Ein Massnahmenplan für die Informationssicherheit legt fest, welche Lücke wer bis wann schliesst und wer danach prüft, ob es gewirkt hat. Er entsteht aus einer Bewertung, ordnet die Lücken nach Risiko und gibt jeder Massnahme eine Frist und eine verantwortliche Person. Dieser Leitfaden zeigt die Schritte, die Felder einer Vorlage, die Abgrenzung zum Risikoregister und wie Sie Fristen im Alltag halten.

Woran Massnahmenpläne scheitern

An Themen fehlt es selten. Meist gibt es zu viele offene Punkte, keine klaren Prioritäten und eine Dokumentation, die über Tabellen, Tickets, E-Mails und Sitzungsprotokolle verteilt ist. Vier Muster tauchen immer wieder auf:

• Zu allgemein formuliert. «Awareness verbessern» oder «Backups prüfen» lässt sich weder planen noch abnehmen.
• Ohne Priorität. Kritische Themen stehen gleichrangig neben Kosmetik, abgearbeitet wird in der Reihenfolge des Fragebogens.
• Ohne Eigentümer. Eine Abteilung ist zuständig, aber keine Person. Die Aufgabe pendelt zwischen IT, Fachbereich und Geschäftsleitung.
• Ohne Bezug. Niemand weiss mehr, aus welcher Anforderung oder welchem Risiko eine Massnahme stammt. Bei Verzögerungen ist unklar, was das bedeutet.

Ein brauchbarer Plan beantwortet für jede Zeile fünf Fragen: Welche Lücke wurde festgestellt? Was soll danach gelten? Wer setzt um? Bis wann? Woran erkennt man, dass es erledigt ist?

Schritt 1: Befunde aus einer Bewertung ableiten

Der Plan beginnt beim Befund. Grundlage ist eine strukturierte Bewertung nach einem Rahmenwerk, etwa ISO 27001, dem IKT-Minimalstandard, NIST CSF 2.0 oder dem Cyber Security Basis Check. Wichtig ist, dass am Ende Einzelbefunde stehen und keine Punktzahl allein.

Ein Befund muss so konkret sein, dass sich eine Handlung daraus ableiten lässt. «Zugriffsmanagement ungenügend» ist zu grob. Präziser ist: «Es gibt keinen dokumentierten Prozess für Eintritt, Wechsel und Austritt von Mitarbeitenden, der Benutzerkonten und Berechtigungen regelt.»

Hilfreich ist eine Bewertung in Reifegradstufen mit einem Zielniveau je Bereich. Dann ist jede Lücke der Abstand zwischen IST und SOLL, und die Massnahme beschreibt den Schritt dazwischen. Wie Sie Stufen und Zielniveau festlegen, erklärt der Leitfaden zum Reifegradmodell Cybersicherheit.

Schritt 2: Lücken in prüfbare Massnahmen übersetzen

Nicht jede Lücke braucht dieselbe Art von Antwort. Manche verlangen eine Richtlinie, andere eine technische Einstellung, eine Schulung, eine Vertragsanpassung oder eine organisatorische Regel. Formulieren Sie jede Massnahme so, dass Ziel, Umfang und Nachweis in einem Satz stehen:

Zu vage	Prüfbar
Notfallmanagement verbessern	Wiederanlaufverfahren für ERP und Dateiablage definieren, dokumentieren und in einem Test überprüfen
Zugriffe überprüfen	Administrationskonten mit Mehrfaktor-Authentisierung absichern und die Aktivierung für alle berechtigten Personen nachweisen
Backup verbessern	Wiederherstellung der Kernsysteme halbjährlich testen und das Ergebnis dokumentieren
ISO 27001 einführen	Leitlinie freigeben, Inventar der Werte aufbauen, Lieferantenbewertung definieren (je als eigene Massnahme)

Die letzte Zeile zeigt einen häufigen Fehler: Ein Programmziel ist keine Massnahme. Darunter braucht es operative Schritte, die sich einzeln terminieren und abnehmen lassen.

