---
doc_key: at_assessment_guide
title: "Assessment Tool — Bewertungsanleitung"
description: "Detaillierte Anleitung: Control-Typen, Bewertungslogik, Scoring, Capability-Abhängigkeiten, Mehrfach-Assessments und Provider-Review."
audience: public
version: "1.0"
---

## Überblick: Der Bewertungsablauf

```mermaid
flowchart TD
    SC["Scope & Perimeter\nfestlegen"] --> AS["Assessment starten\nDomain auswählen"]
    AS --> EV["Fähigkeiten bewerten\n0–5 pro Control"]
    EV --> SA["Speichern &\nfortsetzen"]
    SA --> EV
    EV --> CM["Assessment\nabschliessen"]
    CM --> RV{"Provider\nReview aktiviert?"}
    RV -->|Ja| PR["Provider-Review\ndurch SwissMax"]
    RV -->|Nein| SC2["Scorecard &\nGap-Analyse"]
    PR --> SC2
    SC2 --> MP["Massnahmenplan\nerstellen"]
    MP --> RA["Reassessment\n(nach Massnahmen)"]
```

## Das SBCF-Hierarchiemodell verstehen

Bevor Sie mit der Bewertung beginnen, ist es hilfreich, die Struktur des Frameworks zu verstehen:

```
L1 — Domain          (z.B. 🔷 DT: Digital & Technologie)
  L2 — Gruppe        (z.B. DT.CS: Cloud & Sicherheit)
    L3 — Fähigkeit   (z.B. DT.CS.IAM: Identitäts- & Zugriffsmanagement)
      L4 — Kontrollen (operative Prüfpunkte pro Fähigkeit)
```

**Was Sie bewerten:** Sie bewerten jede **L3-Fähigkeit** durch Beantwortung der zugehörigen Kontrollfragen (L4). Das Tool berechnet daraus automatisch den Reifegrad der Fähigkeit und aggregiert ihn zur Gruppen- und Domain-Bewertung.

## Control-Typen

Das Assessment verwendet zwei Typen von Kontrollen:

### Fragen-Kontrollen (Question Controls)

Sie wählen den aktuellen Reifegrad auf einer Skala von 0–5:

| Stufe | Bezeichnung | Typische Merkmale |
|-------|-------------|-------------------|
| **0** | Nicht vorhanden | Keine Aktivität, kein Bewusstsein |
| **1** | Initial | Einzelaktionen, stark personenabhängig, keine Dokumentation |
| **2** | Wiederholbar | Prozesse existieren, aber informal und inkonsistent umgesetzt |
| **3** | Definiert | Schriftlich dokumentiert, standardisiert, regelmässig angewendet |
| **4** | Gesteuert | Messbar mit KPIs, regelmässig überprüft, Abweichungen erkannt |
| **5** | Optimiert | Kontinuierliche Verbesserung etabliert, Best-Practice-Niveau |

> **Richtig bewerten:** Wählen Sie den Reifegrad, der *dauerhaft und verlässlich* erreicht wird — nicht den besten Einzelfall. Wenn eine Massnahme nur manchmal funktioniert, ist das Reifegrad 1–2, nicht 3.

### Technische Prüfungen (Technical Checks)

Für bestimmte Fähigkeiten (primär im Bereich Digital & Technologie) können technische Prüfungen integriert sein. Diese analysieren direkt Konfigurationen oder Systemzustände und liefern einen automatischen Score.

## Bewertungslogik und Scoring

### Score-Berechnung pro Fähigkeit

Der Score einer L3-Fähigkeit ergibt sich aus dem gewichteten Durchschnitt aller zugehörigen Kontrollen:

- Kontrollen mit höherer Kritikalität gehen stärker in den Score ein
- Technische Prüfungen und Fragen-Kontrollen werden kombiniert gewichtet

### Aggregation zur Domain

```
L4-Kontrollen → L3-Fähigkeit (gewichteter Ø)
L3-Fähigkeiten → L2-Gruppe (gewichteter Ø)
L2-Gruppen → L1-Domain (gewichteter Ø)
L1-Domains → Gesamtscore (branchengewichtet)
```

> **Branchengewichtung:** Für verschiedene Branchen und Unternehmenstypen haben unterschiedliche Domains unterschiedliche strategische Bedeutung. Ein Finanzdienstleister gewichtet RM höher als ein Handelsunternehmen. Das Tool berücksichtigt diese Gewichtung automatisch anhand Ihrer Branchenangabe.

