6.9 KiB
| doc_key | title | description | audience | version |
|---|---|---|---|---|
| at_assessment_guide | Assessment Tool — Bewertungsanleitung | Detaillierte Anleitung: Control-Typen, Bewertungslogik, Scoring, Capability-Abhängigkeiten, Mehrfach-Assessments und Provider-Review. | public | 1.0 |
Überblick: Der Bewertungsablauf
flowchart TD
SC["Scope & Perimeter\nfestlegen"] --> AS["Assessment starten\nDomain auswählen"]
AS --> EV["Fähigkeiten bewerten\n0–5 pro Control"]
EV --> SA["Speichern &\nfortsetzen"]
SA --> EV
EV --> CM["Assessment\nabschliessen"]
CM --> RV{"Provider\nReview aktiviert?"}
RV -->|Ja| PR["Provider-Review\ndurch SwissMax"]
RV -->|Nein| SC2["Scorecard &\nGap-Analyse"]
PR --> SC2
SC2 --> MP["Massnahmenplan\nerstellen"]
MP --> RA["Reassessment\n(nach Massnahmen)"]
Das SBCF-Hierarchiemodell verstehen
Bevor Sie mit der Bewertung beginnen, ist es hilfreich, die Struktur des Frameworks zu verstehen:
L1 — Domain (z.B. 🔷 DT: Digital & Technologie)
L2 — Gruppe (z.B. DT.CS: Cloud & Sicherheit)
L3 — Fähigkeit (z.B. DT.CS.IAM: Identitäts- & Zugriffsmanagement)
L4 — Kontrollen (operative Prüfpunkte pro Fähigkeit)
Was Sie bewerten: Sie bewerten jede L3-Fähigkeit durch Beantwortung der zugehörigen Kontrollfragen (L4). Das Tool berechnet daraus automatisch den Reifegrad der Fähigkeit und aggregiert ihn zur Gruppen- und Domain-Bewertung.
Control-Typen
Das Assessment verwendet zwei Typen von Kontrollen:
Fragen-Kontrollen (Question Controls)
Sie wählen den aktuellen Reifegrad auf einer Skala von 0–5:
| Stufe | Bezeichnung | Typische Merkmale |
|---|---|---|
| 0 | Nicht vorhanden | Keine Aktivität, kein Bewusstsein |
| 1 | Initial | Einzelaktionen, stark personenabhängig, keine Dokumentation |
| 2 | Wiederholbar | Prozesse existieren, aber informal und inkonsistent umgesetzt |
| 3 | Definiert | Schriftlich dokumentiert, standardisiert, regelmässig angewendet |
| 4 | Gesteuert | Messbar mit KPIs, regelmässig überprüft, Abweichungen erkannt |
| 5 | Optimiert | Kontinuierliche Verbesserung etabliert, Best-Practice-Niveau |
Richtig bewerten: Wählen Sie den Reifegrad, der dauerhaft und verlässlich erreicht wird — nicht den besten Einzelfall. Wenn eine Massnahme nur manchmal funktioniert, ist das Reifegrad 1–2, nicht 3.
Technische Prüfungen (Technical Checks)
Für bestimmte Fähigkeiten (primär im Bereich Digital & Technologie) können technische Prüfungen integriert sein. Diese analysieren direkt Konfigurationen oder Systemzustände und liefern einen automatischen Score.
Bewertungslogik und Scoring
Score-Berechnung pro Fähigkeit
Der Score einer L3-Fähigkeit ergibt sich aus dem gewichteten Durchschnitt aller zugehörigen Kontrollen:
- Kontrollen mit höherer Kritikalität gehen stärker in den Score ein
- Technische Prüfungen und Fragen-Kontrollen werden kombiniert gewichtet
Aggregation zur Domain
L4-Kontrollen → L3-Fähigkeit (gewichteter Ø)
L3-Fähigkeiten → L2-Gruppe (gewichteter Ø)
L2-Gruppen → L1-Domain (gewichteter Ø)
L1-Domains → Gesamtscore (branchengewichtet)
Branchengewichtung: Für verschiedene Branchen und Unternehmenstypen haben unterschiedliche Domains unterschiedliche strategische Bedeutung. Ein Finanzdienstleister gewichtet RM höher als ein Handelsunternehmen. Das Tool berücksichtigt diese Gewichtung automatisch anhand Ihrer Branchenangabe.