Schritt 3: Prioritäten setzen

Priorisieren Sie nach Risiko. Fehlt die Mehrfaktor-Authentisierung für administrative Zugänge, ist das dringlicher als die Überarbeitung einer Richtlinie. Bewährt haben sich diese Kriterien:

• Risiko: Wie wahrscheinlich ist ein Schaden, und wie gross wäre er für Vertraulichkeit, Integrität oder Verfügbarkeit?
• Pflicht: Betrifft die Lücke eine verbindliche Anforderung aus Gesetz, Standard oder Vertrag, oder steht eine Prüfung an?
• Aufwand: Manche Massnahmen bringen mit wenig Aufwand viel, etwa die klare Zuweisung von Verantwortlichkeiten.
• Abhängigkeiten: Ohne Rollenmodell lässt sich das Berechtigungsmanagement kaum steuern, ohne Inventar bleibt das Schwachstellenmanagement lückenhaft.

Daraus ergeben sich meist drei Gruppen: Sofortmassnahmen mit hohem Risiko oder klarer Pflicht, mittelfristige Verbesserungen mit deutlicher Wirkung und längerfristige Themen für die reguläre Weiterentwicklung. Halten Sie diese Einordnung mit einer kurzen Begründung fest. Für die Risikoeinschätzung selbst brauchen Sie keine Beratung, das Vorgehen beschreibt der Leitfaden Risikobewertung ohne Berater umsetzen.

Schritt 4: Verantwortliche und Fristen festlegen

Jede Massnahme braucht eine Person, die für den Fortschritt einsteht. Beteiligte kann es mehrere geben, verantwortlich ist eine. Sonst wird die Aufgabe von allen beobachtet und von niemandem erledigt. Wechselt die Person die Stelle, übertragen Sie die Verantwortung ausdrücklich.

Trennen Sie dabei zwei Rollen: wer umsetzt und wer prüft. Die Geschäftsleitung entscheidet über Budget und Risikoakzeptanz, die IT konfiguriert ein System, und eine dritte Stelle prüft, ob das Ergebnis wirkt. Diese Prüfung ist eine eigene Aufgabe mit eigener Frist.

Fristen sollten ehrgeizig und erreichbar sein. Zu kurze Termine führen zu ständigem Verschieben, zu lange nehmen kritischen Themen den Druck. Richten Sie Fristen nach Risiko, Aufwand und Abhängigkeiten aus und hängen Sie sie an bestehende Rhythmen wie Monats- oder Quartalsreviews. Betrifft eine Massnahme mehrere Teams, teilen Sie sie in Zwischenschritte wie Analyse, Entscheid, Umsetzung, Test und Abnahme, je mit eigenem Termin. So sehen Sie früh, wo es hängt.

Schritt 5: Nachweis und Wirksamkeit festhalten

«Erledigt» ist kein Nachweis. Wer eine Massnahme abschliesst, belegt, was umgesetzt und geprüft wurde: mit einem Konfigurationsauszug, einem Protokoll, einer aktualisierten Richtlinie, einem Testergebnis oder einer Freigabe. Wie viel Beleg nötig ist, hängt vom Risiko ab. Für eine kleine organisatorische Anpassung genügt ein dokumentierter Entscheid, beim Schutz sensibler Daten gehören Tests und eine nachvollziehbare Abnahme dazu.

Erst die Prüfung der Wirksamkeit schliesst den Kreis. Danach bewerten Sie die betroffene Anforderung und das zugehörige Risiko neu.

Die Felder einer Massnahmenplan-Vorlage

Ein einheitliches Schema macht Massnahmen vergleichbar und führbar. Diese Felder haben sich bewährt:

Feld	Inhalt
Referenz	Anforderung oder Frage aus der Bewertung, aus der die Massnahme stammt
Befund	Was heute fehlt, mit IST und angestrebtem SOLL
Massnahme	Was umgesetzt wird, prüfbar formuliert
Priorität	Sofort, mittelfristig oder langfristig, mit kurzer Begründung
Verantwortlich	Eine Person, die umsetzt und den Stand meldet
Frist	Termin für die Umsetzung
Status	Zum Beispiel offen, in Umsetzung, blockiert, umgesetzt
Validierung	Wer die Wirksamkeit prüft und bis wann
Nachweis	Was als Beleg gilt und wo er liegt
Risikobezug	Welches Risiko die Massnahme senkt, Restrisiko danach
Kommentar	Hindernisse, Entscheide, Begründung von Terminverschiebungen

Halten Sie die Statuswerte knapp. Zu viele Zwischenstufen erzeugen mehr Diskussion als Klarheit.

