Ein Reifegradmodell beantwortet die Frage, wie gut eine Sicherheitsanforderung im Unternehmen umgesetzt ist, und zwar in Stufen statt mit Ja oder Nein. Damit sehen Sie, wo Ihre Organisation steht, welches Niveau sie in jedem Bereich erreichen will und wie gross die Lücke dazwischen ist. Dieser Leitfaden erklärt, wie solche Stufen aufgebaut sind, wie Sie ein sinnvolles Zielniveau festlegen, wie die Skalen in SCMC funktionieren und wie aus der Bewertung ein Programm wird.

Warum eine Ja-Nein-Prüfung nicht reicht

Die meisten Organisationen haben einzelne Sicherheitsmassnahmen: eine Firewall, Backups, eine Passwortvorgabe, vielleicht eine Schulung im Jahr. Ob die Organisation damit gut aufgestellt ist, lässt sich aus einer Liste solcher Punkte kaum ablesen. Eine Checkliste fragt, ob etwas vorhanden ist. Sie sagt nichts darüber, ob es verbindlich gilt, angewendet und überprüft wird.

Ein Beispiel: Eine Passwortrichtlinie liegt als Dokument auf dem Laufwerk. In einer Ja-Nein-Prüfung ist der Punkt erfüllt. Reif ist der Prozess aber erst, wenn die Vorgabe freigegeben und kommuniziert ist, technisch durchgesetzt wird, Ausnahmen dokumentiert sind und jemand regelmässig prüft, ob sie eingehalten wird. Ein Reifegradmodell macht genau diesen Unterschied sichtbar.

Daraus ergibt sich auch der Unterschied zu Compliance. Compliance fragt, ob eine definierte Anforderung erfüllt ist. Der Reifegrad fragt, wie stabil und wirksam diese Erfüllung im Betrieb verankert ist. Ein Unternehmen kann formal konform und trotzdem verletzlich sein, wenn Prozesse nur auf dem Papier stehen. Umgekehrt kann ein Bereich gut funktionieren, obwohl die Dokumentation noch fehlt. Beides gehört in die Bewertung.

Wie Reifegradstufen aufgebaut sind

Anzahl und Namen der Stufen hängen vom Rahmenwerk ab. Viele Modelle reichen von einer nicht geregelten Ausgangslage bis zu einer laufend verbesserten Steuerung. Die Zahl auf der Skala ist dabei weniger wichtig als eine eindeutige Beschreibung jeder Stufe, damit zwei Personen dieselbe Anforderung gleich einstufen.

Typisch ist eine Abfolge wie diese:

Stufe (typische Bezeichnung)	Woran Sie sie erkennen
Nicht vorhanden	Es gibt keine erkennbare Regelung, oder die Umsetzung ist Zufall.
Ad hoc	Einzelne Personen handeln richtig, aber ohne verbindlichen Prozess und ohne Dokumentation.
Wiederholbar	Grundlegende Abläufe bestehen und werden in vergleichbaren Fällen meist angewendet.
Definiert	Prozesse, Rollen, Vorgaben und Nachweise sind verbindlich festgelegt und bekannt.
Gesteuert	Kontrollen und regelmässige Überprüfungen zeigen, ob die Vorgaben eingehalten werden.
Optimiert	Erkenntnisse aus Prüfungen, Vorfällen und Messungen fliessen systematisch in Verbesserungen ein.

Für die Einstufung helfen drei Prüffragen: Ist die Regelung verbindlich festgelegt? Wird sie im Alltag angewendet, auch wenn die zuständige Person abwesend ist? Prüft jemand regelmässig, ob sie wirkt, und gibt es dafür einen Beleg?

Das Zielniveau: nicht überall die höchste Stufe

Der häufigste Fehler beim Einführen eines Reifegradmodells ist ein Zielzustand, der überall auf der obersten Stufe liegt. Das ist weder wirtschaftlich noch in jedem Bereich nötig. Ein Produktionsbetrieb, eine Gemeinde und ein Softwareanbieter haben unterschiedliche Risiken und Pflichten.

