swissmaxcloud/swissmaxcloud-docs
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
3c26255831
swissmaxcloud-docs/docs/public/at_sbcf_framework.md
SwissMax Pipeline 3c26255831 docs(sync): update documentation
2026-11-10 17:23:41 +00:00

37 KiB
Raw Blame History

doc_key title description audience version
at_sbcf_framework Swiss Business Capability Framework (SBCF) — Kunden-Leitfaden Vollständiger Kunden-Leitfaden zum SBCF v1.2: 10 Domains, 41 Fähigkeitsbereiche, 105 Fähigkeiten (L3), Reifegradmodell, Benchmark und Massnahmenplanung. public 1.0

SwissMax Business Capability Framework (SBCF)

Kunden-Leitfaden v1.0

Herausgeber: SwissMax Cloud AG · assessment.swissmax.cloud
Framework-Version: SBCF v1.2
Dokument-Version: 1.2 · November 2026
Zielgruppe: Kunden und Nutzer des Assessment Tools

Zugangsregelung (SBCF-GATE-01): Das vollständige SBCF (L2/L3-Capabilities, Scores, Gap-Analyse, Benchmark, Trend) ist ausschliesslich für Kunden mit einem aktiven Assessment zugänglich. Ohne aktives Assessment sind nur die L1-Domains öffentlich einsehbar. Das SBCF ist Intellectual Property von SwissMax Cloud AG.

Inhaltsverzeichnis

  1. Was ist das SBCF?
  2. Warum Capability-basierte Bewertung?
  3. Die 10 Fähigkeits-Domains
  4. Das Reifegradmodell
  5. Benchmark & Branchenvergleich
  6. Von der Bewertung zur Massnahme
  7. Häufige Fragen
  8. Weiterführende Ressourcen

1. Was ist das SBCF?

Das SwissMax Business Capability Framework (SBCF) ist ein strukturiertes Referenzmodell zur systematischen Bewertung der unternehmerischen Handlungsfähigkeit. Es wurde entwickelt, um KMU und mittelgrosse Unternehmen in der Schweiz und der DACH-Region in die Lage zu versetzen, ihre Stärken und Entwicklungsfelder präzise zu identifizieren — ohne den Aufwand eines konventionellen Unternehmensberatungsprojekts.

Positionierung

Das SBCF ist kein IT-Prüfkatalog und kein Compliance-Checklisten-Werkzeug. Es ist ein strategisches Bewertungsmodell, das Ihr Unternehmen als Ganzes in den Blick nimmt: von der digitalen Infrastruktur über Finanzen und Personal bis zu Nachhaltigkeit und Innovation.

Das Framework basiert auf dem Gedanken, dass nachhaltiger Geschäftserfolg nicht von einzelnen Projekten, sondern von dauerhaften organisatorischen Fähigkeiten abhängt. Eine Fähigkeit (englisch: Capability) ist dabei die Kombination aus Prozessen, Kompetenzen, Werkzeugen und Strukturen, die ein Unternehmen befähigt, einen bestimmten Bereich konsistent und reproduzierbar zu beherrschen.

Nutzen auf einen Blick

Nutzen Beschreibung
Gesamtbild in einer Stunde Strukturiertes Assessment über alle Unternehmensbereiche hinweg
Priorisierte Handlungsfelder Automatische Gap-Analyse mit gewichteten Empfehlungen
Branchenvergleich Benchmarking gegen Peers in Ihrer Branche und Unternehmensgrösse
Standardkonformität Abgleich mit ISO 27001, NIS2, TOGAF, COBIT 2019 und NIST CSF 2.0
PDF-Bericht Professioneller Ergebnisbericht für Geschäftsleitung und Board
Massnahmenplan Konsolidierter Plan mit priorisierten Massnahmen und Fortschritts-Tracking

Framework-Architektur

Das SBCF ist in vier hierarchische Ebenen gegliedert:

  • L1 — Domains: 10 strategische Geschäftsbereiche (z. B. Digital & Technologie, Finanzen & Controlling)
  • L2 — Fähigkeitsbereiche: 41 Fähigkeitsbereiche innerhalb der Domains (z. B. Cloud & Sicherheit, FinOps)
  • L3 — Fähigkeiten: 105 konkrete Einzelfähigkeiten mit Bewertungskriterien (z. B. Identitäts- & Zugriffsmanagement, CO2-Messung & Net Zero, Customer Journey Mapping). Jede L2 hat mindestens zwei L3-Kinder — kein L2 bleibt ohne verfeinerte Fähigkeiten. Controls werden ausschliesslich auf L3 gemappt — L1 und L2 aggregieren die L3-Ergebnisse (Rollup).
  • L4 — Kontrollen: Operative Prüfpunkte für das Assessment (technisch, prozessual, organisatorisch). Jedes Control ist genau einer L3-Fähigkeit zugeordnet (via control_capability_map). L4 = Controls im Sinne der assessment_controls-Tabelle; keine zusätzlichen Sub-Fähigkeiten unter L3.