Massnahmenplan und Risikoregister: was wohin gehört

Beide Instrumente hängen zusammen und erfüllen unterschiedliche Aufgaben.

Risikoregister	Massnahmenplan
Beschreibt mögliche Schadensereignisse und ihre Bewertung	Beschreibt konkrete Verbesserungen
Enthält Wahrscheinlichkeit, Auswirkung und Restrisiko	Enthält Verantwortliche, Fristen und Status
Grundlage für Risikoentscheide der Geschäftsleitung	Grundlage für die Umsetzung im Team
Bleibt bestehen, solange ein Restrisiko besteht	Wird abgeschlossen, angepasst oder neu geplant

Ein Risiko kann mehrere Massnahmen auslösen, und eine Massnahme kann mehrere Risiken senken. Nicht jeder Befund gehört ins Register: Fehlt eine formale Richtlinie, obwohl die Praxis funktioniert und dokumentiert ist, genügt eine Massnahme zur Nachführung der Dokumentation. Sind dagegen Administratorkonten ohne Mehrfaktor-Authentisierung, gehört das als bewertetes Risiko ins Register und braucht zugleich eine Massnahme.

Zwei Fehler vermeidet diese Trennung: Massnahmen werden nicht zum Selbstzweck, und ein Risiko wird nicht geschlossen, nur weil eine Aufgabe als erledigt markiert ist. Welche Felder ein Register braucht, zeigt die Vorlage für ein Risikoregister.

Fristen halten: Rhythmus und Eskalation

Ein Jahresreview genügt für einen Massnahmenplan nicht. Ein praktikabler Rhythmus:

• Wöchentlich im operativen Kreis: kritische und bald fällige Massnahmen.
• Monatlich: alle laufenden Verbesserungen, Hindernisse und Prioritätsänderungen.
• Für die Geschäftsleitung in einem festen Takt: wie viel fristgerecht umgesetzt ist, welche wesentlichen Risiken offen bleiben und wo ein Entscheid oder Ressourcen fehlen.

Bei einer überfälligen Massnahme zählt die Ursache. Fehlt ein Budget, ein Entscheid, eine Abhängigkeit oder Fachwissen? Eine rote Markierung allein löst nichts.

Nicht jede Frist lässt sich halten, und eine Verschiebung kann richtig sein. Sie muss aber bewusst entschieden, begründet und dokumentiert werden. Bleibt das Risiko in der Zwischenzeit bestehen, braucht es eine befristete Risikoakzeptanz oder eine Übergangslösung, etwa zusätzliche Überwachung oder eingeschränkte Berechtigungen. Wie Sie solche Entscheide festhalten, beschreibt der Beitrag zur Risikoakzeptanz im Unternehmen.

Achten Sie auch auf Muster. Häufen sich Verzögerungen bei einem Team oder einer Art von Massnahme, liegt das Problem meist im Ablauf, etwa bei zu langsamen Freigaben oder zu breit formulierter Verantwortung. Und messen Sie Teams nicht allein an geschlossenen Massnahmen: Das verleitet dazu, komplexe Aufgaben zu früh als erledigt zu markieren.

Ein Beispiel von der Lücke bis zum Abschluss

Nehmen wir ein Treuhandbüro, dessen Bewertung zeigt: Die Kernsysteme werden gesichert, aber Wiederherstellungstests sind nicht dokumentiert.

1. Befund: Die Wirksamkeit der Datensicherung ist nicht nachgewiesen. IST liegt unter dem SOLL.
2. Risiko: Nach einem Angriff oder Defekt lassen sich Daten womöglich nicht rechtzeitig wiederherstellen. Wahrscheinlichkeit und Auswirkung werden bewertet und ins Register eingetragen.
3. Massnahme: «Für alle Kernsysteme bis Ende Quartal einen dokumentierten Wiederherstellungstest durchführen.» Verantwortlich ist die Person, die den IT-Dienstleister steuert.
4. Validierung: Die Geschäftsführung prüft das Testprotokoll, mit eigener Frist zwei Wochen nach dem Test.
5. Abschluss: Ist der Test bestanden, steigt das IST, und das Risiko wird mit Restrisiko neu bewertet. Bleibt eine Abhängigkeit vom Dienstleister, bleibt dieses Restrisiko im Register.

