---
doc_key: at_sbcf_framework
title: "Swiss Business Capability Framework (SBCF) — Kunden-Leitfaden"
description: "Vollständiger Kunden-Leitfaden zum SBCF v1.2: 10 Domains, 41 Fähigkeitsbereiche, 105 Fähigkeiten (L3), Reifegradmodell, Benchmark und Massnahmenplanung."
audience: public
version: "1.0"
---

# SwissMax Business Capability Framework (SBCF)
## Kunden-Leitfaden v1.0

**Herausgeber:** SwissMax Cloud AG · assessment.swissmax.cloud  
**Framework-Version:** SBCF v1.2  
**Dokument-Version:** 1.2 · November 2026  
**Zielgruppe:** Kunden und Nutzer des Assessment Tools

> **Zugangsregelung (SBCF-GATE-01):** Das vollständige SBCF (L2/L3-Capabilities, Scores,
> Gap-Analyse, Benchmark, Trend) ist ausschliesslich für Kunden mit einem aktiven Assessment
> zugänglich. Ohne aktives Assessment sind nur die L1-Domains öffentlich einsehbar.
> Das SBCF ist Intellectual Property von SwissMax Cloud AG.

---

## Inhaltsverzeichnis

1. [Was ist das SBCF?](#1-was-ist-das-sbcf)
2. [Warum Capability-basierte Bewertung?](#2-warum-capability-basierte-bewertung)
3. [Die 10 Fähigkeits-Domains](#3-die-10-fähigkeits-domains)
4. [Das Reifegradmodell](#4-das-reifegradmodell)
5. [Benchmark & Branchenvergleich](#5-benchmark--branchenvergleich)
6. [Von der Bewertung zur Massnahme](#6-von-der-bewertung-zur-massnahme)
7. [Häufige Fragen](#7-häufige-fragen)
8. [Weiterführende Ressourcen](#8-weiterführende-ressourcen)

---

## 1. Was ist das SBCF?

Das **SwissMax Business Capability Framework (SBCF)** ist ein strukturiertes Referenzmodell zur systematischen Bewertung der unternehmerischen Handlungsfähigkeit. Es wurde entwickelt, um KMU und mittelgrosse Unternehmen in der Schweiz und der DACH-Region in die Lage zu versetzen, ihre Stärken und Entwicklungsfelder präzise zu identifizieren — ohne den Aufwand eines konventionellen Unternehmensberatungsprojekts.

### Positionierung

Das SBCF ist kein IT-Prüfkatalog und kein Compliance-Checklisten-Werkzeug. Es ist ein **strategisches Bewertungsmodell**, das Ihr Unternehmen als Ganzes in den Blick nimmt: von der digitalen Infrastruktur über Finanzen und Personal bis zu Nachhaltigkeit und Innovation.

Das Framework basiert auf dem Gedanken, dass nachhaltiger Geschäftserfolg nicht von einzelnen Projekten, sondern von dauerhaften **organisatorischen Fähigkeiten** abhängt. Eine Fähigkeit (englisch: *Capability*) ist dabei die Kombination aus Prozessen, Kompetenzen, Werkzeugen und Strukturen, die ein Unternehmen befähigt, einen bestimmten Bereich konsistent und reproduzierbar zu beherrschen.

### Nutzen auf einen Blick

| Nutzen | Beschreibung |
|---|---|
| **Gesamtbild in einer Stunde** | Strukturiertes Assessment über alle Unternehmensbereiche hinweg |
| **Priorisierte Handlungsfelder** | Automatische Gap-Analyse mit gewichteten Empfehlungen |
| **Branchenvergleich** | Benchmarking gegen Peers in Ihrer Branche und Unternehmensgrösse |
| **Standardkonformität** | Abgleich mit ISO 27001, NIS2, TOGAF, COBIT 2019 und NIST CSF 2.0 |
| **PDF-Bericht** | Professioneller Ergebnisbericht für Geschäftsleitung und Board |
| **Massnahmenplan** | Konsolidierter Plan mit priorisierten Massnahmen und Fortschritts-Tracking |

### Framework-Architektur

Das SBCF ist in vier hierarchische Ebenen gegliedert:

- **L1 — Domains:** 10 strategische Geschäftsbereiche (z. B. *Digital & Technologie*, *Finanzen & Controlling*)
- **L2 — Fähigkeitsbereiche:** 41 Fähigkeitsbereiche innerhalb der Domains (z. B. *Cloud & Sicherheit*, *FinOps*)
- **L3 — Fähigkeiten:** 105 konkrete Einzelfähigkeiten mit Bewertungskriterien (z. B. *Identitäts- & Zugriffsmanagement*, *CO2-Messung & Net Zero*, *Customer Journey Mapping*). Jede L2 hat mindestens zwei L3-Kinder — kein L2 bleibt ohne verfeinerte Fähigkeiten. **Controls werden ausschliesslich auf L3 gemappt** — L1 und L2 aggregieren die L3-Ergebnisse (Rollup).
- **L4 — Kontrollen:** Operative Prüfpunkte für das Assessment (technisch, prozessual, organisatorisch). Jedes Control ist genau einer L3-Fähigkeit zugeordnet (via `control_capability_map`). L4 = Controls im Sinne der `assessment_controls`-Tabelle; keine zusätzlichen Sub-Fähigkeiten unter L3.