Hinweis zu den Coverage-Zahlen (z. B. „1/1 abgedeckt" auf der Capability Map): Da Controls ausschliesslich auf L3 gemappt sind, aggregieren L2- und L1-Knoten die Controls ihrer L3-Nachfahren per dedupliziertem Union-Set — ein Control, das zwei L3-Geschwister trifft, zählt am gemeinsamen L2-Elter genau einmal, nicht doppelt. Die Zahl auf L1/L2 entspricht also der Anzahl unterschiedlicher Controls im Teilbaum, nicht der Summe der L3-Zahlen.

graph TD
    SBCF["SBCF v1.2<br/>SwissMax Business Capability Framework"]

    SBCF --> DT["🔷 DT — Digital & Technologie<br/>5 Gruppen · 25 Fähigkeiten"]
    SBCF --> OP["⚙️ OP — Operations & Prozesse<br/>4 Gruppen · 5 Fähigkeiten"]
    SBCF --> FI["💰 FI — Finanzen & Controlling<br/>4 Gruppen · 4 Fähigkeiten"]
    SBCF --> HR["👥 HR — Personal & Organisation<br/>4 Gruppen · 4 Fähigkeiten"]
    SBCF --> MK["📣 MK — Marketing & Vertrieb<br/>4 Gruppen"]
    SBCF --> CX["🤝 CX — Kunden & Erfahrung<br/>4 Gruppen · 2 Fähigkeiten"]
    SBCF --> RM["🛡️ RM — Risiko & Compliance<br/>4 Gruppen · 6 Fähigkeiten"]
    SBCF --> IN["💡 IN — Innovation & Strategie<br/>4 Gruppen · 2 Fähigkeiten"]
    SBCF --> SC["🔗 SC — Lieferkette & Beschaffung<br/>4 Gruppen · 2 Fähigkeiten"]
    SBCF --> SU["🌱 SU — Nachhaltigkeit & ESG<br/>4 Gruppen · 5 Fähigkeiten"]

    DT --> DT1["DT.CS — Cloud & Sicherheit"]
    DT --> DT2["DT.DA — Daten & Analytics"]
    DT --> DT3["DT.SA — Software & Architektur"]
    DT --> DT4["DT.IT — IT-Infrastruktur & Betrieb"]
    DT --> DT5["DT.AI — KI & Automatisierung"]

    MK --> MK1["MK.BR — Brand & Content"]
    MK --> MK2["MK.DM — Digital Marketing & SEO"]
    MK --> MK3["MK.SE — Sales Enablement & CRM"]
    MK --> MK4["MK.PM — Produktmarketing"]

    RM --> RM1["RM.GR — Governance & Regulatorik"]
    RM --> RM2["RM.CR — Cyber Risk Management"]
    RM --> RM3["RM.BC — Business Continuity"]
    RM --> RM4["RM.AU — Audit & Interne Kontrollen"]

Das Framework ist öffentlich einsehbar unter assessment.swissmax.cloud/framework — ohne Anmeldung.

2. Warum Capability-basierte Bewertung?

Die Grenzen klassischer Ansätze

Viele Unternehmen bewerten ihre Stärken und Schwächen anhand von Projekten, Zertifikaten oder Budgets: "Wir haben ein ISO-27001-Zertifikat, also sind wir sicher." Oder: "Wir haben eine neue ERP-Plattform eingeführt, also sind unsere Prozesse digital."

Diese Sichtweise greift zu kurz. Projekte enden — Fähigkeiten bestehen oder fehlen unabhängig davon. Ein Zertifikat bescheinigt, dass bestimmte Anforderungen zu einem Zeitpunkt erfüllt waren; es sagt wenig darüber aus, ob das Unternehmen die zugrundeliegenden Fähigkeiten dauerhaft beherrscht.

Der strategische Mehrwert des Capability-Ansatzes

1. Kontinuität statt Momentaufnahme
Eine Capability ist eine strukturelle Eigenschaft Ihres Unternehmens. Das SBCF fragt nicht: "Haben Sie Projekt X abgeschlossen?", sondern: "Sind Sie in der Lage, Y dauerhaft und reproduzierbar zu tun?"

2. Domänenübergreifendes Bild
Isolierte Audits (Sicherheits-Audit, Finanzprüfung, HR-Bewertung) liefern Siloergebnisse. Das SBCF zeigt das Zusammenspiel der Domains: Eine schwache HR-Fähigkeit kann die Wirkung einer starken Digital-Investition begrenzen. Ein strukturelles Risikomanagement-Defizit untergräbt die Compliance-Bemühungen.

3. Priorisierungsfähigkeit
Durch die Verknüpfung von Ist-Reifegrad, Soll-Reifegrad und strategischer Gewichtung ergibt sich automatisch eine priorisierte Liste von Handlungsfeldern — statt einer endlosen Liste gleichwertiger Massnahmen.

4. Gemeinsame Sprache
Das SBCF schafft eine gemeinsame Sprache zwischen Geschäftsführung, IT, HR und Fachbereichen. "Unser DT.CS-Reifegrad ist 2, Ziel ist 4" ist ein präziseres Kommunikationsmittel als "Wir müssen unsere Sicherheit verbessern".

5. Vergleichbarkeit über die Zeit
Wiederholte Assessments — zum Beispiel jährlich oder nach Abschluss eines Transformationsprojekts — machen Fortschritte messbar und kommunizierbar.

Fazit: Capability-basierte Bewertung ist nicht ein weiteres Audit-Instrument. Es ist ein strategisches Steuerungsmittel, das Ihnen hilft, Ressourcen dort einzusetzen, wo sie die grösste Hebelwirkung haben.

3. Die 10 Fähigkeits-Domains

Das SBCF umfasst zehn strategische Domains (L1), die gemeinsam alle wesentlichen Unternehmensfähigkeiten abdecken. Jede Domain enthält 3–5 L2-Fähigkeitsbereiche sowie konkrete L3-Einzelfähigkeiten.