So unterstützt SCMC den Massnahmenplan

In SCMC entsteht der Massnahmenplan direkt aus der Bewertung. Im Tab «Massnahmen» erscheint jede Frage oder Zeile, deren IST unter dem SOLL liegt. Über jeder Massnahme stehen IST und SOLL der Frage, die Lücke dazwischen ist schraffiert.

Frist, Verantwortliche und Validierung

Jede Massnahmen-Karte trägt die Felder «Frist Massnahme» und «Verantwortlich für Massnahme», dazu Status und Kommentar. Was umgesetzt wird, halten Sie unter «Was wird umgesetzt» fest. Die Validierung hat eine eigene Frist und eigene Verantwortliche («Frist Validierung», «Verantwortlich für Validierung»). So ist auf der Karte sichtbar, wer was bis wann umsetzt und wer es danach prüft. Wählbar sind Mitglieder des Projekts; eingeladene Personen erst, wenn sie ihre Einladung angenommen haben.

Erinnerungen per E-Mail

Mit «Erinnerung setzen» wählen Sie auf der Massnahmen-Karte einen Zeitpunkt in der Zukunft und die Empfänger. Zu diesem Zeitpunkt geht eine E-Mail mit einem Link direkt auf die Massnahme an die gewählten Personen. Bis zum Versand steht die Erinnerung bei ihnen unter «Meine Aufgaben». Setzen Sie Erinnerungen so, dass vor der Frist noch Zeit zum Handeln bleibt, etwa für den Zwischenstand vor einem Monatsreview.

Meine Aufgaben

Der Bereich «Meine Aufgaben» im Projekt sammelt über alle Bewertungen hinweg, was auf eine Person läuft: Massnahmen und Validierungen, für die sie eingetragen ist, und Erinnerungen an sie. Die Liste ist nach Frist sortiert, Überfälliges ist markiert, ein Klick führt auf die Massnahmen-Karte. Damit muss niemand die Bewertungen nach eigenen Aufgaben absuchen.

Risiken, Berichte und Verlauf

Dieselben Lücken bewerten Sie in der Risikobewertung nach Wahrscheinlichkeit und Auswirkung, mit Restrisiko. Die Risikoanalyse als Word listet alle bewerteten Positionen absteigend nach Risiko mit der zugehörigen Massnahme. «Massnahmen als Word» gibt Massnahmen und Validierungen nach Bereich aus, mit Status, Verantwortlichen, Fristen und beiden Kommentaren, als bearbeitbares Gerüst für Ihren Bericht. Der Verlauf jeder Massnahme zeigt, was sich wann geändert hat, und auf jeder Karte steht, wer sie zuletzt geändert hat.

Wer lieber in Excel arbeitet, exportiert die Bewertung mit Massnahmen, Validierungen, Verantwortlichen und Fristen und liest sie wieder ein. Erinnerungen werden dabei nicht importiert, weil sie E-Mails auslösen. Sie setzen sie in der App. Fürs nächste Jahr legt «Duplizieren» eine neue Bewertung mit allen Antworten, Massnahmen und Risiken an.

Massnahmen und Risikobewertung gehören zu allen Modulen, etwa ISO 27001, dem Cyber-Risikomanagement oder dem Internen Kontrollsystem, dort je Dokumentzeile. Beim kostenlosen Cyber Security Basis Check sind sie ein eigenes Paket. Details zur Bedienung stehen im Hilfe-Center, die Preise auf der Preisseite. Ob sich für Ihren Umfang eine Plattform lohnt oder eine Tabelle genügt, hilft der Vergleich ISMS-Software oder Excel zu entscheiden.

Typische Fehler auf einen Blick

• Zu viele Massnahmen auf einmal. Zehn Massnahmen mit realistischen Fristen bringen mehr als fünfzig ohne Eigentümer.
• Nur Technik planen. Viele Lücken liegen in Zuständigkeiten, Inventaren, Freigaben und Richtlinien.
• Fristen stillschweigend verschieben. Jede Verschiebung braucht einen Entscheid und eine Begründung.
• Abschluss ohne Validierung. Erst die Prüfung zeigt, ob die Lücke geschlossen ist.
• Plan und Register getrennt pflegen. Ohne Verbindung sieht niemand, welches Risiko eine Verzögerung offen lässt.
• Den Plan einmal im Jahr anfassen. Neue Systeme, Lieferanten oder Vorfälle verschieben Prioritäten laufend.