Die Geschäftsleitung entscheidet über Schutzbedarf, Verantwortlichkeiten und vertretbare Restrisiken. Ein Sicherheitsprogramm muss Prozesse unterstützen und seine Wirkung anhand nachvollziehbarer Nachweise zeigen.
Vereinbare regelmässige Überprüfung und finanziere nachvollziehbare Massnahmen.
Ein Unternehmen setzt Wiederanlaufziele fest und prüft im Übungstermin, ob diese organisatorisch erreichbar sind.
Cybersicherheit kann vollständig an die IT delegiert werden. Falsch. Geschäftsrisiken und Prioritäten bleiben Führungsaufgaben.
Erstelle eine kurze Entscheidungsvorlage: kritischer Prozess, Risiko, Massnahme, Aufwand, Verantwortung und nächste Prüfung.
Kennzahlen zu Schulungen oder Meldungen sind keine direkte Messung vollständiger Sicherheit.