> **Hinweis zu den Coverage-Zahlen (z. B. „1/1 abgedeckt" auf der Capability Map):** Da Controls ausschliesslich auf L3 gemappt sind, aggregieren L2- und L1-Knoten die Controls ihrer L3-Nachfahren per **dedupliziertem Union-Set** — ein Control, das zwei L3-Geschwister trifft, zählt am gemeinsamen L2-Elter genau einmal, nicht doppelt. Die Zahl auf L1/L2 entspricht also der Anzahl *unterschiedlicher* Controls im Teilbaum, nicht der Summe der L3-Zahlen.

```mermaid
graph TD
    SBCF["SBCF v1.2<br/>SwissMax Business Capability Framework"]

    SBCF --> DT["🔷 DT — Digital & Technologie<br/>5 Gruppen · 25 Fähigkeiten"]
    SBCF --> OP["⚙️ OP — Operations & Prozesse<br/>4 Gruppen · 5 Fähigkeiten"]
    SBCF --> FI["💰 FI — Finanzen & Controlling<br/>4 Gruppen · 4 Fähigkeiten"]
    SBCF --> HR["👥 HR — Personal & Organisation<br/>4 Gruppen · 4 Fähigkeiten"]
    SBCF --> MK["📣 MK — Marketing & Vertrieb<br/>4 Gruppen"]
    SBCF --> CX["🤝 CX — Kunden & Erfahrung<br/>4 Gruppen · 2 Fähigkeiten"]
    SBCF --> RM["🛡️ RM — Risiko & Compliance<br/>4 Gruppen · 6 Fähigkeiten"]
    SBCF --> IN["💡 IN — Innovation & Strategie<br/>4 Gruppen · 2 Fähigkeiten"]
    SBCF --> SC["🔗 SC — Lieferkette & Beschaffung<br/>4 Gruppen · 2 Fähigkeiten"]
    SBCF --> SU["🌱 SU — Nachhaltigkeit & ESG<br/>4 Gruppen · 5 Fähigkeiten"]

    DT --> DT1["DT.CS — Cloud & Sicherheit"]
    DT --> DT2["DT.DA — Daten & Analytics"]
    DT --> DT3["DT.SA — Software & Architektur"]
    DT --> DT4["DT.IT — IT-Infrastruktur & Betrieb"]
    DT --> DT5["DT.AI — KI & Automatisierung"]

    MK --> MK1["MK.BR — Brand & Content"]
    MK --> MK2["MK.DM — Digital Marketing & SEO"]
    MK --> MK3["MK.SE — Sales Enablement & CRM"]
    MK --> MK4["MK.PM — Produktmarketing"]

    RM --> RM1["RM.GR — Governance & Regulatorik"]
    RM --> RM2["RM.CR — Cyber Risk Management"]
    RM --> RM3["RM.BC — Business Continuity"]
    RM --> RM4["RM.AU — Audit & Interne Kontrollen"]
```

Das Framework ist öffentlich einsehbar unter **assessment.swissmax.cloud/framework** — ohne Anmeldung.

---

## 2. Warum Capability-basierte Bewertung?

### Die Grenzen klassischer Ansätze

Viele Unternehmen bewerten ihre Stärken und Schwächen anhand von Projekten, Zertifikaten oder Budgets: *"Wir haben ein ISO-27001-Zertifikat, also sind wir sicher."* Oder: *"Wir haben eine neue ERP-Plattform eingeführt, also sind unsere Prozesse digital."*

Diese Sichtweise greift zu kurz. Projekte enden — Fähigkeiten bestehen oder fehlen unabhängig davon. Ein Zertifikat bescheinigt, dass bestimmte Anforderungen zu einem Zeitpunkt erfüllt waren; es sagt wenig darüber aus, ob das Unternehmen die zugrundeliegenden Fähigkeiten dauerhaft beherrscht.

### Der strategische Mehrwert des Capability-Ansatzes

**1. Kontinuität statt Momentaufnahme**  
Eine Capability ist eine strukturelle Eigenschaft Ihres Unternehmens. Das SBCF fragt nicht: *"Haben Sie Projekt X abgeschlossen?"*, sondern: *"Sind Sie in der Lage, Y dauerhaft und reproduzierbar zu tun?"*

**2. Domänenübergreifendes Bild**  
Isolierte Audits (Sicherheits-Audit, Finanzprüfung, HR-Bewertung) liefern Siloergebnisse. Das SBCF zeigt das Zusammenspiel der Domains: Eine schwache HR-Fähigkeit kann die Wirkung einer starken Digital-Investition begrenzen. Ein strukturelles Risikomanagement-Defizit untergräbt die Compliance-Bemühungen.

**3. Priorisierungsfähigkeit**  
Durch die Verknüpfung von Ist-Reifegrad, Soll-Reifegrad und strategischer Gewichtung ergibt sich automatisch eine priorisierte Liste von Handlungsfeldern — statt einer endlosen Liste gleichwertiger Massnahmen.

**4. Gemeinsame Sprache**  
Das SBCF schafft eine gemeinsame Sprache zwischen Geschäftsführung, IT, HR und Fachbereichen. *"Unser DT.CS-Reifegrad ist 2, Ziel ist 4"* ist ein präziseres Kommunikationsmittel als *"Wir müssen unsere Sicherheit verbessern"*.

**5. Vergleichbarkeit über die Zeit**  
Wiederholte Assessments — zum Beispiel jährlich oder nach Abschluss eines Transformationsprojekts — machen Fortschritte messbar und kommunizierbar.

> **Fazit:** Capability-basierte Bewertung ist nicht ein weiteres Audit-Instrument. Es ist ein strategisches Steuerungsmittel, das Ihnen hilft, Ressourcen dort einzusetzen, wo sie die grösste Hebelwirkung haben.

---

## 3. Die 10 Fähigkeits-Domains

Das SBCF umfasst zehn strategische Domains (L1), die gemeinsam alle wesentlichen Unternehmensfähigkeiten abdecken. Jede Domain enthält 3–5 L2-Fähigkeitsbereiche sowie konkrete L3-Einzelfähigkeiten.

---

### 🔷 DT — Digital & Technologie

**Strategische Bedeutung:** Die Grundlage jeder digitalen Transformation. Diese Domain bewertet, wie gut Ihr Unternehmen digitale Technologien als strategische Ressource nutzt, steuert und weiterentwickelt. Sie ist für Unternehmen jeder Branche und Grösse ein Kernreifegradbereich.