🔷 DT — Digital & Technologie

Strategische Bedeutung: Die Grundlage jeder digitalen Transformation. Diese Domain bewertet, wie gut Ihr Unternehmen digitale Technologien als strategische Ressource nutzt, steuert und weiterentwickelt. Sie ist für Unternehmen jeder Branche und Grösse ein Kernreifegradbereich.

Beschreibung: Digital & Technologie verbindet Cloud-Infrastruktur, Datenwirtschaft, Softwareentwicklung, KI-Einsatz und IT-Betrieb zu einem kohärenten Technologie-Capability-Set. Unternehmen mit hoher Reife in dieser Domain können technologische Veränderungen antizipieren, sicher agieren und Innovationen gezielt umsetzen.

L2-Fähigkeitsbereiche:

  • DT.CS — Cloud & Sicherheit: Schutz digitaler Assets, Cloud-Governance, Identitäts- und Zugriffsmanagement, Schwachstellenmanagement
  • DT.DA — Daten & Analytics: Data Governance, Datenqualität, Business Intelligence, ML & Predictive Analytics, Datenplattform
  • DT.SA — Software & Architektur: Anwendungsarchitektur, API & Integration, DevOps & CI/CD, Software-Qualität, Lifecycle Management
  • DT.IT — IT-Infrastruktur: Cloud Management, Endpoint & Device Management, Netzwerk, Backup & Recovery, ITSM
  • DT.AI — KI & Automatisierung: KI Governance & Ethik, MLOps, Prozessautomatisierung (RPA/BPA), Generative AI

Referenz-Frameworks: TOGAF 10, NIST CSF 2.0, ISO/IEC 27001:2022, COBIT 2019

⚙️ OP — Operations & Prozesse

Strategische Bedeutung: Operative Exzellenz ist die Voraussetzung für Skalierbarkeit und Kostendisziplin. Diese Domain bewertet die Fähigkeit Ihres Unternehmens, Geschäftsprozesse systematisch zu gestalten, zu steuern und kontinuierlich zu verbessern.

Beschreibung: Operations & Prozesse deckt Prozessmanagement, Qualitätssicherung, Facility- und Asset-Management sowie Produktions- und Liefersteuerung ab. Reife in dieser Domain ist eng mit operativer Effizienz, Lean-Management und der Fähigkeit zur Skalierung verknüpft. Unternehmen, die hier stark sind, reagieren schneller auf Marktveränderungen und produzieren konsistentere Qualität.

L2-Fähigkeitsbereiche:

  • OP.PM — Prozessmanagement: Prozessdesign & Dokumentation, Prozessautomatisierung, kontinuierliche Verbesserung (Lean/CI)
  • OP.QM — Qualitätsmanagement: Qualitätssicherung & Zertifizierung, KPIs & Performance-Messung
  • OP.FA — Facility & Asset Management: Verwaltung physischer Ressourcen, Betriebsbereitschaft
  • OP.PR — Produktion & Lieferung: Steuerung von Leistungserbringung und Lieferzyklen

Referenz-Frameworks: ISO 9001:2015, BIZBOK §3 Operations Domain, Lean/Six Sigma

💰 FI — Finanzen & Controlling

Strategische Bedeutung: Finanzielle Steuerungsfähigkeit ist das Rückgrat unternehmerischer Entscheidungen. Diese Domain bewertet, ob Ihr Unternehmen Finanzdaten verlässlich erfasst, plant und für strategische Entscheidungen nutzt — einschliesslich der Steuerung von Cloud-Kosten.

Beschreibung: Die FI-Domain deckt Buchführung, Budgetierung, Treasury, Controlling und das Management von Cloud-Kosten (FinOps) ab. Eine starke Finanz-Capability-Basis ermöglicht fundierte Investitionsentscheidungen, regulatorische Compliance und nachhaltiges Wachstum. Besonders für skalierendes Cloud-Computing ist FinOps eine eigenständige Kernfähigkeit geworden.

L2-Fähigkeitsbereiche:

  • FI.AC — Accounting & Reporting: Finanzbuchhaltung, gesetzliches Berichtswesen, Konsolidierung
  • FI.CO — Controlling & Budgetierung: Management Accounting, Kostenstellenrechnung, Budget-Prozesse
  • FI.FO — FinOps / Cloud Financial Management: Cloud Cost Visibility, Cost Optimization & Rightsizing, FinOps Governance, Budget Forecasting
  • FI.TR — Treasury & Liquidität: Cashflow-Management, Finanzierungsstruktur, Währungsrisiken

Referenz-Frameworks: FinOps Foundation Capability Framework (2023), BIZBOK §3 Finance Domain, COSO ERM

👥 HR — Human Capital & Organisation

Strategische Bedeutung: Menschen sind der entscheidende Faktor jeder Transformation. Diese Domain bewertet, wie systematisch Ihr Unternehmen Talente gewinnt, entwickelt, hält und strategisch einsetzt.

Beschreibung: Human Capital & Organisation deckt den gesamten Mitarbeiterlebenszyklus ab — von Recruiting und Onboarding über Leistungsmanagement bis zu Workforce Analytics und Wissensmanagement. Eine ausgeprägte HR-Capability ist entscheidend für die Umsetzung von Transformationsprogrammen, die Unternehmenskultur und die organisatorische Resilienz.

