Massnahmen sind das, was Ihre Organisation tut, um Risiken zu senken, Lücken im Sicherheitsverfahren zu schliessen oder Feststellungen zu beheben. Dieser Artikel zeigt, wie Sie Massnahmen anlegen, umsetzen und nachweisen, auch wiederkehrende. Er richtet sich an Verantwortliche und an alle, die Massnahmen planen.

Bevor Sie beginnen

  • Massnahmen entstehen meist dort, wo der Bedarf auftaucht: im Behandlungsplan eines Risikos, bei einer Abweichung im Sicherheitsverfahren oder bei einer Feststellung. Direkt anlegen können Sie sie unter Massnahmen mit Neue Massnahme.
  • Wer für eine Massnahme verantwortlich ist, sieht sie auch ohne weitere Rechte. Die Liste heisst dann Meine Massnahmen.
  • Den Stand ändern die Verantwortlichen sowie Personen mit dem Recht „Massnahmen bearbeiten“.

So legen Sie eine Massnahme an

  1. Öffnen Sie Massnahmen und klicken Sie auf Neue Massnahme.
  2. Erfassen Sie Titel und Beschreibung und wählen Sie die betroffenen Assets oder Organisation. Dürfen Sie Massnahmen nur für eigene Assets anlegen, steht „Organisation“ nicht zur Wahl.
  3. Ordnen Sie die Anforderungen zu, die die Massnahme umsetzt, und optional ein Ziel. Bei Massnahmen eines Risikos mit der Behandlungsoption „Reduzieren“ sind die Anforderungen Pflicht, sonst lässt sich der Behandlungsplan nicht genehmigen. In allen anderen Fällen sind sie freiwillig.
  4. Wählen Sie die Massnahmeart: präventive, Sofort- oder Korrektur-Massnahme. Eine Sofort-Massnahme begrenzt einen Schaden rasch, eine Korrektur-Massnahme beseitigt die Ursache, damit er nicht wieder auftritt.
  5. Legen Sie die Verantwortlichkeit fest: eine oder mehrere Personen, genau eine davon als Primär (Stern).
  6. Wählen Sie die Wiederholung: Einmalig für eine einmalige Umsetzung, sonst monatlich, quartalsweise, halbjährlich oder jährlich.
  7. Setzen Sie den Termin: Fällig am bei einmaligen, Erste Durchführung bis bei wiederkehrenden Massnahmen.
  8. Speichern Sie.

Massnahmen aus einem Risiko legt die prüfende Stelle direkt im Bewertungsformular an. Wer sie umsetzt, bestimmt dann der Risikoeigentümer mit der Genehmigung des Behandlungsplans. Bis dahin zeigt die Massnahme Wartet auf Genehmigung und bleibt „Geplant“.

  1. Geplant

    Aus einem Risiko: wartet bis zur Genehmigung des Behandlungsplans.

  2. In UmsetzungMit „Umsetzung beginnen“.
  3. Umgesetzt

    Mit „Als umgesetzt melden“ und kurzer Beschreibung.

Wiederkehrende Massnahme

Mit der ersten erfassten Durchführung ist sie „In Betrieb“. 7 Tage vor jeder Fälligkeit kommt die Pendenz „Durchführung fällig“.

Fehlt doch noch etwas?

Mit „Wieder öffnen“ ist die Massnahme wieder offen, und die Verantwortlichen erhalten erneut eine Pendenz.

Status einer Massnahme

Eine Massnahme beginnt als „Geplant“; aus einem Risiko wartet sie bis zur Genehmigung des Behandlungsplans. Mit „Umsetzung beginnen“ wird sie „In Umsetzung“, mit „Als umgesetzt melden“ „Umgesetzt“. Eine wiederkehrende Massnahme ist nach der ersten erfassten Durchführung „In Betrieb“; vor jeder Fälligkeit erhalten die Verantwortlichen eine Pendenz. Mit „Wieder öffnen“ lässt sich eine umgesetzte Massnahme erneut öffnen.