Das Zielniveau, in SCMC das SOLL, legen Sie deshalb je Bereich fest. Anhaltspunkte dafür sind:

• Schutzbedarf: Wo besonders schützenswerte Daten oder kritische Prozesse betroffen sind, braucht es eine stärker gesteuerte Umsetzung. Wie Sie den Schutzbedarf bestimmen, beschreibt der Leitfaden zur Schutzbedarfsanalyse.
• Regulatorische Lage: Gesetze und Standards geben teils ein Mindestniveau vor.
• Risikoprofil: Eine Lücke mit hohem möglichem Schaden rechtfertigt ein höheres Ziel als eine mit geringen Folgen.
• Ressourcen: Ein klar definierter und zuverlässig angewendeter Prozess kann für ein kleines Unternehmen bereits angemessen sein.

Halten Sie fest, warum Sie ein bestimmtes Ziel gewählt haben. Wenn Sie ein Ziel bewusst tiefer ansetzen, ist das ein Risikoentscheid, der zur Geschäftsleitung gehört. Wie Sie solche Entscheide festhalten, zeigt der Beitrag zur Risikoakzeptanz im Unternehmen.

Welche Bereiche bewertet werden

Ein brauchbares Modell deckt mehr ab als Technik. Cybersicherheit entsteht aus Organisation, Prozessen, Menschen und Technologie. Wer nur Firewalls und Endpoint-Schutz bewertet, übersieht Schwächen bei Zuständigkeiten, Freigaben oder in der Abstimmung zwischen Fachbereich und IT im Krisenfall.

Typische Bereiche sind Governance, Risikomanagement, Identitäts- und Zugriffsmanagement, Inventar der Werte, Backup und Wiederherstellung, Erkennung und Behandlung von Vorfällen, Lieferanten, Sensibilisierung der Mitarbeitenden sowie Dokumentation und Nachweise. Je nach Branche kommen Datenschutz oder Notfallvorsorge dazu.

Statt ein eigenes Modell zu bauen, übernehmen Sie am besten die Gliederung eines anerkannten Rahmenwerks. In SCMC sind das je nach Modul:

• der IKT-Minimalstandard, mit einer Reifegrad-Übersicht je NIST-Funktion (Identify, Protect, Detect, Respond, Recover),
• NIST CSF 2.0, mit einer Reifegrad-Übersicht je Funktion, einschliesslich Govern,
• ISO 27001, mit einer ISMS-Reifegrad-Übersicht über die Anforderungen der Norm,
• NIS2 und der Datenschutz-Check nach revDSG und DSGVO, mit einem Reifegrad-Score je Bereich auf einer Skala von 0 bis 4,
• der kostenlose Cyber Security Basis Check als kompakter Einstieg mit einer Gap-Übersicht je Bereich.

Welcher Rahmen zu Ihnen passt, hängt von Branche, Pflichten und Kundenanforderungen ab. Wer ein ISMS mit dem Ziel einer Zertifizierung aufbaut, bewertet sich am besten gleich nach ISO 27001.

So funktionieren die Skalen in SCMC

Jede Frage einer Bewertung hat zwei Werte: das IST, also den heutigen Stand, und das SOLL, also das Zielniveau. Beide stehen auf derselben Skala des Moduls.

Die Stufen einer Skala

Die Stufen haben je nach Modul eigene Bezeichnungen. In der Excel-Datei einer Bewertung erscheinen sie als Zahl mit Text, etwa 1 für «Nein» oder 2 für «Teilweise». Beim NIS2-Modul reicht die Reifegradskala von 0 (nicht vorhanden) bis 4 (optimiert), das Zielniveau heisst «Gesteuert» und entspricht typischerweise Stufe 3: Die Massnahme ist definiert, dokumentiert, gesteuert und überprüft.

Jede Stufe hat einen Hinweis, den Sie über ein kleines (i) aufrufen. Eine erweiterte Beschreibung öffnet sich in einem eigenen Fenster neben der Bewertung. Diese Beschreibungen sind das Werkzeug gegen uneinheitliche Einstufungen: Wer unsicher ist, liest nach, was die Stufe verlangt, und entscheidet nicht nach Gefühl.