L2-Fähigkeitsbereiche:

  • HR.TM — Talent Acquisition & Retention: Recruiting & Employer Branding, Onboarding & Offboarding
  • HR.PD — Performance & Entwicklung: OKR / Zielsysteme, Learning & Development
  • HR.WF — Workforce Planning & Analytics: Kapazitätsplanung, Personalbedarfsprognose
  • HR.KM — Wissensmanagement & Learning: Wissenstransfer, Kompetenzentwicklung, organisationales Lernen

Referenz-Frameworks: BIZBOK §3 Human Capital Management, SHRM Competency Model

📣 MK — Marketing & Sales

Strategische Bedeutung: Marktbearbeitung und Markenführung sind strategische Fähigkeiten, die direkt auf Umsatz und Marktposition einzahlen. Diese Domain bewertet die Systematik und Reife Ihrer Go-to-Market-Fähigkeiten.

Beschreibung: Marketing & Sales verbindet Content-Strategie, Performance-Marketing, CRM und Produktpositionierung zu einem integrierten Capability-Set. Reife in dieser Domain korreliert mit Marktanteilswachstum, niedrigeren Kundenakquisitionskosten und einer klar differenzierten Markenidentität. Sie ist besonders relevant für wachstumsorientierte KMU und B2B-Anbieter.

L2-Fähigkeitsbereiche:

  • MK.BR — Brand & Content Management: Markenführung, Content-Strategie, Corporate Identity, Redaktionsplanung
  • MK.DM — Digital Marketing & SEO: Online-Reichweite, SEO, Performance-Marketing (SEA/Social), Marketing-Automation
  • MK.SE — Sales Enablement & CRM: CRM-Management, Sales-Playbooks, Lead Management, Pipeline-Steuerung
  • MK.PM — Produktmarketing & Positioning: Wettbewerbspositionierung, Messaging, Pricing-Strategie, Go-to-Market-Planung

Referenz-Frameworks: BIZBOK §3 Marketing & Sales Domain, AMA Brand Management Framework, Salesforce CRM Maturity Model, Pragmatic Institute

🤝 CX — Customer & Experience

Strategische Bedeutung: Kundenerfahrung ist ein messbarer Wettbewerbsvorteil. Diese Domain bewertet, wie systematisch Ihr Unternehmen alle Kundenkontaktpunkte gestaltet, misst und verbessert.

Beschreibung: Customer Experience umfasst Service-Management, Loyalitätsprogramme, Kundenfeedback-Systeme und die systemische Steuerung der Customer Journey. Unternehmen mit hoher CX-Reife erzielen messbar höhere Net Promoter Scores, Kundenbindungsraten und Customer Lifetime Values. Die Domain verbindet daten- und prozessgetriebene Ansätze mit konsequenter Kundenperspektive.

L2-Fähigkeitsbereiche:

  • CX.CS — Customer Service & Support: SLA & Response-Management, Eskalation & Issue Resolution
  • CX.LX — Loyalty & Customer Lifetime Value: Loyalitätsprogramme, Churn-Analyse, Retention-Strategie, CLV-Messung
  • CX.VX — Voice of Customer & Feedback: Umfrage-Management, Social-Listening, Customer-Insight-Programme
  • CX.JM — Customer Journey Management: Journey Mapping, Omni-Channel-Design, personalisierte CX-Orchestrierung

Referenz-Frameworks: BIZBOK §3 Customer Experience, Forrester CX Index Methodology, CXPA CX Framework, Medallia/Qualtrics XM

🛡️ RM — Risk & Compliance

Strategische Bedeutung: In einer zunehmend regulierten Geschäftswelt ist strukturiertes Risikomanagement keine Option, sondern eine Pflicht. Diese Domain bewertet die Gesamtheit Ihrer Governance-, Risiko- und Compliance-Fähigkeiten.

Beschreibung: Risk & Compliance umfasst Governance & Regulatorik, Cyber-Risk-Management, Business Continuity und interne Revision. Reife in dieser Domain zeigt sich in der Fähigkeit, Risiken proaktiv zu identifizieren, zu bewerten und zu steuern — statt reaktiv auf Vorfälle zu reagieren. Besonders NIS2 und DSGVO stellen konkrete Anforderungen, die direkt auf L3-Fähigkeiten dieser Domain abbilden.

L2-Fähigkeitsbereiche:

  • RM.GR — Governance & Regulatorik: Datenschutz & DSGVO (DPIA, revDSG), regulatorische Compliance (ISO 27001, NIS2, FINMA), Policy Management
  • RM.CR — Cyber Risk Management: Cyber Risk Assessment & Scoring (CVSS/STRIDE), Threat Intelligence & Monitoring (MITRE ATT&CK), Incident Response & Forensics
  • RM.BC — Business Continuity & Resilience: Business Impact Analysis (BIA), Notfallplanung, Krisenmanagement, Recovery-Tests
  • RM.AU — Audit & Interne Kontrollen: Interne Revision, SOC 2 Reporting, Kontrollrahmen (COSO), Auditfähigkeit

Referenz-Frameworks: ISO/IEC 27001:2022, NIS2-Richtlinie (EU 2022/2555), COBIT 2019, NIST CSF 2.0, COSO ERM 2017, ISO 22301:2019, IIA International Standards

💡 IN — Innovation & Strategie

Strategische Bedeutung: Langfristige Wettbewerbsfähigkeit erfordert die Fähigkeit zur strategischen Erneuerung. Diese Domain bewertet, wie gut Ihr Unternehmen Strategie entwickelt, Innovation systematisch betreibt und Transformationsprojekte steuert.

Beschreibung: Innovation & Strategie deckt Unternehmensstrategie, Innovationsmanagement, Ecosystem-Partnerschaften und digitale Transformation ab. Besonders für KMU ist die Fähigkeit, Strategie konsequent in Portfolioentscheide umzusetzen und Veränderungen über Change Management zu verankern, ein kritischer Differenzierungsfaktor.