**Beschreibung:** Digital & Technologie verbindet Cloud-Infrastruktur, Datenwirtschaft, Softwareentwicklung, KI-Einsatz und IT-Betrieb zu einem kohärenten Technologie-Capability-Set. Unternehmen mit hoher Reife in dieser Domain können technologische Veränderungen antizipieren, sicher agieren und Innovationen gezielt umsetzen.

**L2-Fähigkeitsbereiche:**
- **DT.CS — Cloud & Sicherheit:** Schutz digitaler Assets, Cloud-Governance, Identitäts- und Zugriffsmanagement, Schwachstellenmanagement
- **DT.DA — Daten & Analytics:** Data Governance, Datenqualität, Business Intelligence, ML & Predictive Analytics, Datenplattform
- **DT.SA — Software & Architektur:** Anwendungsarchitektur, API & Integration, DevOps & CI/CD, Software-Qualität, Lifecycle Management
- **DT.IT — IT-Infrastruktur:** Cloud Management, Endpoint & Device Management, Netzwerk, Backup & Recovery, ITSM
- **DT.AI — KI & Automatisierung:** KI Governance & Ethik, MLOps, Prozessautomatisierung (RPA/BPA), Generative AI

**Referenz-Frameworks:** TOGAF 10, NIST CSF 2.0, ISO/IEC 27001:2022, COBIT 2019

---

### ⚙️ OP — Operations & Prozesse

**Strategische Bedeutung:** Operative Exzellenz ist die Voraussetzung für Skalierbarkeit und Kostendisziplin. Diese Domain bewertet die Fähigkeit Ihres Unternehmens, Geschäftsprozesse systematisch zu gestalten, zu steuern und kontinuierlich zu verbessern.

**Beschreibung:** Operations & Prozesse deckt Prozessmanagement, Qualitätssicherung, Facility- und Asset-Management sowie Produktions- und Liefersteuerung ab. Reife in dieser Domain ist eng mit operativer Effizienz, Lean-Management und der Fähigkeit zur Skalierung verknüpft. Unternehmen, die hier stark sind, reagieren schneller auf Marktveränderungen und produzieren konsistentere Qualität.

**L2-Fähigkeitsbereiche:**
- **OP.PM — Prozessmanagement:** Prozessdesign & Dokumentation, Prozessautomatisierung, kontinuierliche Verbesserung (Lean/CI)
- **OP.QM — Qualitätsmanagement:** Qualitätssicherung & Zertifizierung, KPIs & Performance-Messung
- **OP.FA — Facility & Asset Management:** Verwaltung physischer Ressourcen, Betriebsbereitschaft
- **OP.PR — Produktion & Lieferung:** Steuerung von Leistungserbringung und Lieferzyklen

**Referenz-Frameworks:** ISO 9001:2015, BIZBOK §3 Operations Domain, Lean/Six Sigma

---

### 💰 FI — Finanzen & Controlling

**Strategische Bedeutung:** Finanzielle Steuerungsfähigkeit ist das Rückgrat unternehmerischer Entscheidungen. Diese Domain bewertet, ob Ihr Unternehmen Finanzdaten verlässlich erfasst, plant und für strategische Entscheidungen nutzt — einschliesslich der Steuerung von Cloud-Kosten.

**Beschreibung:** Die FI-Domain deckt Buchführung, Budgetierung, Treasury, Controlling und das Management von Cloud-Kosten (FinOps) ab. Eine starke Finanz-Capability-Basis ermöglicht fundierte Investitionsentscheidungen, regulatorische Compliance und nachhaltiges Wachstum. Besonders für skalierendes Cloud-Computing ist FinOps eine eigenständige Kernfähigkeit geworden.

**L2-Fähigkeitsbereiche:**
- **FI.AC — Accounting & Reporting:** Finanzbuchhaltung, gesetzliches Berichtswesen, Konsolidierung
- **FI.CO — Controlling & Budgetierung:** Management Accounting, Kostenstellenrechnung, Budget-Prozesse
- **FI.FO — FinOps / Cloud Financial Management:** Cloud Cost Visibility, Cost Optimization & Rightsizing, FinOps Governance, Budget Forecasting
- **FI.TR — Treasury & Liquidität:** Cashflow-Management, Finanzierungsstruktur, Währungsrisiken

**Referenz-Frameworks:** FinOps Foundation Capability Framework (2023), BIZBOK §3 Finance Domain, COSO ERM

---

### 👥 HR — Human Capital & Organisation

**Strategische Bedeutung:** Menschen sind der entscheidende Faktor jeder Transformation. Diese Domain bewertet, wie systematisch Ihr Unternehmen Talente gewinnt, entwickelt, hält und strategisch einsetzt.

**Beschreibung:** Human Capital & Organisation deckt den gesamten Mitarbeiterlebenszyklus ab — von Recruiting und Onboarding über Leistungsmanagement bis zu Workforce Analytics und Wissensmanagement. Eine ausgeprägte HR-Capability ist entscheidend für die Umsetzung von Transformationsprogrammen, die Unternehmenskultur und die organisatorische Resilienz.

**L2-Fähigkeitsbereiche:**
- **HR.TM — Talent Acquisition & Retention:** Recruiting & Employer Branding, Onboarding & Offboarding
- **HR.PD — Performance & Entwicklung:** OKR / Zielsysteme, Learning & Development
- **HR.WF — Workforce Planning & Analytics:** Kapazitätsplanung, Personalbedarfsprognose
- **HR.KM — Wissensmanagement & Learning:** Wissenstransfer, Kompetenzentwicklung, organisationales Lernen

**Referenz-Frameworks:** BIZBOK §3 Human Capital Management, SHRM Competency Model

---

### 📣 MK — Marketing & Sales

**Strategische Bedeutung:** Marktbearbeitung und Markenführung sind strategische Fähigkeiten, die direkt auf Umsatz und Marktposition einzahlen. Diese Domain bewertet die Systematik und Reife Ihrer Go-to-Market-Fähigkeiten.

