; für Betreiber kritischer Anlagen zusätzlich besondere Massnahmen und Nachweise. | Je Paragraf ein Eintrag im Pflichtenregister. | §§ 30, 32, 33, 38 BSIG; für kritische Anlagen §§ 31, 39 ↗ |
| FinanzD | DORA gilt für Finanzunternehmen unmittelbar, einschliesslich IKT-Risikomanagement, Vorfallmeldung, Tests und Drittparteienrisiko. | DORA als eigenes Regelwerk führen, nicht unter NIS2. | VO 2022/2554 ↗ |
| Schweiz | Die in Art. 74b ISG abschliessend genannten Behörden und Organisationen müssen Cyberangriffe nach Art. 74d innert 24 Stunden nach Entdeckung dem BACS melden; für Personendaten gilt das revidierte DSG. | Anwendbarkeit des ISG begründen; Meldewege dokumentieren. | Art. 74b, 74d, 74e ISG ↗ |
| Schweiz | Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko sind dem EDÖB so rasch als möglich zu melden. | Meldeprozess und Dokumentation im Pflichtenregister führen. | Art. 24 DSG ↗ |
| FinanzCH | Banken und Wertpapierhäuser sowie weitere im Rundschreiben genannte Adressaten unterliegen dem FINMA-Rundschreiben 2023/1, mit Erleichterungen für kleinere Institute. | Anforderungen des Rundschreibens als Pflichtengruppen erfassen. | FINMA-RS 2023/1 ↗ |
| Über Grenzen | Schweizer Unternehmen können über Tätigkeiten, Kunden oder Lieferbeziehungen in der EU betroffen sein, etwa als Hersteller unter dem CRA oder vertraglich als IKT-Dienstleister von Finanzunternehmen unter DORA. | Indirekte Betroffenheit im Pflichtenregister ausweisen. | Fristenkalender DCH → |
| Norm | Gesetzliche, regulatorische und vertragliche Anforderungen werden ermittelt, dokumentiert und aktuell gehalten; ein Compliance-Managementsystem beschreibt ISO 37301. | Pflichtenregister als Grundlage des Berichts. | ISO/IEC 27001:2022, Anhang A 5.31; ISO 37301 ↗ |
Häufige
Fehler.
FehlerProzent ohne Gewicht«85 % erfüllt» verdeckt, ob die fehlenden 15 % die Meldepflicht betreffen.
FehlerErfüllt ohne BelegJeder Status «erfüllt» verweist auf einen prüfbaren Nachweis.
FehlerAnwendbarkeit nicht begründetGerade «nicht anwendbar» braucht eine Begründung, die regelmässig überprüft wird.
FehlerFristen fehlenEin Statusbericht ohne kommende Stichtage überrascht die Geschäftsleitung später.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugIntegrierte GRC-PlattformenBilden Anforderungen, Kontrollen und Abweichungen in einem Modell ab.WerkzeugPolicy ManagementZeigt Stand, Freigabe und Ausnahmen der Vorgaben.WerkzeugControl & Evidence ManagementLiefert den Nachweisstand je Anforderung.WerkzeugDatenschutzmanagementLiefert den Stand der datenschutzrechtlichen Pflichten.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Fristenkalender DCH →, Reifegrad DORA · NIS2 · CRA →, Auditbericht →.