L2-Fähigkeitsbereiche:

  • IN.ST — Strategie & Roadmap: Vision & Portfolio-Entscheide, Strategieprozess, OKR-Verknüpfung
  • IN.RD — F&E & Innovation Management: Ideation, Innovationspipeline, Time-to-Market
  • IN.EP — Ökosystem & Partnerschaften: Strategische Allianzen, Partner-Ökosystem, Co-Innovation
  • IN.DT — Digitale Transformation: Change Management & Adoption, Transformation-Governance

Referenz-Frameworks: TOGAF 10 Business Architecture, BIZBOK §3 Innovation Domain

🔗 SC — Supply Chain & Einkauf

Strategische Bedeutung: Lieferkettenstabilität und Beschaffungseffizienz sind in volatilen Märkten entscheidende Resilienzfaktoren. Diese Domain bewertet die Reife Ihrer end-to-end Supply-Chain-Fähigkeiten.

Beschreibung: Supply Chain & Einkauf deckt Beschaffung, Logistik, Lager- und Bestandsmanagement sowie den Lieferanten-Lifecycle ab. Unternehmen mit hoher Reife können Lieferantenrisiken frühzeitig erkennen, Kosten durch strategischen Einkauf senken und die Versorgungssicherheit auch unter widrigen Bedingungen gewährleisten.

L2-Fähigkeitsbereiche:

  • SC.PR — Beschaffung & Einkauf: Lieferantenqualifizierung, strategischer Einkauf, Ausschreibungsprozesse
  • SC.LG — Logistik & Distribution: Transport, Fulfillment, Lieferzuverlässigkeit
  • SC.WH — Lager & Bestandsmanagement: Inventory Optimization, Lagerverwaltung
  • SC.SL — Lieferanten-Lifecycle: Lieferantenrisiko & Resilienz, Lieferantenentwicklung, Vertragsmanagement

Referenz-Frameworks: BIZBOK §3 Supply Chain Domain, ISO 28000 Supply Chain Security

🌱 SU — Nachhaltigkeit & ESG

Strategische Bedeutung: ESG-Fähigkeiten werden zunehmend zur Voraussetzung für Marktaccess, Finanzierung und regulatorische Compliance. Diese Domain bewertet, wie systematisch Ihr Unternehmen Nachhaltigkeit in Strategie, Betrieb und Berichterstattung verankert.

Beschreibung: Nachhaltigkeit & ESG deckt Umwelt- und Klimastrategie, soziale Verantwortung, ESG-Governance und standardisiertes Nachhaltigkeitsreporting (GRI, CSRD) ab. Für Unternehmen, die in regulierten Branchen tätig sind oder Finanzierungen aufnehmen, ist eine strukturierte ESG-Capability keine Kür mehr, sondern eine Pflicht.

L2-Fähigkeitsbereiche:

  • SU.EN — Umwelt & Klimastrategie: CO2-Messung & Net Zero, Energieeffizienz & erneuerbare Energien
  • SU.SO — Soziale Verantwortung: Diversität & Inklusion, Community Engagement
  • SU.GV — ESG Governance & Strategie: Corporate Sustainability Strategie, ESG-Steuerungsgremien
  • SU.RP — ESG Reporting & Transparenz: GRI / CSRD Berichterstattung, Datenqualität im ESG-Reporting

Referenz-Frameworks: GRI Universal Standards 2021, EU CSRD (2022/2464), TCFD, EU-Taxonomie

4. Das Reifegradmodell

Das SBCF verwendet ein fünfstufiges Reifegradmodell (1–5), das sich an etablierten Capability-Maturity-Modellen orientiert. Jede Stufe beschreibt nicht nur einen Zustand, sondern auch die typischen Merkmale und die erforderlichen Voraussetzungen für den nächsten Schritt.

Reifegradstufen

Stufe Bezeichnung Charakteristik Typische Merkmale
1 Initial Fähigkeit existiert kaum oder nur informell Keine definierten Prozesse; Erfolge hängen von Einzelpersonen ab; reaktives Handeln dominiert; keine Dokumentation
2 Wiederholt Grundlegende Aktivitäten vorhanden, aber nicht systematisch Gelegentlich erfolgreiche Ausführung; erste Prozessbeschreibungen; Abhängigkeit von implizitem Wissen; keine einheitlichen Standards
3 Definiert Fähigkeit ist beschrieben, standardisiert und trainiert Dokumentierte Prozesse und Verantwortlichkeiten; regelmässige Ausführung; erste Messgrössen; funktioniert auch ohne Schlüsselpersonen
4 Gemanagt Fähigkeit wird gemessen, gesteuert und laufend verbessert Quantitative KPIs; kontinuierliches Monitoring; proaktive Optimierung; Entscheidungen basieren auf Daten; gut in Unternehmensstruktur verankert
5 Optimiert Fähigkeit ist selbstverstärkend und Quelle strategischer Differenzierung Best-in-Class-Benchmarks; Innovation aus der Fähigkeit heraus; Wissensweitergabe nach aussen (Communities, Standards); höchste Automatisierungsgrade 
graph LR
    L1["🔴 1\nInitial\nInformell"] --> L2["🟠 2\nWiederholt\nGrundlegend"]
    L2 --> L3["🟡 3\nDefiniert\nStandardisiert"]
    L3 --> L4["🟢 4\nGemanagt\nMessbar"]
    L4 --> L5["🏆 5\nOptimiert\nBest Practice"]

Praxishinweis: Reifegrad 3 ist das Fundament. Erst wenn eine Fähigkeit dauerhaft dokumentiert, zugewiesen und reproduzierbar ist, lohnt sich die Investition in Reifegrad 4 (Messung). Direkt von 1 auf 4 zu springen führt fast immer zu instabilen Ergebnissen.

