Cyberresilienz Assessment · CSRM

Cyberresilienz Assessment

Die 5 Schritte der CSRM-Methode als geführter Wizard: wichtige Tätigkeiten analysieren, Informatikschutzobjekte bestimmen, Schutzbedarf binär entscheiden, Sicherheitskonzept nach STRIDE-LM erstellen und die 20 Basisanforderungen umsetzen - inklusive Cyberresilienz-Standortbestimmung mit 6 Prüfzielen. Entwickelt für Gemeinden, KMU und Betreiber kritischer Infrastrukturen.

CSRM · 5 Schritte 20 Basisanforderungen STRIDE-LM 6 Prüfziele 4 Dokumente 100 % Offline · kein Upload

Ihre Daten verlassen nie Ihren Browser

100 % lokale Verarbeitung im Browser (LocalStorage). Kein Server, keine Cloud, kein Account. Auch wir sehen nichts.

Kein Tracking · keine Analytics

Keine Cookies, keine Pixel, keine Drittanbieter-Scripts im Wizard. Streng nach DSG Art. 6 und Privacy-by-Design.

Export bleibt in Ihrer Hand

PDF-Erzeugung findet im Browser statt. JSON-Export/Import für Team-Transfer. Sie entscheiden wer Zugriff erhält.

Methodentreu · Transparent

Unabhängige Umsetzung der BACS-Methode CSRM (Stand 24.11.2025) und der 6 Prüfziele. Kein offizielles BACS-Instrument - das offizielle Benchmarking folgt über den Cyber Security Hub des BACS.

Made in Switzerland | cavorapartners.com | HTTPS · HSTS · CSP strict | Kostenlos · unbegrenzte Projekte

Methode, Basisanforderungen und Prüfziele

Dieses Werkzeug setzt die Cybersicherheits- und Resilienzmethode (CSRM) des Bundesamts für Cybersicherheit um, Stand 24. November 2025. Die Methode umfasst fünf Schritte: die wichtigen Tätigkeiten analysieren, die Schutzobjekte bestimmen, den Schutzbedarf analysieren, die Sicherheit konzipieren und die Basisanforderungen umsetzen. Das Assessment ergänzt sie um eine Standortbestimmung entlang der sechs Prüfziele. Selbstbewertung, kein offizielles Instrument des Bundes und keine Rechtsberatung.

20 Basisanforderungen aus Anhang C

Der Umsetzungsschritt stützt sich auf die 20 Basisanforderungen des Anhangs C. Sie sind nach den Funktionen des NIST Cybersecurity Framework 2.0 gegliedert: GOVERN, IDENTIFY, PROTECT, DETECT sowie RESPOND und RECOVER als gemeinsame Gruppe. Zwei der zwanzig Anforderungen entfallen, wenn die CSRM angewendet wird, weil die Methode sie bereits abdeckt: das Cyberrisikomanagement und die Bestimmung der Informatikschutzobjekte. Das Werkzeug kennzeichnet diese beiden und nimmt sie aus dem Umsetzungsplan heraus, statt sie doppelt abzufragen.

Sechs Prüfziele mit je drei Prinzipien

Die Standortbestimmung fragt 18 Prinzipien in sechs Prüfzielen ab: Prozesse und Abhängigkeiten bekannt, Verantwortung, Ressourcen und Kultur, Bedrohungslage und Schutzbedarf geklärt, technische und organisatorische Massnahmen umgesetzt und konsistentes Konzept, Detektion und rasche Wiederherstellung sowie Dritte und Lieferketten kontrolliert. Jedes Prinzip wird binär beantwortet. Das ist Absicht: Eine Reifegradskala erlaubt es, Lücken in einer Mittelkategorie verschwinden zu lassen, während ein Ja oder Nein belegt werden muss.

STRIDE-LM mit sieben Bedrohungskategorien

Die Sicherheitskonzipierung arbeitet je Schutzobjekt mit STRIDE-LM: Spoofing als Identitätsverschleierung, Tampering als Manipulation, Repudiation als Verleugnung, Information Disclosure als Datenabfluss und Verletzung der Privatsphäre, Denial of Service als Verweigerung des Dienstes, Elevation of Privilege als Rechteausweitung und Lateral Movement als seitliche Ausbreitung im Netzwerk. Aus den Antworten entstehen vier Dokumente: die CSRM-Dokumentation zu den Schritten 1 bis 3, die Sicherheitskonzepte, der Umsetzungsplan Grundschutz zu den 20 Basisanforderungen und die Standortbestimmung Cyberresilienz.

Hinweis zur Einordnung: Dieses Assessment ist eine unabhängige Umsetzung der Methode und nicht das vom Bund durchgeführte Cyberresilienz-Assessment CyRA. Die sechs Prüfziele orientieren sich an den zentralen Erkenntnissen aus dem CyRA-Pilotprojekt im Kanton Aargau, die das Bundesamt für Cybersicherheit am 25. Juni 2026 veröffentlicht hat. Das Werkzeug richtet sich an Gemeinden, KMU und Betreiber kritischer Infrastrukturen; es ersetzt weder eine externe Prüfung noch eine Rechtsberatung, und es sagt nichts darüber aus, ob eine Meldepflicht nach dem Informationssicherheitsgesetz besteht.

Cyberresilienz Assessment

Ihre Daten verlassen nie Ihren Browser

Kein Tracking · keine Analytics

Export bleibt in Ihrer Hand

Methodentreu · Transparent