**Beschreibung:** Marketing & Sales verbindet Content-Strategie, Performance-Marketing, CRM und Produktpositionierung zu einem integrierten Capability-Set. Reife in dieser Domain korreliert mit Marktanteilswachstum, niedrigeren Kundenakquisitionskosten und einer klar differenzierten Markenidentität. Sie ist besonders relevant für wachstumsorientierte KMU und B2B-Anbieter.

**L2-Fähigkeitsbereiche:**

- **MK.BR — Brand & Content Management:** Markenführung, Content-Strategie, Corporate Identity, Redaktionsplanung
- **MK.DM — Digital Marketing & SEO:** Online-Reichweite, SEO, Performance-Marketing (SEA/Social), Marketing-Automation
- **MK.SE — Sales Enablement & CRM:** CRM-Management, Sales-Playbooks, Lead Management, Pipeline-Steuerung
- **MK.PM — Produktmarketing & Positioning:** Wettbewerbspositionierung, Messaging, Pricing-Strategie, Go-to-Market-Planung

**Referenz-Frameworks:** BIZBOK §3 Marketing & Sales Domain, AMA Brand Management Framework, Salesforce CRM Maturity Model, Pragmatic Institute

---

### 🤝 CX — Customer & Experience

**Strategische Bedeutung:** Kundenerfahrung ist ein messbarer Wettbewerbsvorteil. Diese Domain bewertet, wie systematisch Ihr Unternehmen alle Kundenkontaktpunkte gestaltet, misst und verbessert.

**Beschreibung:** Customer Experience umfasst Service-Management, Loyalitätsprogramme, Kundenfeedback-Systeme und die systemische Steuerung der Customer Journey. Unternehmen mit hoher CX-Reife erzielen messbar höhere Net Promoter Scores, Kundenbindungsraten und Customer Lifetime Values. Die Domain verbindet daten- und prozessgetriebene Ansätze mit konsequenter Kundenperspektive.

**L2-Fähigkeitsbereiche:**

- **CX.CS — Customer Service & Support:** SLA & Response-Management, Eskalation & Issue Resolution
- **CX.LX — Loyalty & Customer Lifetime Value:** Loyalitätsprogramme, Churn-Analyse, Retention-Strategie, CLV-Messung
- **CX.VX — Voice of Customer & Feedback:** Umfrage-Management, Social-Listening, Customer-Insight-Programme
- **CX.JM — Customer Journey Management:** Journey Mapping, Omni-Channel-Design, personalisierte CX-Orchestrierung

**Referenz-Frameworks:** BIZBOK §3 Customer Experience, Forrester CX Index Methodology, CXPA CX Framework, Medallia/Qualtrics XM

---

### 🛡️ RM — Risk & Compliance

**Strategische Bedeutung:** In einer zunehmend regulierten Geschäftswelt ist strukturiertes Risikomanagement keine Option, sondern eine Pflicht. Diese Domain bewertet die Gesamtheit Ihrer Governance-, Risiko- und Compliance-Fähigkeiten.

**Beschreibung:** Risk & Compliance umfasst Governance & Regulatorik, Cyber-Risk-Management, Business Continuity und interne Revision. Reife in dieser Domain zeigt sich in der Fähigkeit, Risiken proaktiv zu identifizieren, zu bewerten und zu steuern — statt reaktiv auf Vorfälle zu reagieren. Besonders NIS2 und DSGVO stellen konkrete Anforderungen, die direkt auf L3-Fähigkeiten dieser Domain abbilden.

**L2-Fähigkeitsbereiche:**

- **RM.GR — Governance & Regulatorik:** Datenschutz & DSGVO (DPIA, revDSG), regulatorische Compliance (ISO 27001, NIS2, FINMA), Policy Management
- **RM.CR — Cyber Risk Management:** Cyber Risk Assessment & Scoring (CVSS/STRIDE), Threat Intelligence & Monitoring (MITRE ATT&CK), Incident Response & Forensics
- **RM.BC — Business Continuity & Resilience:** Business Impact Analysis (BIA), Notfallplanung, Krisenmanagement, Recovery-Tests
- **RM.AU — Audit & Interne Kontrollen:** Interne Revision, SOC 2 Reporting, Kontrollrahmen (COSO), Auditfähigkeit

**Referenz-Frameworks:** ISO/IEC 27001:2022, NIS2-Richtlinie (EU 2022/2555), COBIT 2019, NIST CSF 2.0, COSO ERM 2017, ISO 22301:2019, IIA International Standards

---

### 💡 IN — Innovation & Strategie

**Strategische Bedeutung:** Langfristige Wettbewerbsfähigkeit erfordert die Fähigkeit zur strategischen Erneuerung. Diese Domain bewertet, wie gut Ihr Unternehmen Strategie entwickelt, Innovation systematisch betreibt und Transformationsprojekte steuert.

**Beschreibung:** Innovation & Strategie deckt Unternehmensstrategie, Innovationsmanagement, Ecosystem-Partnerschaften und digitale Transformation ab. Besonders für KMU ist die Fähigkeit, Strategie konsequent in Portfolioentscheide umzusetzen und Veränderungen über Change Management zu verankern, ein kritischer Differenzierungsfaktor.