Illustration: Reifegradpfad am Beispiel DT.CS (Cloud & Sicherheit)

Stufe Wie sieht das konkret aus?
1 Keine definierten Sicherheitsrichtlinien; Passwörter werden geteilt; kein Incident-Prozess
2 Basisregeln für Passwörter und Zugänge vorhanden; gelegentliche Sicherheitsupdates; kein systematisches Monitoring
3 Dokumentierte Security-Policy; MFA eingeführt; Verantwortlichkeit für Sicherheit klar zugewiesen; regelmässige Patches
4 Automatisiertes Vulnerability-Scanning; Security-KPIs im Management-Reporting; jährliche Penetrationstests; SIEM im Einsatz
5 Zero-Trust-Architektur; KI-gestütztes Threat Detection; aktive Teilnahme an Threat-Intelligence-Communities; proaktive Anpassung an neue Bedrohungslagen

Sollreife vs. Ist-Reife

Das Assessment erhebt immer zwei Werte:

  1. Ist-Reifegrad: Wie ausgeprägt ist die Fähigkeit heute?
  2. Soll-Reifegrad: Welche Stufe ist für Ihren Unternehmenskontext strategisch sinnvoll?

Der Soll-Reifegrad ist kontextabhängig. Ein KMU ohne regulatorische Pflichten muss in RM.AU nicht Stufe 5 erreichen. Ein Finanzdienstleister muss es. Das SBCF berücksichtigt dies durch branchenspezifische Gewichtungen (siehe §5).

Hinweis: Ein Soll-Reifegrad von 5 ist in den meisten Domains für KMU und Mid-Market-Unternehmen weder realistisch noch sinnvoll. Stufe 3 bis 4 entspricht für die meisten L2-Bereiche einem soliden, strategisch tragfähigen Zielniveau.

5. Benchmark & Branchenvergleich

Wie funktioniert das Benchmarking?

Nach Abschluss eines Assessments vergleicht das SBCF Ihre Ergebnisse automatisch mit zwei Referenzgrössen:

  1. Peer-Benchmark: Anonymisierter Vergleich mit anderen Unternehmen ähnlicher Grösse und Branche, die denselben Bereich bewertet haben
  2. Framework-Benchmark: Abgleich Ihres Reifegrads mit den Mindestanforderungen referenzierter Standards (ISO 27001, NIS2, NIST CSF 2.0)

Der Benchmark wird für jede L2-Fähigkeit separat berechnet und im Dashboard als Abweichung (+/−) angezeigt.

Referenzierte Standards pro Domain

Das SBCF bildet seine L3-Kontrollen direkt auf die Anforderungen anerkannter Frameworks ab. Die folgende Tabelle zeigt die primären Referenz-Frameworks je Domain:

Domain Primäre Referenz-Frameworks
DT — Digital & Technologie TOGAF 10, NIST CSF 2.0, ISO/IEC 27001:2022, COBIT 2019
OP — Operations & Prozesse ISO 9001:2015, BIZBOK, Lean/Six Sigma
FI — Finanzen & Controlling FinOps Foundation Framework, COSO ERM 2017
HR — Human Capital BIZBOK, SHRM Competency Model
CX — Customer Experience BIZBOK, Forrester CX Index
RM — Risk Management ISO 27001:2022, NIS2 (EU 2022/2555), COBIT 2019, NIST CSF 2.0, COSO ERM
MK — Marketing & Sales BIZBOK
IN — Innovation & Strategie TOGAF 10, BIZBOK
SC — Supply Chain BIZBOK, ISO 28000
SU — Nachhaltigkeit & ESG GRI Universal Standards 2021, EU CSRD (2022/2464), TCFD

NIS2-Alignment (Cyber-Fähigkeiten)

Für Unternehmen, die unter die NIS2-Richtlinie fallen, stellt das SBCF eine dedizierte NIS2-Compliance-Ansicht bereit. Sie zeigt für jede NIS2-Anforderungsgruppe, welche SBCF-L3-Fähigkeit dieser zugeordnet ist und wie Ihr aktueller Reifegrad zur NIS2-Mindestanforderung (i.d.R. Stufe 3) steht.

Die primär relevanten Domains für NIS2-Alignment sind:

  • DT.CS — Cloud & Sicherheit (alle sechs L3-Bereiche direkt relevant)
  • RM.GR — Governance & Regulatorik (RM.GR.RC)
  • RM.CR — Cyber Risk Management (alle drei L3-Bereiche direkt relevant)
  • RM.BC — Business Continuity & Resilience
  • OP.PM — Prozessmanagement (Incident-Prozesse)

ISO 27001:2022-Alignment

Das SBCF bildet die Kontrolldomänen der ISO 27001:2022 (Annex A) auf L3-Fähigkeiten ab. Damit können Sie erkennen, in welchen Bereichen Ihre Ist-Reife bereits ISO-27001-konform ist und wo noch Lücken bestehen — unabhängig davon, ob Sie eine Zertifizierung anstreben oder nicht.