Noch nicht beantwortet und nicht zutreffend

Zwei Werte stehen ausserhalb der eigentlichen Reifegradstufen:

• «Noch nicht beantwortet» ist die erste Position der Leiste. Eine offene Frage bleibt so erkennbar und wird nicht als tiefste Stufe gezählt.
• «Nicht zutreffend» gilt für eine Frage, die für Ihr Unternehmen nicht relevant ist. Wo ein Modul dazu eine Regel hat, nennt sie das (i). Beim IKT-Minimalstandard etwa ist ein fehlender Prozess kein Fall für «Nicht zutreffend», er gehört auf die Stufe «Nicht umgesetzt».

Diese Unterscheidung ist wichtig, weil «Nicht zutreffend» eine Frage aus der Bewertung nimmt. Wer fehlende Prozesse so markiert, schönt das Ergebnis.

Woher das SOLL kommt

Das SOLL müssen Sie nicht bei jeder Frage einzeln setzen. Es gilt in dieser Reihenfolge: das SOLL der Frage selbst, sonst das des Bereichs darüber, sonst das der ganzen Bewertung, sonst die Vorgabe der Skala. Im Excel-Export heissen die beiden Spalten entsprechend «Eigenes SOLL» und «Geltendes SOLL». Wollen Sie ein abweichendes Ziel für eine einzelne Frage wieder aufheben, wählen Sie «Globalen Wert nutzen».

Damit legen Sie das Zielniveau dort fest, wo es hingehört: einmal für die Bewertung, abweichend für einzelne Bereiche mit höherem Schutzbedarf und nur in Ausnahmen für einzelne Fragen. Module, deren Skala kein eigenes SOLL kennt, wie der Cyber Security Basis Check, arbeiten mit einem festen Ziel.

Die Lücke sichtbar machen

In der Standarddarstellung ist das IST eine Leiste mit allen Stufen. Das SOLL steht als Markierung über der geltenden Stufe, die Stufen dazwischen sind schraffiert. Diese schraffierte Fläche ist die Lücke, um die es bei den Massnahmen geht. Links neben jeder Frage zeigt eine Leiter den Zustand in Farbe: offen, unter SOLL, erreicht oder nicht zutreffend.

Im Profil können Sie unter «Darstellung der Antworten» eine von vier Darstellungen wählen, darunter eine Reifegrad-Leiter. Die Wahl gilt nur für Sie.

Risiken auf einer eigenen Skala

Die Risikobewertung nutzt eine zweite Skala mit Wahrscheinlichkeit und Auswirkung. Der Wert eines Risikos ist Wahrscheinlichkeit mal Auswirkung, höchstens 16, die Farbe zeigt die Risikostufe. Nach den Massnahmen bewerten Sie das Restrisiko. Die Risikoauswertung zeigt Risiko- und Restrisikomatrix nebeneinander und im «Stufenwechsel», von welcher Risikostufe zu welcher die Massnahmen führen. Reifegrad und Risiko ergänzen sich: Der Reifegrad zeigt, wie gut eine Anforderung erfüllt ist, das Risiko zeigt, wie dringend die Lücke ist.

Einstufen mit Begründung und Nachweis

Eine Einstufung ist nur so viel wert wie ihre Begründung. Sätze wie «Wir machen regelmässig Backups» werden erst belastbar, wenn klar ist, welche Systeme gesichert werden, ob Wiederherstellungen getestet sind und wer die Ergebnisse prüft.

In SCMC hat jede Frage ein Feld für die Begründung und einen Dokumentlink zum Nachweis. Nutzen Sie beide. Geeignete Nachweise sind freigegebene Richtlinien, Protokolle, Berechtigungskonzepte, Schulungsnachweise, Testergebnisse oder dokumentierte Entscheide. Nicht jede Kontrolle braucht viel Papier. Bei privilegierten Zugängen, Notfallmanagement, Verschlüsselung und Lieferanten sollte die Beleglage aber klar sein.