So setzen Sie eine einmalige Massnahme um

  1. Öffnen Sie die Pendenz Massnahme umsetzen unter Meine Pendenzen oder die Massnahme selbst.
  2. Klicken Sie auf Umsetzung beginnen. Der Status wechselt von „Geplant“ auf „In Umsetzung“.
  3. Hängen Sie im Reiter Anhänge einen Nachweis an: eine PDF-Datei bis 20 MB oder mit Link hinzufügen einen Verweis auf Ihre Ablage, etwa SharePoint oder das Intranet.
  4. Klicken Sie auf Als umgesetzt melden und beschreiben Sie kurz, was umgesetzt wurde.

Fehlt doch noch etwas, öffnen Sie die Massnahme mit Wieder öffnen erneut. Die Verantwortlichen erhalten dann wieder eine Pendenz.

So erfassen Sie wiederkehrende Massnahmen

Wiederkehrende Massnahmen sind Tätigkeiten in festem Rhythmus, zum Beispiel Patches einspielen. Regelmässiges Prüfen ist dagegen eine Kontrolle im internen Kontrollsystem.

  1. Öffnen Sie die Massnahme. Unter Durchführungen klicken Sie auf Durchführung erfassen.
  2. Geben Sie an, wann durchgeführt wurde (Durchgeführt am), und das Ergebnis: In Ordnung oder Abweichung. Eine Abweichung beschreiben Sie.
  3. Laden Sie den Nachweis (PDF) hoch. Er ist bei jeder Durchführung Pflicht. Links sind hier nicht möglich.

Mit der ersten Durchführung ist die Massnahme „In Betrieb“. Die nächste Fälligkeit folgt dem festen Rhythmus. Durchführungen und ihre Nachweise lassen sich danach nicht mehr ändern oder löschen.

Was danach passiert

  • Bei einmaligen Massnahmen aus einem Risiko: Sind alle Massnahmen umgesetzt, bewertet die prüfende Stelle das Restrisiko. Siehe Risiken melden, prüfen und behandeln.
  • Bei wiederkehrenden Massnahmen erhalten die Verantwortlichen 7 Tage vor jeder Fälligkeit die Pendenz Durchführung fällig. Ist der Termin vorbei, gilt die Durchführung ohne Toleranz als überfällig.
  • Wird eine Massnahme nicht wie geplant durchgeführt oder mit Abweichung, sieht das der Risikoeigentümer beim Risiko. Er erhält die Pendenz Massnahme wird nicht wie geplant durchgeführt und kann das Risiko neu bewerten lassen.
  • Ordnen Sie einer Massnahme Anforderungen zu, ist sie auf der Seite der Anforderung als Umsetzung aufgeführt.
  • „Als umgesetzt melden“ heisst noch nicht, dass die Massnahme wirkt. Ob sie wirkt, zeigt bei einem Risiko die Bewertung des Restrisikos durch die prüfende Stelle; regelmässig prüfen lässt sich die Wirksamkeit mit einer Kontrolle im internen Kontrollsystem.

Häufige Fragen

Kann ich einen Nachweis nachträglich ergänzen?

Ja, im Reiter Anhänge, solange Sie für die Massnahme verantwortlich sind oder sie bearbeiten dürfen. Nachweise einer erfassten Durchführung bleiben unverändert.

Warum kann ich die Umsetzung nicht beginnen?

Hängt die Massnahme an einem Behandlungsplan, den der Risikoeigentümer noch nicht genehmigt hat, wartet sie. Zum Start braucht es ausserdem eine verantwortliche Person.

Wie behandle ich eine Lücke im Sicherheitsverfahren?

Wählen Sie bei der Anforderung Wird behoben – Massnahme. Siehe Sicherheitsverfahren für Assets durchführen.