**L2-Fähigkeitsbereiche:**
- **IN.ST — Strategie & Roadmap:** Vision & Portfolio-Entscheide, Strategieprozess, OKR-Verknüpfung
- **IN.RD — F&E & Innovation Management:** Ideation, Innovationspipeline, Time-to-Market
- **IN.EP — Ökosystem & Partnerschaften:** Strategische Allianzen, Partner-Ökosystem, Co-Innovation
- **IN.DT — Digitale Transformation:** Change Management & Adoption, Transformation-Governance

**Referenz-Frameworks:** TOGAF 10 Business Architecture, BIZBOK §3 Innovation Domain

---

### 🔗 SC — Supply Chain & Einkauf

**Strategische Bedeutung:** Lieferkettenstabilität und Beschaffungseffizienz sind in volatilen Märkten entscheidende Resilienzfaktoren. Diese Domain bewertet die Reife Ihrer end-to-end Supply-Chain-Fähigkeiten.

**Beschreibung:** Supply Chain & Einkauf deckt Beschaffung, Logistik, Lager- und Bestandsmanagement sowie den Lieferanten-Lifecycle ab. Unternehmen mit hoher Reife können Lieferantenrisiken frühzeitig erkennen, Kosten durch strategischen Einkauf senken und die Versorgungssicherheit auch unter widrigen Bedingungen gewährleisten.

**L2-Fähigkeitsbereiche:**
- **SC.PR — Beschaffung & Einkauf:** Lieferantenqualifizierung, strategischer Einkauf, Ausschreibungsprozesse
- **SC.LG — Logistik & Distribution:** Transport, Fulfillment, Lieferzuverlässigkeit
- **SC.WH — Lager & Bestandsmanagement:** Inventory Optimization, Lagerverwaltung
- **SC.SL — Lieferanten-Lifecycle:** Lieferantenrisiko & Resilienz, Lieferantenentwicklung, Vertragsmanagement

**Referenz-Frameworks:** BIZBOK §3 Supply Chain Domain, ISO 28000 Supply Chain Security

---

### 🌱 SU — Nachhaltigkeit & ESG

**Strategische Bedeutung:** ESG-Fähigkeiten werden zunehmend zur Voraussetzung für Marktaccess, Finanzierung und regulatorische Compliance. Diese Domain bewertet, wie systematisch Ihr Unternehmen Nachhaltigkeit in Strategie, Betrieb und Berichterstattung verankert.

**Beschreibung:** Nachhaltigkeit & ESG deckt Umwelt- und Klimastrategie, soziale Verantwortung, ESG-Governance und standardisiertes Nachhaltigkeitsreporting (GRI, CSRD) ab. Für Unternehmen, die in regulierten Branchen tätig sind oder Finanzierungen aufnehmen, ist eine strukturierte ESG-Capability keine Kür mehr, sondern eine Pflicht.

**L2-Fähigkeitsbereiche:**
- **SU.EN — Umwelt & Klimastrategie:** CO2-Messung & Net Zero, Energieeffizienz & erneuerbare Energien
- **SU.SO — Soziale Verantwortung:** Diversität & Inklusion, Community Engagement
- **SU.GV — ESG Governance & Strategie:** Corporate Sustainability Strategie, ESG-Steuerungsgremien
- **SU.RP — ESG Reporting & Transparenz:** GRI / CSRD Berichterstattung, Datenqualität im ESG-Reporting

**Referenz-Frameworks:** GRI Universal Standards 2021, EU CSRD (2022/2464), TCFD, EU-Taxonomie

---

## 4. Das Reifegradmodell

Das SBCF verwendet ein fünfstufiges Reifegradmodell (1–5), das sich an etablierten Capability-Maturity-Modellen orientiert. Jede Stufe beschreibt nicht nur einen Zustand, sondern auch die typischen Merkmale und die erforderlichen Voraussetzungen für den nächsten Schritt.

### Reifegradstufen

| Stufe | Bezeichnung | Charakteristik | Typische Merkmale |
|---|---|---|---|
| **1** | **Initial** | Fähigkeit existiert kaum oder nur informell | Keine definierten Prozesse; Erfolge hängen von Einzelpersonen ab; reaktives Handeln dominiert; keine Dokumentation |
| **2** | **Wiederholt** | Grundlegende Aktivitäten vorhanden, aber nicht systematisch | Gelegentlich erfolgreiche Ausführung; erste Prozessbeschreibungen; Abhängigkeit von implizitem Wissen; keine einheitlichen Standards |
| **3** | **Definiert** | Fähigkeit ist beschrieben, standardisiert und trainiert | Dokumentierte Prozesse und Verantwortlichkeiten; regelmässige Ausführung; erste Messgrössen; funktioniert auch ohne Schlüsselpersonen |
| **4** | **Gemanagt** | Fähigkeit wird gemessen, gesteuert und laufend verbessert | Quantitative KPIs; kontinuierliches Monitoring; proaktive Optimierung; Entscheidungen basieren auf Daten; gut in Unternehmensstruktur verankert |
| **5** | **Optimiert** | Fähigkeit ist selbstverstärkend und Quelle strategischer Differenzierung | Best-in-Class-Benchmarks; Innovation aus der Fähigkeit heraus; Wissensweitergabe nach aussen (Communities, Standards); höchste Automatisierungsgrade |

```mermaid
graph LR
    L1["🔴 1\nInitial\nInformell"] --> L2["🟠 2\nWiederholt\nGrundlegend"]
    L2 --> L3["🟡 3\nDefiniert\nStandardisiert"]
    L3 --> L4["🟢 4\nGemanagt\nMessbar"]
    L4 --> L5["🏆 5\nOptimiert\nBest Practice"]
```

> **Praxishinweis:** Reifegrad 3 ist das Fundament. Erst wenn eine Fähigkeit dauerhaft dokumentiert, zugewiesen und reproduzierbar ist, lohnt sich die Investition in Reifegrad 4 (Messung). Direkt von 1 auf 4 zu springen führt fast immer zu instabilen Ergebnissen.