Achten Sie auf zwei Fallen. Ein vorhandenes Dokument beweist keine wirksame Kontrolle, eine Richtlinie ohne Überprüfung ist höchstens «definiert». Und eine gut gelebte Praxis ohne jede Dokumentation lässt sich in einem Audit schwer belegen. Sauber zugeordnete Nachweise ersparen Ihnen vor einem Audit die Suche in Laufwerken und Postfächern.

Die erste Bewertung durchführen

1. Geltungsbereich festlegen. Bewerten Sie die ganze Organisation, einen Standort oder einen kritischen Prozess. Ein klar abgegrenzter Start ist besser als ein Versuch, alles auf einmal zu erfassen.
2. Rahmenwerk wählen. Nehmen Sie das Modul, das zu Ihren Pflichten passt. Für einen ersten Überblick genügt oft der Basis Check.
3. Zuständigkeiten verteilen. Die IT kennt die Technik, HR die Ein- und Austritte, Fachbereiche die kritischen Daten. Mehrere Personen können in einem Projekt an derselben Bewertung arbeiten, auch verteilt oder in einer gemeinsamen Sitzung über die Excel-Datei. Eine Person koordiniert und achtet darauf, dass nach denselben Kriterien eingestuft wird.
4. SOLL festlegen. Zuerst für die Bewertung, dann abweichend für Bereiche mit besonderem Schutzbedarf.
5. IST einstufen. Mit Begründung und Nachweis, im Zweifel die tiefere Stufe. Unklare Fragen bleiben «Noch nicht beantwortet», bis sie geklärt sind.
6. Ergebnis prüfen. Die Liste der Bewertungen zeigt mit zwei Balken, wie viel beantwortet ist und wie weit das SOLL erfüllt ist.

Nehmen wir als Beispiel ein Treuhandbüro, das Vorfälle heute per Telefon oder E-Mail an den IT-Dienstleister meldet. Das ist eher «ad hoc». Als nächster Schritt genügen ein dokumentierter Meldeweg, festgelegte Zuständigkeiten und eine einfache Vorlage zur Erfassung von Vorfällen. Damit steigt der Bereich um eine Stufe. Ob es danach Übungen oder Eskalationszeiten braucht, entscheidet das Zielniveau.

Typische Fehler beim Einstufen

• Zu optimistisch bewerten. Eine vorhandene Richtlinie wird als gesteuerter Prozess eingestuft, obwohl niemand ihre Anwendung prüft. Abhilfe schaffen Belegpflicht und die Beschreibung jeder Stufe.
• «Nicht zutreffend» als Ausweg. Fehlende Prozesse sind eine tiefe Stufe und keine Ausnahme.
• Ein Zielniveau für alles. Ein einheitlich hohes SOLL verteilt Aufwand gleichmässig, auch dorthin, wo das Risiko klein ist.
• Zu breit starten. Wenn jede Frage bis ins Detail diskutiert wird, verliert die Bewertung Tempo. Besser ist ein klarer Start und ein Ausbau im zweiten Durchgang.
• Nur auf den Durchschnitt schauen. Ein guter Gesamtwert kann eine kritische Schwäche im Notfallmanagement verdecken. Lesen Sie immer die Bereiche mit der grössten Lücke mit.
• Bewertung ohne Folgen. Lücken ohne Verantwortliche und Fristen bleiben Papier.

Von der Lücke zur Massnahme

Der Nutzen einer Reifegradbewertung entsteht danach. Für jede Frage, deren IST unter dem SOLL liegt, legen Sie in SCMC eine Massnahme an: was umgesetzt wird, mit Status, Frist und verantwortlicher Person. Eine Validierung mit eigener Frist und eigenem Verantwortlichen hält fest, wer danach prüft, ob die Massnahme wirkt. Über jeder Massnahme stehen IST und SOLL der Frage mit der schraffierten Lücke, damit klar bleibt, welche Stufe erreicht werden soll.