## Capability-Abhängigkeiten

Das SBCF modelliert **29 Abhängigkeiten** zwischen Fähigkeiten. Diese zeigen Ihnen, in welcher Reihenfolge Sie Verbesserungen sinnvollerweise angehen sollten.

**Beispiel:** Bevor Sie *DT.CS.IRP (Incident Response)* verbessern können, brauchen Sie eine ausreichende Basis bei *DT.CS.VM (Schwachstellenmanagement)* — denn ohne Schwachstellenkenntnis ist Incident Response nicht effektiv (Typ: `prerequisite`).

Im Assessment-Tool sehen Sie diese Abhängigkeiten im **Capability-Detail-Panel** als Hinweis-Badges:
- 🔴 **Voraussetzung fehlt:** Eine erforderliche Basis-Fähigkeit ist unter Reifegrad 2
- 🟡 **Abhängigkeit vorhanden:** Eine ermöglichende Fähigkeit stärkt die Wirkung

## Kommentare und Nachweise

Nutzen Sie das **Kommentarfeld** bei jeder Kontrolle für:
- Belege und Nachweise (z.B. «ISO-Zertifikat vorhanden, Ref. #2024-027»)
- Hinweise auf laufende Projekte («Einführung SIEM geplant Q1/2027»)
- Unsicherheiten («Unklarheit ob Prozess tatsächlich gelebt wird»)

Kommentare sind nur für Ihre Organisation sichtbar (und den Provider, falls Review aktiviert).

## Mehrfach-Assessments und Re-Assessments

### Mehrere Assessment-Instanzen

Sie können mehrere parallele Assessments für verschiedene Organisationseinheiten führen (z.B. separate Bewertungen für verschiedene Geschäftsbereiche oder Tochtergesellschaften).

### Re-Assessment

Nach Abschluss von Massnahmen empfiehlt sich ein Re-Assessment:

1. Starten Sie ein **neues Assessment** (nicht das bestehende überschreiben)
2. Das System zeigt Ihnen den Fortschritt gegenüber dem Vorgänger-Assessment
3. Unterschiede in der Scorecard werden als Verbesserungen oder Rückschritte markiert

> **Empfehlung:** Mindestens **jährlich** ein vollständiges Re-Assessment, um Fortschritte messbar zu machen und den Massnahmenplan zu aktualisieren.

## Provider-Review (optional)

Bei aktiviertem Provider-Review-Modus werden Ihre Bewertungen von einem SwissMax-Experten überprüft und kommentiert. Der Ablauf:

```mermaid
sequenceDiagram
    participant K as Kunde
    participant S as SwissMax Provider
    K->>S: Assessment abschliessen (Status: "Zur Review")
    S->>S: Review & Kommentare
    S->>K: Freigabe oder Überarbeitungsanfrage
    K->>K: Anpassungen vornehmen
    K->>S: Erneut einreichen
    S->>K: Finale Freigabe (Scorecard wird freigeschaltet)
```

Die freigegebene Scorecard enthält die validierten Reifegrade und kann für externe Berichte und Compliance-Nachweise verwendet werden.

## Häufige Fragen zur Bewertung

**Muss ich alle 10 Domains bewerten?**
Nein — Sie können auch einzelne Domains separat bewerten. Für eine vollständige Scorecard und aussagekräftiges Benchmarking empfehlen wir jedoch alle 10 Domains zu bewerten. Nicht bewertete Fähigkeiten werden als Reifegrad 0 gewertet.

**Wie lange dauert ein vollständiges Assessment?**
Ein erstes vollständiges Assessment dauert ca. 60–90 Minuten. Re-Assessments sind oft schneller, da Sie Ihre Vorjahresbewertungen als Ausgangspunkt verwenden können.

**Können mehrere Personen gleichzeitig bewerten?**
Ja — mehrere Nutzer Ihrer Organisation können parallel an demselben Assessment arbeiten. Änderungen werden in Echtzeit synchronisiert.

**Was passiert bei Unklarheiten?**
Nutzen Sie das Kommentarfeld oder wählen Sie einen niedrigeren Reifegrad (im Zweifel ist eine konservative Einschätzung aussagekräftiger). Bei grosser Unsicherheit empfiehlt sich die Provider-Review-Option.