### Illustration: Reifegradpfad am Beispiel DT.CS (Cloud & Sicherheit)

| Stufe | Wie sieht das konkret aus? |
|---|---|
| 1 | Keine definierten Sicherheitsrichtlinien; Passwörter werden geteilt; kein Incident-Prozess |
| 2 | Basisregeln für Passwörter und Zugänge vorhanden; gelegentliche Sicherheitsupdates; kein systematisches Monitoring |
| 3 | Dokumentierte Security-Policy; MFA eingeführt; Verantwortlichkeit für Sicherheit klar zugewiesen; regelmässige Patches |
| 4 | Automatisiertes Vulnerability-Scanning; Security-KPIs im Management-Reporting; jährliche Penetrationstests; SIEM im Einsatz |
| 5 | Zero-Trust-Architektur; KI-gestütztes Threat Detection; aktive Teilnahme an Threat-Intelligence-Communities; proaktive Anpassung an neue Bedrohungslagen |

### Sollreife vs. Ist-Reife

Das Assessment erhebt immer **zwei Werte**:

1. **Ist-Reifegrad:** Wie ausgeprägt ist die Fähigkeit heute?
2. **Soll-Reifegrad:** Welche Stufe ist für Ihren Unternehmenskontext strategisch sinnvoll?

Der Soll-Reifegrad ist kontextabhängig. Ein KMU ohne regulatorische Pflichten muss in RM.AU nicht Stufe 5 erreichen. Ein Finanzdienstleister muss es. Das SBCF berücksichtigt dies durch branchenspezifische Gewichtungen (siehe §5).

> **Hinweis:** Ein Soll-Reifegrad von 5 ist in den meisten Domains für KMU und Mid-Market-Unternehmen weder realistisch noch sinnvoll. Stufe 3 bis 4 entspricht für die meisten L2-Bereiche einem soliden, strategisch tragfähigen Zielniveau.

---

## 5. Benchmark & Branchenvergleich

### Wie funktioniert das Benchmarking?

Nach Abschluss eines Assessments vergleicht das SBCF Ihre Ergebnisse automatisch mit zwei Referenzgrössen:

1. **Peer-Benchmark:** Anonymisierter Vergleich mit anderen Unternehmen ähnlicher Grösse und Branche, die denselben Bereich bewertet haben
2. **Framework-Benchmark:** Abgleich Ihres Reifegrads mit den Mindestanforderungen referenzierter Standards (ISO 27001, NIS2, NIST CSF 2.0)

Der Benchmark wird für jede L2-Fähigkeit separat berechnet und im Dashboard als Abweichung (+/−) angezeigt.

### Referenzierte Standards pro Domain

Das SBCF bildet seine L3-Kontrollen direkt auf die Anforderungen anerkannter Frameworks ab. Die folgende Tabelle zeigt die primären Referenz-Frameworks je Domain:

| Domain | Primäre Referenz-Frameworks |
|---|---|
| DT — Digital & Technologie | TOGAF 10, NIST CSF 2.0, ISO/IEC 27001:2022, COBIT 2019 |
| OP — Operations & Prozesse | ISO 9001:2015, BIZBOK, Lean/Six Sigma |
| FI — Finanzen & Controlling | FinOps Foundation Framework, COSO ERM 2017 |
| HR — Human Capital | BIZBOK, SHRM Competency Model |
| CX — Customer Experience | BIZBOK, Forrester CX Index |
| RM — Risk Management | ISO 27001:2022, NIS2 (EU 2022/2555), COBIT 2019, NIST CSF 2.0, COSO ERM |
| MK — Marketing & Sales | BIZBOK |
| IN — Innovation & Strategie | TOGAF 10, BIZBOK |
| SC — Supply Chain | BIZBOK, ISO 28000 |
| SU — Nachhaltigkeit & ESG | GRI Universal Standards 2021, EU CSRD (2022/2464), TCFD |

### NIS2-Alignment (Cyber-Fähigkeiten)

Für Unternehmen, die unter die NIS2-Richtlinie fallen, stellt das SBCF eine dedizierte NIS2-Compliance-Ansicht bereit. Sie zeigt für jede NIS2-Anforderungsgruppe, welche SBCF-L3-Fähigkeit dieser zugeordnet ist und wie Ihr aktueller Reifegrad zur NIS2-Mindestanforderung (i.d.R. Stufe 3) steht.

Die primär relevanten Domains für NIS2-Alignment sind:
- **DT.CS** — Cloud & Sicherheit (alle sechs L3-Bereiche direkt relevant)
- **RM.GR** — Governance & Regulatorik (RM.GR.RC)
- **RM.CR** — Cyber Risk Management (alle drei L3-Bereiche direkt relevant)
- **RM.BC** — Business Continuity & Resilience
- **OP.PM** — Prozessmanagement (Incident-Prozesse)

### ISO 27001:2022-Alignment

Das SBCF bildet die Kontrolldomänen der ISO 27001:2022 (Annex A) auf L3-Fähigkeiten ab. Damit können Sie erkennen, in welchen Bereichen Ihre Ist-Reife bereits ISO-27001-konform ist und wo noch Lücken bestehen — unabhängig davon, ob Sie eine Zertifizierung anstreben oder nicht.

### Branchenspezifische Gewichtungen

Nicht alle Domains sind für alle Branchen gleich wichtig. Das SBCF verwendet **industry_weight_config** — branchenspezifische Gewichtungskonfigurationen — die beeinflussen, wie einzelne L2-Fähigkeiten in den Gesamtscore einfliessen. Folgende Branchenkonfigurationen sind vordefiniert:

| Branche | Primär gewichtete Domains |
|---|---|
| Finanzdienstleistungen & Versicherungen | RM, DT.CS, FI, DT.DA |
| IT & Software | DT, IN, OP |
| Industrie & Produktion | OP, SC, SU |
| Gesundheitswesen | RM, DT.CS, OP |
| Öffentliche Verwaltung | RM, DT, OP |
| Handel & E-Commerce | CX, MK, SC |
| Allgemein (KMU ohne spezifische Branche) | Gleichgewichtung aller Domains |