Formulieren Sie Massnahmen so, dass der Stufensprung prüfbar ist. «Zugriffsmanagement verbessern» lässt sich nicht abnehmen. «Halbjährliche Prüfung privilegierter Konten einführen und Ergebnisse dokumentieren» schon. Wie Sie daraus einen vollständigen Plan mit Prioritäten und Fristen machen, beschreibt der Leitfaden Massnahmenplan Informationssicherheit erstellen.

Nicht jede Lücke lässt sich sofort schliessen. Was bleibt, gehört mit Wahrscheinlichkeit, Auswirkung und Restrisiko in die Risikobewertung. Welche Angaben ein solches Register braucht, zeigt die Vorlage für ein Risikoregister.

Was die Geschäftsleitung sehen sollte

Die Geschäftsleitung braucht keine Liste aller Einzelkontrollen. Sie braucht wenige Aussagen, die Entscheide ermöglichen:

• Abdeckung: Wie viel der Bewertung ist beantwortet? Ein hoher Erfüllungsgrad auf einer halb ausgefüllten Bewertung täuscht.
• Erfüllung je Bereich: Wo liegt das IST unter dem SOLL, und wie weit?
• Kritische Lücken: Welche Lücken haben ein hohes Risiko, und sind sie neu, in Bearbeitung oder überfällig?
• Massnahmen: Was ist fristgerecht umgesetzt, was ist überfällig, und woran hängt es?
• Restrisiken: Welche hohen Risiken bleiben nach den Massnahmen, und wer hat sie akzeptiert?
• Wiederkehrende Befunde: Taucht eine Lücke im nächsten Durchgang wieder auf, war die Massnahme nicht wirksam.

Der PDF-Bericht von SCMC zeigt den erreichten Wert je Bereich in Prozent, ein Spinnendiagramm mit IST und SOLL, ein Balkendiagramm je Bereich und den Gesamtwert mit einer kurzen Einordnung. Die Risikoauswertung zählt, wie viele Positionen vor und nach den Massnahmen hoch oder sehr hoch sind. Für die Führungsebene selbst gibt es das Selbstlernmodul für Geschäftsleitungen, entstanden mit der HWZ: rund 50 Minuten, ohne Technik, es zeigt, warum Informationssicherheit Chefsache ist und wie sich der Reifegrad sichtbar machen lässt.

Den Reifegrad über die Jahre verfolgen

Ein Reifegrad ist eine Momentaufnahme. Seinen Wert zeigt er erst im Vergleich. Für viele Organisationen ist eine vollständige Bewertung pro Jahr ein sinnvoller Takt. Neue Systeme, ein Lieferantenwechsel, ein Vorfall oder neue Pflichten können eine frühere Neubewertung der betroffenen Bereiche auslösen.

In SCMC legen Sie mit «Duplizieren» eine neue Bewertung desselben Moduls an, mit allen Antworten, Massnahmen und Risiken des Vorjahres. Sie prüfen dann gezielt, was sich geändert hat, statt von vorn zu beginnen. Der Verlauf jeder Frage zeigt, wann sich IST oder SOLL geändert hat, etwa «IST 1 → 2». Über «Mit anderen vergleichen» stellen Sie mehrere Bewertungen desselben Moduls in einer Excel-Datei nebeneinander.

Wer seine Bewertungen bisher in Tabellen führt, findet im Vergleich ISMS-Software oder Excel Kriterien für den Wechsel. Fragen zur Bedienung beantwortet das Hilfe-Center, die Preise der Module stehen auf der Preisseite.

Wann Sie beginnen sollten

Früher als oft gedacht. Ein guter Zeitpunkt ist, wenn Sicherheitsanforderungen von Kunden oder Gesetzgeber zunehmen, wenn die Verantwortung auf mehr Personen verteilt wird oder wenn die bisherige Dokumentation unübersichtlich geworden ist. Auch vor grösseren Veränderungen wie einer Cloud-Migration hilft eine Bewertung, Risiken früh zu sehen. Beginnen Sie mit einer ehrlichen Einstufung der wichtigsten Bereiche und sorgen Sie dafür, dass jede Lücke unter dem SOLL eine Massnahme mit Verantwortlichen und Frist erhält.