Branchenspezifische Gewichtungen

Nicht alle Domains sind für alle Branchen gleich wichtig. Das SBCF verwendet industry_weight_config — branchenspezifische Gewichtungskonfigurationen — die beeinflussen, wie einzelne L2-Fähigkeiten in den Gesamtscore einfliessen. Folgende Branchenkonfigurationen sind vordefiniert:

Branche Primär gewichtete Domains
Finanzdienstleistungen & Versicherungen RM, DT.CS, FI, DT.DA
IT & Software DT, IN, OP
Industrie & Produktion OP, SC, SU
Gesundheitswesen RM, DT.CS, OP
Öffentliche Verwaltung RM, DT, OP
Handel & E-Commerce CX, MK, SC
Allgemein (KMU ohne spezifische Branche) Gleichgewichtung aller Domains

6. Von der Bewertung zur Massnahme

Das Assessment ist kein Endpunkt — es ist der Startpunkt eines strukturierten Verbesserungsprozesses. Das SBCF Assessment Tool unterstützt Sie dabei über vier Stufen.

flowchart LR
    A["🔍 1 — Assessment\nFähigkeiten bewerten\n45–90 Min."] --> B["📊 2 — Gap-Analyse\nLücken identifizieren\n& priorisieren"]
    B --> C["📋 3 — Massnahmenplan\nMassnahmen zuweisen\n& terminieren"]
    C --> D["📈 4 — Fortschritt\nUmsetzen, messen\n& neu bewerten"]
    D --> A

Stufe 1: Assessment durchführen

Sie bewerten jede L3-Fähigkeit auf einer Skala von 1 bis 5 (Ist-Reifegrad). Für jede Fähigkeit können Sie optional einen Soll-Reifegrad definieren oder den von uns vorgeschlagenen Soll-Wert übernehmen. Das Assessment enthält für jede Kontrolle eine kurze Erläuterung und Beispiele, die die Bewertung erleichtern.

Dauer: Ein vollständiges Assessment über alle 10 Domains dauert typischerweise 45–90 Minuten. Einzelne Domains (z. B. nur DT oder nur RM) können in 15–30 Minuten bewertet werden.

Stufe 2: Gap-Analyse & Priorisierung

Nach Einreichung des Assessments berechnet das System automatisch:

  • Gap-Score pro L3-Fähigkeit: Differenz zwischen Ist- und Soll-Reifegrad
  • Gewichteter Gap-Score: Berücksichtigt strategische Priorität und Branchengewichtung
  • Priorisierungsrang: Sortiert alle Lücken nach ihrem kombinierten Impact-Score

Im Dashboard sehen Sie die Top-Handlungsfelder sofort als priorisierte Liste. Das Radar-Chart zeigt auf einen Blick, welche Domains Ihre stärksten und schwächsten Bereiche sind.

Stufe 3: Massnahmenplan erstellen

Für jeden identifizierten Gap können Sie direkt im Tool eine oder mehrere Massnahmen anlegen:

Feld Beschreibung
Titel Kurze Bezeichnung der Massnahme
Verantwortlich Zuständige Person oder Team
Priorität Hoch / Mittel / Niedrig
Fälligkeitsdatum Geplanter Abschluss
Status Offen / In Bearbeitung / Abgeschlossen
Notizen Freitext für Details, Links, Entscheide

Massnahmen sind direkt mit der jeweiligen L3-Fähigkeit verknüpft und erscheinen im Massnahmenplan-Report.

Stufe 4: Fortschritt verfolgen und neu bewerten

Das Assessment Tool bietet:

  • Massnahmen-Tracking Dashboard: Überblick über alle offenen und abgeschlossenen Massnahmen, inkl. Fortschrittsbalken pro Domain
  • Vergleichsansicht: Direkte Gegenüberstellung von zwei Assessments aus verschiedenen Zeitpunkten (Score-Delta je Fähigkeit)
  • Score-Verlauf: Grafische Darstellung des Reifegradfortschritts über alle Assessments hinweg

PDF-Bericht

Das Tool generiert auf Knopfdruck einen professionellen PDF-Bericht, der folgende Abschnitte enthält:

  1. Executive Summary — Gesamtscore, Stärken, Top-3-Handlungsfelder
  2. Domain-Übersicht — Radar-Chart + Score-Tabelle aller 10 Domains
  3. Detailergebnisse — Ist/Soll-Vergleich für jede bewertete L2/L3-Fähigkeit
  4. Benchmark-Abgleich — Positionierung gegenüber Peer-Gruppe und Framework-Mindestanforderungen
  5. Massnahmenplan — Alle erfassten Massnahmen nach Priorität geordnet

Der Bericht eignet sich für die Präsentation vor Geschäftsführung, Board oder externen Stakeholdern.

7. Häufige Fragen

F1: Müssen wir alle 10 Domains bewerten, oder können wir nur einzelne auswählen?

Sie können gezielt einzelne Domains oder sogar einzelne L2-Bereiche bewerten. Ein Teil-Assessment liefert gültige Ergebnisse für die bewerteten Bereiche. Für einen vollständigen Unternehmensüberblick empfehlen wir jedoch die Bewertung aller 10 Domains — insbesondere für die erste Bestandsaufnahme. Der Zeitaufwand lässt sich durch Delegation auf Fachbereichsverantwortliche erheblich reduzieren.

F2: Wie oft sollten wir das Assessment wiederholen?

Wir empfehlen einmal jährlich als Minimum sowie zusätzlich nach grösseren Transformationsprojekten, Akquisitionen, Regulierungsänderungen oder strategischen Weichenstellungen. Das Tool ermöglicht unbegrenzte Wiederholungen innerhalb Ihres Abonnements, sodass Sie auch kürzere Bewertungsintervalle für spezifische Domains einführen können.

