Pflichten braucheneinen Betriebsort.
Eine Liste von Gesetzen schafft noch keine Compliance. Der Prozess entscheidet, welche Anforderung für welchen Teil des Unternehmens gilt, wer sie umsetzt und welcher Nachweis ihre Erfüllung belegt.
Von der Quelle zum
prüfbaren Nachweis.
Regulierung wird erst steuerbar, wenn Anwendungsbereich, Verpflichtung, zuständiger Prozess, Owner und Nachweis zusammengeführt werden. Ein Framework Mapping allein beantwortet diese Fragen nicht.
Beobachten
Gesetze, Aufsicht, Verträge, Standards und interne Vorgaben aktuell halten.
identifizierte Veränderung
Prüfen
Rechtsraum, Adressat, Schwelle, Produktrolle und Ausnahme untersuchen.
begründeter Anwendungsentscheid
Zerlegen
Anforderungen in konkrete, voneinander prüfbare Verpflichtungen übersetzen.
eindeutige Verpflichtung
Verankern
Prozess, Owner, Termin, Kontrollpunkt und benötigten Nachweis festlegen.
betrieblicher Umsetzungsort
Verfolgen
Umsetzung, Abhängigkeiten, Abweichungen und Fristen transparent halten.
aktueller Erfüllungsstatus
Belegen
Dokument, Datensatz, Test oder Feststellung mit der Verpflichtung verbinden.
prüfbare Erfüllung
Nachführen
Neue Auslegung, Scopeänderung und Feststellung versioniert verarbeiten.
aktuelle Verpflichtungslage
Gilt es wirklich
für uns?
Die wichtigste Arbeit geschieht vor dem Mapping. Dass eine Regulierung Cybersecurity behandelt, bedeutet nicht, dass jedes Unternehmen oder jedes Produkt ihr unterstellt ist.
Wo entsteht die Verpflichtung?
Sitz, Niederlassung, Marktbereitstellung, Leistungserbringung und grenzüberschreitende Tätigkeit unterscheiden.
Welche Rolle ist erfasst?
Einrichtung, Finanzunternehmen, Betreiber, Hersteller, Importeur, Händler oder ICT Dienstleister präzise bestimmen.
Welche Kriterien lösen die Pflicht aus?
Grösse, Sektor, kritische Funktion, Produktklasse und ausdrücklich benannte Ausnahmen dokumentieren.
Welche Regel gilt speziell?
Sektorale Sonderregel, nationale Umsetzung und Überschneidung mit anderen Anforderungen getrennt prüfen.
Ab wann muss was erfüllt sein?
Inkrafttreten, Anwendungsbeginn, Übergang, Meldefrist und interne Umsetzungszeit nicht vermischen.
Wie bleibt der Entscheid nachvollziehbar?
Quelle, Fassung, Prüfer, Annahmen, Ergebnis und nächster Überprüfungstermin versioniert führen.
Nicht Kapitel sammeln.
Arbeit zuordnen.
Eine Verpflichtung muss so beschrieben sein, dass ein Prozessowner weiss, was zu tun ist, und eine prüfende Stelle erkennt, welcher Beleg erwartet wird.
| Feld | Inhalt | Warum erforderlich |
|---|---|---|
| Primärquelle | Herausgeber, Titel, Fundstelle, Fassung und Datum. | verhindert Entscheidungen auf Basis veralteter Zusammenfassungen |
| Anwendungsentscheid | Rechtsraum, Adressat, Schwelle, Ausnahme und Begründung. | trennt mögliche Relevanz von tatsächlicher Verpflichtung |
| Verpflichtung | Kurze, prüfbare Paraphrase ohne den Normtext zu ersetzen. | macht die Anforderung betrieblich verständlich |
| Prozess und Owner | Zuständiger ISMS Prozess, verantwortliche Rolle und Eskalation. | verhindert Pflichten ohne Umsetzungsort |
| Nachweis | Erwartetes Dokument, Datensatz, Testresultat oder Beschluss. | verbindet Umsetzung mit Prüfbarkeit |
| Status | erfüllt, teilweise erfüllt, offen, strittig oder nicht anwendbar mit Datum. | zeigt den tatsächlichen Handlungsbedarf |
Compliance ordnet.
