Sicherheit brauchtEntscheidungsrecht.
Steuerung macht aus Sicherheitsarbeit ein geführtes Managementsystem. Sie bestimmt Auftrag, Geltungsbereich, Ziele, Verantwortung und Eskalation. Ihr Ergebnis ist kein Bericht, sondern ein dokumentierter Entscheid mit Owner, Ressourcen und überprüfbarem Auftrag.
Vom Auftrag zum
Beschluss.
Informationssicherheit wird nicht dadurch geführt, dass Kennzahlen präsentiert werden. Führung beginnt mit einem klaren Schutzauftrag und endet mit einem nachverfolgten Beschluss. Dazwischen müssen Befugnis, Priorität und Ressourcen sichtbar bleiben.
Verstehen
Geschäft, interessierte Parteien, kritische Leistungen und Verpflichtungen einordnen.
begründeter Führungsbedarf
Begrenzen
Organisation, Standorte, Leistungen, Systeme und wesentliche Abhängigkeiten bestimmen.
genehmigter Geltungsbereich
Beauftragen
Schutzauftrag, Leitlinie, Ziele und erwartete Wirkung des ISMS festlegen.
verbindlicher Auftrag
Ordnen
Rollen, Entscheidungsrechte, Stellvertretung, Eskalation und Prüfung definieren.
entscheidungsfähige Organisation
Ermöglichen
Budget, Personal, Kompetenzen und Werkzeuge an Ziele und Risiken ausrichten.
ausführbarer Auftrag
Bewerten
Ziele, Risiken, Abweichungen, Wirksamkeit und Veränderungen zusammenführen.
entscheidungsreife Lage
Führen
Priorität, Massnahme, Owner und Frist beschliessen und den Abschluss überwachen.
nachverfolgter Beschluss
Acht Entscheide
tragen das ISMS.
Die Form des Dokuments ist zweitrangig. Entscheidend ist, ob jeder Führungsgegenstand genehmigt, aktuell und einer befugten Rolle zugeordnet ist.
ISMS Auftrag
Entscheid: Wofür besteht das ISMS und welche Wirkung wird erwartet? Nachweis: genehmigter Auftrag.
Geltungsbereich
Entscheid: Welche Leistungen, Einheiten, Systeme und Abhängigkeiten sind umfasst? Nachweis: begründete Scope Beschreibung.
Rollen und Befugnisse
Entscheid: Wer entscheidet, führt aus, eskaliert und prüft? Nachweis: Rollen- und Entscheidungsmodell.
Sicherheitsziele
Entscheid: Welcher Zustand soll bis wann erreicht sein? Nachweis: Zielregister mit Owner und Prüfkriterium.
Kriterien und Toleranz
Entscheid: Wie werden Risiken bewertet und bis zu welcher Grenze akzeptiert? Nachweis: genehmigte Risikovorgaben.
Ressourcen
Entscheid: Welche Mittel sind für Auftrag und Ziele erforderlich? Nachweis: Zuweisung oder dokumentierte Eskalation.
Managementbewertung
Entscheid: Was wird fortgeführt, angepasst oder korrigiert? Nachweis: Beschluss mit Massnahme, Owner und Frist.
Wesentliche Anpassung
Entscheid: Verändert eine neue Leistung, Technologie oder Verpflichtung den Scope oder die Steuerung? Nachweis: dokumentierte Auswirkungsprüfung.
Der CISO führt.
Die Leitung entscheidet.
Ein CISO kann das Managementsystem betreiben und Entscheide vorbereiten. Die oberste Verantwortung, die genehmigte Risikotoleranz und Entscheidungen ausserhalb delegierter Befugnisse bleiben bei der zuständigen Leitung.
| Rolle | Verantwortung | Nicht delegierbare oder klar zugewiesene Entscheidung | Benötigter Nachweis |
|---|---|---|---|
| Oberleitungsorgan oder Geschäftsleitung | Richtung, Aufsicht und angemessene Ressourcen. | Auftrag, Scope, wesentliche Ziele, Risikotoleranz und eskalierte Restrisiken. | genehmigte Beschlüsse und nachverfolgte Aufträge |
| CISO oder ISMS Leitung | Managementsystem betreiben, Lage verdichten und Entscheide vorbereiten. | Entscheide innerhalb des erteilten Mandats und rechtzeitige Eskalation. | aktuelle Lage, Entscheidungsgrundlage und Massnahmenverfolgung |
| Risk Owner | Geschäftliche Auswirkung und Restrisiko verantworten. | Behandlung oder Akzeptanz innerhalb genehmigter Befugnis. | begründeter Risikoentscheid mit Frist |
| Prozessowner | Prozessleistung und erforderliche Nachweise liefern. | Abweichungen behandeln oder eskalieren. | Prozessergebnis, Kennzahlen und offene Restlücken |
| Kontrollfunktion und Audit | Ausführung und Wirkung unabhängig beurteilen. | Feststellungen ohne operative Interessenkollision. | prüfbare Feststellung mit Ursache und Auswirkung |
Steuerung besitzt
nicht alles.
