STOP.LI · Berichte · Ereignisse
Lessons
Learned.
Der periodische Bericht über das, was die Organisation aus Vorfällen, Übungen, Tests und fremden Ereignissen gelernt hat: Muster, wiederkehrende Ursachen und ob frühere Massnahmen gewirkt haben.
Auf einen
Blick.
AdressatGeschäftsleitung, LeitungsorganBei Finanzunternehmen in der EU mindestens jährlich an das Leitungsorgan.
RhythmusHalbjährlich oder jährlichVerdichtet die Post-Incident-Reviews und Testberichte der Periode.
ZweckMuster erkennenEin einzelner Vorfall zeigt eine Lücke. Mehrere Vorfälle zeigen, wo die Organisation strukturell schwach ist.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Quellen der Periode | Vorfälle, Beinahe-Vorfälle, Post-Incident-Reviews, Übungen, Resilienztests, Audits, Ereignisse bei anderen. | Woraus lernen wir? |
| Muster | Wiederkehrende Ursachen, Angriffswege und Schwachstellen; Häufung nach Bereich oder Dienstleister. | Was wiederholt sich? |
| Massnahmen aus früheren Reviews | Umgesetzt, wirksam bestätigt, offen, verworfen. | Haben unsere Verbesserungen gewirkt? |
| Auswirkung auf das Risiko | Anpassungen an Risikobewertung, Toleranz und Kennzahlen. | Was ändert sich an unserem Risikobild? |
| Anpassungen | Playbooks, Notfall- und Wiederanlaufpläne, Schulungen, Architektur. | Was haben wir geändert? |
| Empfehlungen | Vorschläge an die Geschäftsleitung mit Aufwand und Wirkung. | Was soll entschieden werden? |
Abgrenzung
der Berichte.
Drei Berichte zum selben Vorfall, mit unterschiedlichem Zweck.
| Bericht | Blickwinkel | Zeitpunkt |
|---|---|---|
| Incident Report | Ein Vorfall, Lage und Meldungen. | Während und kurz nach dem Vorfall. |
| Post-Incident-Review | Ein Vorfall, Ursachen und Wirksamkeit der Reaktion. | Nach Abschluss des Vorfalls. |
| Lessons Learned Report | Alle Vorfälle, Tests und Übungen einer Periode, Muster und Wirkung. | Halbjährlich oder jährlich. |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| FinanzD | Erkenntnisse aus Resilienztests und realen Vorfällen fliessen in die IKT-Risikobewertung ein; leitende IKT-Mitarbeiter berichten dem Leitungsorgan mindestens jährlich darüber und geben Empfehlungen ab. | Für FinanzD ist dieser Bericht faktisch Pflicht. | Art. 13 Abs. 3 und 5 DORA ↗ |
| FinanzD | Der IKT-Risikomanagementrahmen wird mindestens jährlich sowie nach schwerwiegenden Vorfällen überprüft und auf Grundlage der Erkenntnisse verbessert. | Bericht als Eingang für die jährliche Überprüfung nutzen. | Art. 6 Abs. 5 DORA ↗ |
| FinanzCH | Bei Banken und Wertpapierhäusern wird das Ergebnis szenariobezogener Cyber-Übungen dokumentiert und rapportiert; über BCM-Tests wird regelmässig an Oberleitungsorgan und Geschäftsleitung berichtet. | Übungs- und Testergebnisse in den Bericht aufnehmen. | FINMA-RS 2023/1 ↗ |
| Deutschland und Schweiz | Ohne Finanzaufsicht gibt es keine ausdrückliche Pflicht zu diesem Bericht. Die Wirksamkeitsbewertung nach § 30 Abs. 2 Nr. 6 BSIG und die Oberaufsicht nach Art. 716a OR profitieren davon. | Als Teil der jährlichen Managementbewertung führen. | § 30 Abs. 2 Nr. 6 BSIG ↗ |
| Norm | Lernen aus Vorfällen und fortlaufende Verbesserung; das NIST CSF 2.0 führt Verbesserung als eigene Kategorie. | Bezug zur Managementbewertung herstellen. | ISO/IEC 27001:2022, Kap. 10.1 und Anhang A 5.27; NIST CSF 2.0, ID.IM ↗ |
Häufige
Fehler.
FehlerListe statt MusterEine Aufzählung von Vorfällen ist noch keine Erkenntnis.
FehlerWirkung nie geprüftMassnahmen gelten als erledigt, sobald sie umgesetzt sind, nicht wenn sie gewirkt haben.
FehlerNur eigene VorfälleVorfälle bei Mitbewerbern und Dienstleistern sind günstige Lernquellen.
FehlerKein Bezug zum RisikoErkenntnisse, die die Risikobewertung nicht verändern, bleiben folgenlos.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugDetection EngineeringVerankert Erkenntnisse dauerhaft in der Erkennung.WerkzeugRed, Purple, EmulationPrüft gemeinsam, ob Verbesserungen gegen die Angriffstechnik wirken.WerkzeugBCMÜberträgt Erkenntnisse in Notfallpläne und Wiederanlaufzeiten.WerkzeugRecovery TestingBelegt, dass angepasste Wiederanlaufpläne funktionieren.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Post-Incident-Review →, Management Risk Report →, CISO Monatsbericht →.