F3: Wer sollte das Assessment ausfüllen — IT, Geschäftsführung oder Fachbereiche?

Am wertvollsten ist ein Assessment, das von mehreren Perspektiven getragen wird. Empfohlenes Vorgehen: Die Geschäftsführung oder Strategieverantwortliche befüllen IN, RM und FI; Fachbereichsleiter bewerten OP, HR, CX, MK, SC, SU; IT-Verantwortliche oder CTO übernehmen DT. Das Tool unterstützt die kollaborative Bearbeitung im Team.

F4: Was bedeutet ein Gesamtscore von, sagen wir, 52/100?

Der Gesamtscore ist ein gewichteter Durchschnitt der Ist-Reifegrade über alle bewerteten Fähigkeiten, normiert auf 100. Ein Score von 52 entspricht einem durchschnittlichen Ist-Reifegrad von ~2,6 — also zwischen "Wiederholt" und "Definiert". Das ist für viele KMU und Mid-Market-Unternehmen bei der ersten Bestandsaufnahme ein realistischer Ausgangspunkt. Der Score allein ist weniger aussagekräftig als die Verteilung: Welche Domains sind unter 2? Wo liegt der grösste Gap zum Soll?

F5: Ist das SBCF auf Schweizer oder DACH-Unternehmen beschränkt?

Das Framework wurde primär für Unternehmen im DACH-Raum entwickelt und berücksichtigt entsprechende Regulierungsanforderungen (DSGVO, NIS2, FINMA-Rundschreiben, GRI-CSRD). Es ist jedoch in Konzept und Aufbau universell anwendbar. Die L3-Fähigkeiten und Reifegradkriterien sind branchen- und länderneutral formuliert.

F6: Wie werden meine Daten geschützt? Wer sieht meine Assessment-Ergebnisse?

SwissMax Cloud betreibt das Assessment Tool auf Schweizer Infrastruktur. Ihre Daten sind mandantenisoliert (Schema-per-Tenant-Architektur) — kein anderer Kunde kann Ihre Ergebnisse einsehen. Für den Branchenvergleich werden ausschliesslich vollständig anonymisierte, aggregierte Benchmarkwerte verwendet. Personenbezogene Daten oder unternehmensspezifische Details gehen nie in den Peer-Benchmark ein. Vollständige Datenschutzinformation: datenschutz.swissmax.cloud

F7: Was kostet das Assessment Tool, und welche Abonnement-Stufen gibt es?

Das öffentliche Framework (/framework) ist kostenlos einsehbar. Für das vollständige Assessment mit Gap-Analyse, Massnahmenplan, Benchmarking und PDF-Export ist ein Abonnement erforderlich. Die aktuellen Pläne und Preise finden Sie im Customer Portal oder unter swissmax.cloud/assessment. Eine kostenlose Testphase ist auf Anfrage verfügbar.

8. Weiterführende Ressourcen

SwissMax Cloud Ressourcen

Ressource URL
Assessment Tool assessment.swissmax.cloud
Framework-Übersicht (öffentlich) assessment.swissmax.cloud/framework
Customer Portal portal.swissmax.cloud
Datenschutzerklärung datenschutz.swissmax.cloud
Support support@swissmax.cloud
Getting Started Guide Kunden-Einstiegsleitfaden (Assessment Tool Dokumentation)

Referenzierte Standards & Frameworks

Framework Herausgeber Relevante Domain(s) URL
TOGAF 10 The Open Group (2022) DT, IN opengroup.org/togaf
COBIT 2019 ISACA DT, RM isaca.org/resources/cobit
NIST CSF 2.0 NIST (Feb 2024) DT.CS, RM nist.gov/cyberframework
ISO/IEC 27001:2022 ISO / IEC DT.CS, RM iso.org/standard/27001
NIS2-Richtlinie Europäische Union (2022/2555) RM, DT.CS eur-lex.europa.eu
ISO 9001:2015 ISO OP iso.org/standard/62085
FinOps Foundation FinOps Foundation (2023) FI.FO finops.org/framework
GRI Universal Standards 2021 Global Reporting Initiative SU globalreporting.org
EU CSRD Europäische Union (2022/2464) SU eur-lex.europa.eu
COSO ERM 2017 Committee of Sponsoring Organizations RM, FI coso.org/erm
BIZBOK Guide v8.5 Business Architecture Guild Alle Domains businessarchitectureguild.org
DAMA DMBOK2 DAMA International DT.DA dama.org

Verwandte Konzepte (Lektüreempfehlungen)

  • Capability-Based Planning (CBP): Ein in der Verteidigung und zunehmend im zivilen Sektor eingesetzter Planungsansatz, der Investitionsentscheide an Fähigkeitslücken ausrichtet statt an Projekten.
  • Business Architecture Guild — BIZBOK Guide: Das umfassendste Referenzwerk für Business-Capability-Mapping. Das SBCF orientiert sich strukturell an BIZBOK §3 (Capability Map).
  • CMMI (Capability Maturity Model Integration): Das bekannteste Reifegradmodell für Software-Engineering-Prozesse — Grundlage für die Stufen-Logik des SBCF Reifegradmodells.

Dieses Dokument ist Bestandteil der offiziellen SwissMax Cloud Assessment Tool Dokumentation.
Aktueller Stand: Oktober 2026 · Framework-Version: SBCF v1.2
Für Fragen und Feedback: support@swissmax.cloud