Eine belastbare Landkarte trennt den Führungsentscheid von Bewertung, Vollzug und Prüfung. Sonst wird Governance zu einem Sammelbegriff, in dem Verantwortung verschwindet.
Steuerung verantwortet
- Auftrag, Scope, Ziele und Entscheidungswege
- Risikokriterien, Toleranz und Akzeptanzbefugnis
- Prioritäten, Ressourcen und Managementbeschlüsse
- Bewertung wesentlicher Änderungen des Managementsystems
Andere Prozesse liefern
- Risiko: konkrete Bewertung und Behandlung
- Compliance: anwendbare Verpflichtungen und Status
- Wirksamkeit: Messung, Kontrolle und unabhängige Feststellung
- Verbesserung: nachgewiesene Korrektur und erneute Prüfung
Nur messen, was
einen Entscheid verändert.
Ein Dashboard ist dann nützlich, wenn es Verantwortung und Handlungsbedarf sichtbar macht. Reine Mengenangaben ohne Ziel, Frist oder Risikobezug gehören nicht in die Managementbewertung.
Überfällige Managementaufträge ohne erledigten Nachweis oder erneuten Entscheid.
Sicherheitsziele ohne belastbares Prüfkriterium oder mit nicht erklärter Zielabweichung.
Risiken und Ausnahmen ausserhalb der genehmigten Akzeptanzgrenze.
Wesentliche Änderungen ohne bewertete Auswirkung auf Geltungsbereich und Abhängigkeiten.
Genehmigte Aufträge, deren Umsetzung wegen fehlender Mittel nicht ausführbar ist.
Erneute Feststellungen, deren Ursache trotz früherem Beschluss fortbesteht.
Gemeinsamer Kern.
Klare Grenzen.
Die Führungslogik gilt allgemein. Zusätzliche rechtliche Pflichten werden nur dann eingeblendet, wenn Organisation, Sektor oder Produkt tatsächlich in den Anwendungsbereich fallen.
ISO/IEC 27001:2022 und NIST CSF 2.0 bilden die organisationsunabhängige Referenz für Auftrag, Rollen, Ziele, Risiko und Aufsicht.
NIS2 und BSIG 2025 verlangen für erfasste Einrichtungen die Umsetzung und Überwachung der Risikomanagementmassnahmen durch die Geschäftsleitung.
DORA weist dem Leitungsorgan erfasster Finanzunternehmen Verantwortung für ICT Governance, Strategie, Risikotoleranz, Rollen und Ressourcen zu.
FINMA Rundschreiben 2023/1 verlangt bei seinen Adressaten genehmigte Grundzüge, Risikotoleranz, Strategien und deren Überwachung nach Proportionalität.
Vier Prozesse.
Vier klare Ergebnisse.
Steuerung setzt Auftrag, Befugnisse und Grenzen. Risiko führt zum verantworteten Behandlungsentscheid. Compliance ordnet Pflichten und Nachweise zu. Architektur beschreibt den verbindlichen Sollzustand.
02 RisikoBewerten, behandeln, akzeptieren und überwachen.Prozess öffnen →
03 ComplianceAnwendbare Verpflichtungen bestimmen und verfolgen.Prozess öffnen →
04 ArchitekturVerbindliche Prinzipien und Zielbilder festlegen.Prozess öffnen →
ISMS WerkzeugeWerkzeuge für Scope, Risiko, Kontrollen, Nachweise und Verbesserung.Vergleich öffnen →
Integrierte GRC PlattformenGemeinsame Datenmodelle für Risiko, Compliance, Kontrolle und Audit.Vergleich öffnen →
Führung wird
nachvollziehbar.
Steuerung setzt Auftrag, Entscheidungsrechte und Grenzen. Die Referenzen beschreiben Erwartungen, die anderen Führungsprozesse liefern die entscheidungsfähige Grundlage und die Werkzeugklassen unterstützen einzelne Nachweise.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | Klauseln 4 bis 10 verlangen Kontext, Führung, Planung, Bewertung und Verbesserung des ISMS. | Legt keine konkrete Gremienstruktur oder Kennzahlenhierarchie fest. |
| NIST CSF 2.0 | Die Govern-Funktion verbindet Strategie, Risiko, Rollen und Aufsicht. | Ersetzt keine unternehmensspezifische Kompetenzordnung. |
| NIS2 und DORA | Adressieren für erfasste Organisationen die Verantwortung des Leitungsorgans und das ICT-Risikomanagement. | Die Geltung hängt vom jeweiligen Anwendungsbereich ab. |
| Inhalt | Beitrag | Weiter |
|---|---|---|
| 02 Risiko | Liefert entschiedene Szenarien, Behandlung und akzeptierte Restrisiken. | Prozess öffnen → |
| 03 Compliance | Ordnet externe und interne Verpflichtungen den zuständigen Prozessen zu. | Prozess öffnen → |
| 04 Architektur | Verdichtet Schutzprinzipien und Zielbilder für verbindliche Entscheide. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.