STOP.LI · Berichte · Nachweis
Kontroll
test.
Der Bericht über den Test einer Sicherheitskontrolle: ob sie richtig ausgestaltet ist und ob sie über den Prüfzeitraum tatsächlich wirksam war, belegt mit Grundgesamtheit, Stichprobe und Abweichungen.
Auf einen
Blick.
AdressatKontrolleigner und zweite LinieDie Ergebnisse fliessen in den Management Risk Report und stehen Revision und externen Prüfern zur Verfügung.
RhythmusNach TestplanSchlüsselkontrollen mindestens jährlich; häufiger bei hohem Risiko oder nach wesentlichen Änderungen.
ZweckWirksamkeit belegenEine dokumentierte Kontrolle ist noch keine wirksame Kontrolle. Der Bericht zeigt den Unterschied.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Kontrolle | ID, Kontrollziel, adressiertes Risiko, Eigner, Häufigkeit, Art (präventiv oder detektiv, manuell oder automatisiert). | Was soll die Kontrolle leisten? |
| Testansatz | Methoden: Befragung, Durchsicht von Unterlagen, Beobachtung, Nachvollzug. | Wie wurde getestet? |
| Grundgesamtheit | Vollständige Liste aller Ausführungen im Prüfzeitraum und ihre Quelle. | Ist die Basis vollständig? |
| Stichprobe | Grösse, Auswahlmethode und Begründung. | Ist die Auswahl angemessen? |
| Ausgestaltung | Ergebnis des Design-Tests: Deckt die Kontrolle das Risiko ab? | Ist die Kontrolle richtig gebaut? |
| Wirksamkeit | Ergebnis über den Zeitraum mit allen Abweichungen. | Hat sie im Zeitraum funktioniert? |
| Bewertung | Wirksam, teilweise wirksam oder nicht wirksam, mit Begründung. | Können wir uns darauf verlassen? |
| Massnahmen und Nachweise | Korrekturen mit Eigner und Termin; Verweise auf Belege. | Was ist zu tun und wo liegt der Beleg? |
Design und
Wirksamkeit.
Zwei Fragen, die oft vermischt werden. Dieselbe Unterscheidung kennen Prüfberichte über Dienstleister nach ISAE 3402 als Typ 1 und Typ 2.
| Test | Frage | Nachweis |
|---|---|---|
| Ausgestaltung (Design) | Ist die Kontrolle so beschrieben und eingerichtet, dass sie das Risiko abdecken kann? | Kontrollbeschreibung, Konfiguration, ein Nachvollzug einer Ausführung (Walkthrough). |
| Wirksamkeit (Betrieb) | Wurde die Kontrolle im gesamten Prüfzeitraum wie beschrieben ausgeführt? | Stichprobe aus der vollständigen Grundgesamtheit, Prüfung jeder ausgewählten Ausführung. |
| Automatisierte Kontrolle | Funktioniert die Systemregel und war sie im Zeitraum unverändert aktiv? | Konfigurationstest plus Nachweis der Änderungskontrolle für den Zeitraum. |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| EU und Deutschland | Wesentliche (in Deutschland: besonders wichtige) und wichtige Einrichtungen brauchen Konzepte und Verfahren zur Bewertung der Wirksamkeit ihrer Risikomanagementmassnahmen. | Kontrolltests sind das naheliegende Verfahren; der Bericht ist der Beleg. | Art. 21 Abs. 2 Bst. f NIS2; § 30 Abs. 2 Nr. 6 BSIG ↗ |
| FinanzD | Bei Finanzunternehmen (ausser Kleinstunternehmen) umfasst das Testprogramm für die digitale operationale Resilienz Tests aller IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich. | Resilienztests nach DORA und Kontrolltests ergänzen sich; der Bericht verweist auf beide. | Art. 24 Abs. 6, Art. 25 DORA ↗ |
| FinanzCH | Die Berichterstattung zu IKT- und Cyberrisiken enthält die Effektivität der Schlüsselkontrollen. | Kontrolltestberichte liefern diese Aussage. | FINMA-RS 2023/1, Rz 31 und 40–41 ↗ |
| Dienstleister | Prüfberichte über interne Kontrollen bei Dienstleistern unterscheiden Typ 1 (Ausgestaltung zu einem Stichtag) und Typ 2 (Ausgestaltung und Wirksamkeit über einen Zeitraum). | Für ausgelagerte Kontrollen den passenden Berichtstyp anfordern. | ISAE 3402 ↗ |
| Methode | Prüfverfahren mit den Methoden Durchsicht, Befragung und Test. | Methode je Kontrolle angeben. | NIST SP 800-53A Rev. 5 ↗ |
Häufige
Fehler.
FehlerDesign getestet, Wirksamkeit behauptetEin Walkthrough belegt nicht, dass die Kontrolle ein Jahr lang funktioniert hat.
FehlerScreenshot statt GrundgesamtheitOhne vollständige Liste aller Ausführungen ist jede Stichprobe beliebig.
FehlerEigner testet sich selbstWer die Kontrolle ausführt, sollte sie nicht abschliessend testen.
FehlerAbweichungen wegerklärtJede Abweichung wird bewertet und dokumentiert, auch wenn sie einmalig erscheint.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugControl ValidationWeist Design und Wirkung einzelner Kontrollen nach.WerkzeugControl & Evidence ManagementHält Testschritte, Stichproben und Ergebnisse nachvollziehbar.WerkzeugBASPrüft technische Kontrollen wiederholt mit simulierten Angriffstechniken.WerkzeugPenetration TestingLiefert punktuelle Befunde zur tatsächlichen Ausnutzbarkeit.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Auditbericht →, Management Risk Report →, 1st-Line-Sicherheitsbericht →.