Capability-Abhängigkeiten
Das SBCF modelliert 29 Abhängigkeiten zwischen Fähigkeiten. Diese zeigen Ihnen, in welcher Reihenfolge Sie Verbesserungen sinnvollerweise angehen sollten.
Beispiel: Bevor Sie DT.CS.IRP (Incident Response) verbessern können, brauchen Sie eine ausreichende Basis bei DT.CS.VM (Schwachstellenmanagement) — denn ohne Schwachstellenkenntnis ist Incident Response nicht effektiv (Typ: prerequisite).
Im Assessment-Tool sehen Sie diese Abhängigkeiten im Capability-Detail-Panel als Hinweis-Badges:
- 🔴 Voraussetzung fehlt: Eine erforderliche Basis-Fähigkeit ist unter Reifegrad 2
- 🟡 Abhängigkeit vorhanden: Eine ermöglichende Fähigkeit stärkt die Wirkung
Kommentare und Nachweise
Nutzen Sie das Kommentarfeld bei jeder Kontrolle für:
- Belege und Nachweise (z.B. «ISO-Zertifikat vorhanden, Ref. #2024-027»)
- Hinweise auf laufende Projekte («Einführung SIEM geplant Q1/2027»)
- Unsicherheiten («Unklarheit ob Prozess tatsächlich gelebt wird»)
Kommentare sind nur für Ihre Organisation sichtbar (und den Provider, falls Review aktiviert).
Mehrfach-Assessments und Re-Assessments
Mehrere Assessment-Instanzen
Sie können mehrere parallele Assessments für verschiedene Organisationseinheiten führen (z.B. separate Bewertungen für verschiedene Geschäftsbereiche oder Tochtergesellschaften).
Re-Assessment
Nach Abschluss von Massnahmen empfiehlt sich ein Re-Assessment:
- Starten Sie ein neues Assessment (nicht das bestehende überschreiben)
- Das System zeigt Ihnen den Fortschritt gegenüber dem Vorgänger-Assessment
- Unterschiede in der Scorecard werden als Verbesserungen oder Rückschritte markiert
Empfehlung: Mindestens jährlich ein vollständiges Re-Assessment, um Fortschritte messbar zu machen und den Massnahmenplan zu aktualisieren.
Provider-Review (optional)
Bei aktiviertem Provider-Review-Modus werden Ihre Bewertungen von einem SwissMax-Experten überprüft und kommentiert. Der Ablauf:
sequenceDiagram
participant K as Kunde
participant S as SwissMax Provider
K->>S: Assessment abschliessen (Status: "Zur Review")
S->>S: Review & Kommentare
S->>K: Freigabe oder Überarbeitungsanfrage
K->>K: Anpassungen vornehmen
K->>S: Erneut einreichen
S->>K: Finale Freigabe (Scorecard wird freigeschaltet)
Die freigegebene Scorecard enthält die validierten Reifegrade und kann für externe Berichte und Compliance-Nachweise verwendet werden.
Häufige Fragen zur Bewertung
Muss ich alle 10 Domains bewerten? Nein — Sie können auch einzelne Domains separat bewerten. Für eine vollständige Scorecard und aussagekräftiges Benchmarking empfehlen wir jedoch alle 10 Domains zu bewerten. Nicht bewertete Fähigkeiten werden als Reifegrad 0 gewertet.
Wie lange dauert ein vollständiges Assessment? Ein erstes vollständiges Assessment dauert ca. 60–90 Minuten. Re-Assessments sind oft schneller, da Sie Ihre Vorjahresbewertungen als Ausgangspunkt verwenden können.
Können mehrere Personen gleichzeitig bewerten? Ja — mehrere Nutzer Ihrer Organisation können parallel an demselben Assessment arbeiten. Änderungen werden in Echtzeit synchronisiert.
Was passiert bei Unklarheiten? Nutzen Sie das Kommentarfeld oder wählen Sie einen niedrigeren Reifegrad (im Zweifel ist eine konservative Einschätzung aussagekräftiger). Bei grosser Unsicherheit empfiehlt sich die Provider-Review-Option.