---

## 6. Von der Bewertung zur Massnahme

Das Assessment ist kein Endpunkt — es ist der Startpunkt eines strukturierten Verbesserungsprozesses. Das SBCF Assessment Tool unterstützt Sie dabei über vier Stufen.

```mermaid
flowchart LR
    A["🔍 1 — Assessment\nFähigkeiten bewerten\n45–90 Min."] --> B["📊 2 — Gap-Analyse\nLücken identifizieren\n& priorisieren"]
    B --> C["📋 3 — Massnahmenplan\nMassnahmen zuweisen\n& terminieren"]
    C --> D["📈 4 — Fortschritt\nUmsetzen, messen\n& neu bewerten"]
    D --> A
```

### Stufe 1: Assessment durchführen

Sie bewerten jede L3-Fähigkeit auf einer Skala von 1 bis 5 (Ist-Reifegrad). Für jede Fähigkeit können Sie optional einen Soll-Reifegrad definieren oder den von uns vorgeschlagenen Soll-Wert übernehmen. Das Assessment enthält für jede Kontrolle eine kurze Erläuterung und Beispiele, die die Bewertung erleichtern.

**Dauer:** Ein vollständiges Assessment über alle 10 Domains dauert typischerweise 45–90 Minuten. Einzelne Domains (z. B. nur DT oder nur RM) können in 15–30 Minuten bewertet werden.

### Stufe 2: Gap-Analyse & Priorisierung

Nach Einreichung des Assessments berechnet das System automatisch:

- **Gap-Score** pro L3-Fähigkeit: Differenz zwischen Ist- und Soll-Reifegrad
- **Gewichteter Gap-Score**: Berücksichtigt strategische Priorität und Branchengewichtung
- **Priorisierungsrang**: Sortiert alle Lücken nach ihrem kombinierten Impact-Score

Im Dashboard sehen Sie die **Top-Handlungsfelder** sofort als priorisierte Liste. Das Radar-Chart zeigt auf einen Blick, welche Domains Ihre stärksten und schwächsten Bereiche sind.

### Stufe 3: Massnahmenplan erstellen

Für jeden identifizierten Gap können Sie direkt im Tool eine oder mehrere Massnahmen anlegen:

| Feld | Beschreibung |
|---|---|
| **Titel** | Kurze Bezeichnung der Massnahme |
| **Verantwortlich** | Zuständige Person oder Team |
| **Priorität** | Hoch / Mittel / Niedrig |
| **Fälligkeitsdatum** | Geplanter Abschluss |
| **Status** | Offen / In Bearbeitung / Abgeschlossen |
| **Notizen** | Freitext für Details, Links, Entscheide |

Massnahmen sind direkt mit der jeweiligen L3-Fähigkeit verknüpft und erscheinen im Massnahmenplan-Report.

### Stufe 4: Fortschritt verfolgen und neu bewerten

Das Assessment Tool bietet:

- **Massnahmen-Tracking Dashboard:** Überblick über alle offenen und abgeschlossenen Massnahmen, inkl. Fortschrittsbalken pro Domain
- **Vergleichsansicht:** Direkte Gegenüberstellung von zwei Assessments aus verschiedenen Zeitpunkten (Score-Delta je Fähigkeit)
- **Score-Verlauf:** Grafische Darstellung des Reifegradfortschritts über alle Assessments hinweg

### PDF-Bericht

Das Tool generiert auf Knopfdruck einen professionellen PDF-Bericht, der folgende Abschnitte enthält:

1. **Executive Summary** — Gesamtscore, Stärken, Top-3-Handlungsfelder
2. **Domain-Übersicht** — Radar-Chart + Score-Tabelle aller 10 Domains
3. **Detailergebnisse** — Ist/Soll-Vergleich für jede bewertete L2/L3-Fähigkeit
4. **Benchmark-Abgleich** — Positionierung gegenüber Peer-Gruppe und Framework-Mindestanforderungen
5. **Massnahmenplan** — Alle erfassten Massnahmen nach Priorität geordnet

Der Bericht eignet sich für die Präsentation vor Geschäftsführung, Board oder externen Stakeholdern.

---

## 7. Häufige Fragen

**F1: Müssen wir alle 10 Domains bewerten, oder können wir nur einzelne auswählen?**

Sie können gezielt einzelne Domains oder sogar einzelne L2-Bereiche bewerten. Ein Teil-Assessment liefert gültige Ergebnisse für die bewerteten Bereiche. Für einen vollständigen Unternehmensüberblick empfehlen wir jedoch die Bewertung aller 10 Domains — insbesondere für die erste Bestandsaufnahme. Der Zeitaufwand lässt sich durch Delegation auf Fachbereichsverantwortliche erheblich reduzieren.

---

**F2: Wie oft sollten wir das Assessment wiederholen?**

Wir empfehlen **einmal jährlich** als Minimum sowie zusätzlich nach grösseren Transformationsprojekten, Akquisitionen, Regulierungsänderungen oder strategischen Weichenstellungen. Das Tool ermöglicht unbegrenzte Wiederholungen innerhalb Ihres Abonnements, sodass Sie auch kürzere Bewertungsintervalle für spezifische Domains einführen können.

---

**F3: Wer sollte das Assessment ausfüllen — IT, Geschäftsführung oder Fachbereiche?**

Am wertvollsten ist ein Assessment, das von mehreren Perspektiven getragen wird. Empfohlenes Vorgehen: Die **Geschäftsführung oder Strategieverantwortliche** befüllen IN, RM und FI; **Fachbereichsleiter** bewerten OP, HR, CX, MK, SC, SU; **IT-Verantwortliche oder CTO** übernehmen DT. Das Tool unterstützt die kollaborative Bearbeitung im Team.

