STOP.LI · Berichte · Führung
1st-Line
Bericht.
Der Sicherheitsbericht eines Geschäftsbereichs: Die erste Linie zeigt, dass sie die Informationssicherheitsrisiken in ihrem Verantwortungsbereich kennt, ihre Schlüsselkontrollen betreibt und Abweichungen selbst angeht.
Auf einen
Blick.
AdressatBereichsleitung und zweite LinieDer Bereich berichtet an seine Leitung; die zweite Linie (Risikokontrolle, Informationssicherheit) wertet die Berichte aller Bereiche aus.
RhythmusQuartalsweiseIm Takt des Management Risk Report, damit die zweite Linie die Bereichsberichte verdichten kann.
ZweckVerantwortung sichtbar machenDer Bericht stammt aus dem Bereich selbst. Schreibt ihn die Sicherheitsfunktion, ist die Verantwortung verschoben.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Bereich und Umfang | Verantwortlicher Bereich, Prozesse, Anwendungen und Datenbestände im Umfang. | Wofür ist der Bereich verantwortlich? |
| Risiken des Bereichs | Risiken aus dem Risikoregister mit Bewertung, Trend und Status der Behandlung. | Welche Risiken trägt der Bereich? |
| Schlüsselkontrollen | Betriebene Kontrollen mit Ergebnis der Selbstbeurteilung und Nachweis. | Funktionieren unsere Kontrollen? |
| Risikokennzahlen | Bereichsbezogene Kennzahlen mit Schwellen und Verlauf. | Wo nähern wir uns einer Schwelle? |
| Vorfälle und Beinahe-Vorfälle | Ereignisse im Bereich, Ursache, Massnahmen. | Was ist bei uns passiert? |
| Ausnahmen | Genehmigte Abweichungen von Richtlinien mit Befristung. | Wo weichen wir bewusst ab? |
| Offene Feststellungen | Feststellungen aus Revision, Prüfung und zweiter Linie mit Umsetzungsstand. | Was haben andere bei uns gefunden? |
| Unterstützungsbedarf | Was der Bereich nicht selbst lösen kann; Eskalation an zweite Linie oder Geschäftsleitung. | Wo brauchen wir Hilfe? |
Typische
Bereichskennzahlen.
Kennzahlen, die ein Geschäftsbereich selbst beeinflussen kann. Schwellen legt der Bereich mit der zweiten Linie fest.
| Kennzahl | Definition | Besser, wenn |
|---|---|---|
| Rezertifizierung | Anteil der Berechtigungsrezertifizierungen, die fristgerecht abgeschlossen wurden. | höher |
| Austritte | Anteil der Austritte, bei denen alle Zugänge innerhalb der festgelegten Frist entzogen wurden. | höher |
| Eignerlose Anwendungen | Anwendungen und Datenbestände im Bereich ohne benannten Eigner. | tiefer |
| Ausnahmen | Aktive Ausnahmen, davon abgelaufen. | tiefer |
| Schulung | Anteil der Mitarbeitenden mit abgeschlossener Pflichtschulung. | höher |
| Meldequote | Anteil der Empfänger einer Phishing-Simulation, die sie gemeldet haben; Klickquote separat ausweisen. | höher |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| FinanzD | Finanzunternehmen (ausser Kleinstunternehmen) trennen IKT-Risikomanagement, Kontrollfunktionen und interne Revision angemessen, gemäss dem Modell der drei Verteidigungslinien oder einem internen Modell. | Der Bericht dokumentiert die Rolle der ersten Linie in diesem Modell. | Art. 6 Abs. 4 DORA ↗ |
| FinanzCH | Die interne Berichterstattung zu operationellen Risiken enthält ergänzend eine zusammenfassende Gesamtübersicht über die Effektivität der Schlüsselkontrollen. | Selbstbeurteilungen der ersten Linie sind eine Quelle dafür; die zweite Linie verdichtet. Für Institute der Aufsichtskategorien 4 und 5 gelten Erleichterungen. | FINMA-RS 2023/1, Rz 41 ↗ |
| Deutschland | Besonders wichtige und wichtige Einrichtungen brauchen Konzepte und Verfahren zur Bewertung der Wirksamkeit ihrer Risikomanagementmassnahmen. | Selbstbeurteilung der Bereiche ist ein Baustein dieser Wirksamkeitsbewertung. | § 30 Abs. 2 Nr. 6 BSIG ↗ |
| Schweiz | Für Unternehmen ohne Aufsicht gibt es keine Vorgabe zum Linienmodell. | Das Modell lohnt sich trotzdem, sobald mehrere Bereiche eigene Anwendungen und Daten verantworten. | Keine spezifische Vorgabe |
| Modell | Die erste Linie verantwortet Risiken in der Leistungserbringung, die zweite unterstützt und überwacht, die interne Revision prüft unabhängig. | Rollen im Bericht klar benennen. | IIA Three Lines Model, Statement of Position (Juli 2026) ↗ |
Häufige
Fehler.
FehlerZweite Linie schreibtFüllt die Sicherheitsfunktion den Bericht aus, kontrolliert sie sich selbst und der Bereich lernt nichts.
FehlerSelbstbeurteilung ohne NachweisEin Häkchen ist kein Nachweis. Jede bestätigte Kontrolle verweist auf einen prüfbaren Beleg.
FehlerNur grünEin Bericht ohne Abweichungen ist meist unvollständig. Abweichungen mit Massnahme sind ein gutes Zeichen.
FehlerKennzahlen ohne EinflussDer Bereich berichtet nur Kennzahlen, die er selbst beeinflussen kann.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugControl & Evidence ManagementSammelt die Nachweise, mit denen die erste Linie ihre Kontrollen belegt.WerkzeugVulnerability ManagementLiefert Behebungsstand und Fristverletzungen je Bereich.WerkzeugPatch ManagementZeigt den Patchstand der verantworteten Systeme.WerkzeugIGALiefert Stand und Ergebnisse der Berechtigungsrezertifizierung.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Management Risk Report →, Kontrolltestbericht →, Auditbericht →.