Der Prozess setzt um.
Die Compliancefunktion kann eine Verpflichtung analysieren und verfolgen. Sie ersetzt weder Rechtsberatung noch die operative Verantwortung des zuständigen Prozessowners.
Compliance verantwortet
- Quellen- und Änderungsbeobachtung
- begründeten Anwendungsentscheid
- Pflichtenregister und Prozesszuordnung
- Status, Frist und Eskalation offener Abweichungen
Andere Prozesse liefern
- Steuerung: Priorität und eskalierte Entscheidung
- Fachprozess: operative Umsetzung
- Risiko: Behandlung der verbleibenden Exposition
- Wirksamkeit: belastbaren Erfüllungsnachweis
Pflicht ist
nicht gleich Pflicht.
NIS2, DORA, CRA und FINMA adressieren unterschiedliche Organisationen, Tätigkeiten und Produkte. STOP.LI hält diese Profile getrennt, obwohl dieselben ISMS Prozesse Nachweise liefern können.
| Profil | Erste Anwendungsfrage | Typische Führungsrelevanz | Grenze |
|---|---|---|---|
| UnternehmenD | Ist die Organisation nach BSIG 2025 besonders wichtig, wichtig oder anderweitig erfasst? | Risikomassnahmen, Überwachung und Schulung der Geschäftsleitung. | Sektor, Grösse und Ausnahmen prüfen. |
| FinanzD | Ist das Unternehmen ein von DORA erfasstes Finanzunternehmen oder ICT Drittanbieter? | ICT Governance, Risikorahmen, Resilienz und Drittparteiensteuerung. | DORA Adressat und Proportionalität prüfen. |
| FinanzCH | Ist das Institut Adressat des FINMA Rundschreibens 2023/1? | Operationelle Risiken, Cyberrisiken, kritische Daten und Resilienz. | Institutsart und Erleichterungen berücksichtigen. |
| ProduktDCH | Welche Wirtschaftsakteurrolle und welches Produkt mit digitalen Elementen liegen vor? | Produktsicherheitsrisiko, Entwicklung, Schwachstellen und Updates. | Produktklasse und zeitliche Anwendung prüfen. |
Control und Evidence ManagementKontrollen und fortlaufende Nachweise einer Verpflichtung zuordnen.Vergleich öffnen →
Integrierte GRC PlattformenPflichtenregister, Risiken, Kontrollen und Prüfungen gemeinsam führen.Vergleich öffnen →
Pflichten werden
betriebsfähig.
Compliance bestimmt Geltung, Übersetzung und Nachweisführung. Referenzen bleiben nach Rechtsraum und Sektor getrennt, die Nachbarprozesse erbringen die Leistung und Werkzeuge helfen bei Mapping und Evidenz.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | Klauseln 4, 6, 9 und Annex A.5.31 bis A.5.36 stützen Anforderungen, Compliance und unabhängige Prüfung. | Ersetzt keine Rechtsauslegung im Einzelfall. |
| NIS2, DORA und CRA | Setzen unterschiedliche Anforderungen für Einrichtungen, Finanzunternehmen und Produkte mit digitalen Elementen. | Ein gemeinsamer Cyberbegriff begründet keine gemeinsame Geltung. |
| FINMA und Schweizer IKT-Minimalstandard | Ergänzen die Schweiz abhängig von Institut, kritischen Funktionen und Proportionalität. | Sind kein pauschales Pflichtenprofil für alle Schweizer Unternehmen. |
| Inhalt | Beitrag | Weiter |
|---|---|---|
| 01 Steuerung | Entscheidet über Policy, Verantwortungen und Ressourcen für die Erfüllung. | Prozess öffnen → |
| 02 Risiko | Macht Abweichungen und Restrisiken entscheidungsfähig. | Prozess öffnen → |
| 24 Wirksamkeit | Prüft, ob Nachweise und Kontrollen eine belastbare Aussage tragen. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.