---

**F4: Was bedeutet ein Gesamtscore von, sagen wir, 52/100?**

Der Gesamtscore ist ein gewichteter Durchschnitt der Ist-Reifegrade über alle bewerteten Fähigkeiten, normiert auf 100. Ein Score von 52 entspricht einem durchschnittlichen Ist-Reifegrad von ~2,6 — also zwischen "Wiederholt" und "Definiert". Das ist für viele KMU und Mid-Market-Unternehmen bei der ersten Bestandsaufnahme ein realistischer Ausgangspunkt. Der Score allein ist weniger aussagekräftig als die Verteilung: Welche Domains sind unter 2? Wo liegt der grösste Gap zum Soll?

---

**F5: Ist das SBCF auf Schweizer oder DACH-Unternehmen beschränkt?**

Das Framework wurde primär für Unternehmen im DACH-Raum entwickelt und berücksichtigt entsprechende Regulierungsanforderungen (DSGVO, NIS2, FINMA-Rundschreiben, GRI-CSRD). Es ist jedoch in Konzept und Aufbau universell anwendbar. Die L3-Fähigkeiten und Reifegradkriterien sind branchen- und länderneutral formuliert.

---

**F6: Wie werden meine Daten geschützt? Wer sieht meine Assessment-Ergebnisse?**

SwissMax Cloud betreibt das Assessment Tool auf Schweizer Infrastruktur. Ihre Daten sind mandantenisoliert (Schema-per-Tenant-Architektur) — kein anderer Kunde kann Ihre Ergebnisse einsehen. Für den Branchenvergleich werden ausschliesslich vollständig anonymisierte, aggregierte Benchmarkwerte verwendet. Personenbezogene Daten oder unternehmensspezifische Details gehen nie in den Peer-Benchmark ein. Vollständige Datenschutzinformation: [datenschutz.swissmax.cloud](https://datenschutz.swissmax.cloud)

---

**F7: Was kostet das Assessment Tool, und welche Abonnement-Stufen gibt es?**

Das öffentliche Framework (/framework) ist kostenlos einsehbar. Für das vollständige Assessment mit Gap-Analyse, Massnahmenplan, Benchmarking und PDF-Export ist ein Abonnement erforderlich. Die aktuellen Pläne und Preise finden Sie im Customer Portal oder unter [swissmax.cloud/assessment](https://swissmax.cloud/assessment). Eine kostenlose Testphase ist auf Anfrage verfügbar.

---

## 8. Weiterführende Ressourcen

### SwissMax Cloud Ressourcen

| Ressource | URL |
|---|---|
| Assessment Tool | [assessment.swissmax.cloud](https://assessment.swissmax.cloud) |
| Framework-Übersicht (öffentlich) | [assessment.swissmax.cloud/framework](https://assessment.swissmax.cloud/framework) |
| Customer Portal | [portal.swissmax.cloud](https://portal.swissmax.cloud) |
| Datenschutzerklärung | [datenschutz.swissmax.cloud](https://datenschutz.swissmax.cloud) |
| Support | [support@swissmax.cloud](mailto:support@swissmax.cloud) |
| Getting Started Guide | [Kunden-Einstiegsleitfaden](./customer-getting-started.md) *(Assessment Tool Dokumentation)* |

### Referenzierte Standards & Frameworks

| Framework | Herausgeber | Relevante Domain(s) | URL |
|---|---|---|---|
| **TOGAF 10** | The Open Group (2022) | DT, IN | [opengroup.org/togaf](https://www.opengroup.org/togaf) |
| **COBIT 2019** | ISACA | DT, RM | [isaca.org/resources/cobit](https://www.isaca.org/resources/cobit) |
| **NIST CSF 2.0** | NIST (Feb 2024) | DT.CS, RM | [nist.gov/cyberframework](https://www.nist.gov/cyberframework) |
| **ISO/IEC 27001:2022** | ISO / IEC | DT.CS, RM | [iso.org/standard/27001](https://www.iso.org/standard/27001) |
| **NIS2-Richtlinie** | Europäische Union (2022/2555) | RM, DT.CS | [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022L2555) |
| **ISO 9001:2015** | ISO | OP | [iso.org/standard/62085](https://www.iso.org/standard/62085.html) |
| **FinOps Foundation** | FinOps Foundation (2023) | FI.FO | [finops.org/framework](https://www.finops.org/framework/) |
| **GRI Universal Standards 2021** | Global Reporting Initiative | SU | [globalreporting.org](https://www.globalreporting.org/standards/) |
| **EU CSRD** | Europäische Union (2022/2464) | SU | [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022L2464) |
| **COSO ERM 2017** | Committee of Sponsoring Organizations | RM, FI | [coso.org/erm](https://www.coso.org/Pages/erm.aspx) |
| **BIZBOK Guide v8.5** | Business Architecture Guild | Alle Domains | [businessarchitectureguild.org](https://www.businessarchitectureguild.org) |
| **DAMA DMBOK2** | DAMA International | DT.DA | [dama.org](https://www.dama.org) |

### Verwandte Konzepte (Lektüreempfehlungen)

- **Capability-Based Planning (CBP):** Ein in der Verteidigung und zunehmend im zivilen Sektor eingesetzter Planungsansatz, der Investitionsentscheide an Fähigkeitslücken ausrichtet statt an Projekten.
- **Business Architecture Guild — BIZBOK Guide:** Das umfassendste Referenzwerk für Business-Capability-Mapping. Das SBCF orientiert sich strukturell an BIZBOK §3 (Capability Map).
- **CMMI (Capability Maturity Model Integration):** Das bekannteste Reifegradmodell für Software-Engineering-Prozesse — Grundlage für die Stufen-Logik des SBCF Reifegradmodells.

---

*Dieses Dokument ist Bestandteil der offiziellen SwissMax Cloud Assessment Tool Dokumentation.*  
*Aktueller Stand: Oktober 2026 · Framework-Version: SBCF v1.2*  
*Für Fragen und Feedback: [support@swissmax.cloud](mailto:support@swissmax.cloud)*