Das Bundesamt für Cybersicherheit BACS hat ein Instrument zur Beurteilung der Cyberresilienz von Behörden und Unternehmen «Cyberresilienz-Assessment CyRA» entwickelt. CyRA wurde im Kanton Aargau bei Gemeinden und Unternehmen erstmals unter realen Bedingungen erprobt. Der Bericht «Cyberresilienz-Assessment CyRA: Zentrale Erkenntnisse aus dem Pilotprojekt im Kanton Aargau» zeigt: Grundlegende IT-Schutzmassnahmen sind vorhanden. Aber ein ganzheitliches, prozessorientiertes Resilienzkonzept fehlt zumeist. Lesen Sie die Zusammenfassung des CyRA-Berichts sowie die Umrisse des vom BACS zur Verfügung gestellten «Notfallkonzepts als Schlüssel zur Cyberresilienz».

Selbstbewertung der eigenen Cyberresilienz

Die Fähigkeit, die Leistungen eines Unternehmens auch nach Cyberangriffen und IT-Störungen aufrechtzuerhalten, ist heute wichtiger denn je. In der Praxis fehlt jedoch eine strukturierte Grundlage, um den eigenen Stand der Cyberresilienz einzuordnen und mit anderen Akteuren zu vergleichen. Das Bundesamt für Cybersicherheit BACS hat daher in Übereinstimmung mit seiner «Cybersicherheits- und Resilienzmethode CSRM» das Instrument «Cyberresilienz-Assessment CyRA» entwickelt. Es ermöglicht Behörden und Unternehmen eine Selbstbewertung der eigenen Cyberresilienz und schafft die Grundlage für ein Benchmarking.

Pilotprojekt des «Cyberresilienz-Assessment CyRA» im Kanton Aargau

Zur praktischen Erprobung des «Cyberresilienz-Assessment CyRA» wurde von Mitte Februar bis Ende März 2026 ein Pilotprojekt im Kanton Aargau durchgeführt. Insgesamt haben 25 Organisationen teilgenommen: 14 Gemeinden sowie 11 Unternehmen aus den Bereichen Dienstleistung, Industrie, IT und Telekommunikation, Stromversorgung und Baugewerbe. Die Gemeinden und Unternehmen führten die Selbstbewertung eigenständig durch. Der Pilot dient nicht nur der Gewinnung erster inhaltlicher Erkenntnisse, sondern auch der Erprobung des digitalen Erhebungsinstruments. Rückmeldungen zur Benutzerführung und zur Verständlichkeit einzelner Fragen fliessen direkt in die Weiterentwicklung des Instruments ein.

Grundlegende IT-Schutzmassnahmen sind vorhanden, aber kein umfassendes Gesamtkonzept

Die Auswertung des CyRA-Pilotprojekts zeigt: Grundlegende Schutzmassnahmen, etwa im Bereich Datensicherung, Zugriffskontrollen oder IT-Systemschutz, sind mehr oder weniger vorhanden. Demgegenüber bestehen ausgeprägte Schwächen bei der systematischen Verknüpfung dieser Massnahmen mit den eigenen Geschäftsprozessen. Besonders deutlich sind die Defizite in drei Bereichen:

• Erstens bei der strukturierten Erfassung von IT-Abhängigkeiten und OT(Operational Technology)-Abhängigkeiten entlang der Geschäftsprozesse.
• Zweitens bei der Notfallplanung und der Wiederherstellungsplanung, wo klare Priorisierungen und regelmässige Übungen zumeist fehlen.
• Drittens beim Management von Abhängigkeiten gegenüber externen IT-Dienstleistern: Das ist eine Schwachstelle, die sich sektorübergreifend zeigt.

Insgesamt lässt sich festhalten: Cyberresilienz beruht in den erfassten Gemeinden und Unternehmen noch auf Einzelmassnahmen, nicht auf einem ganzheitlichen, prozessorientierten Konzept. Während grundlegende IT-Sicherheitsmassnahmen häufig etabliert sind, ist Cyberresilienz als umfassender Ansatz vielerorts noch nicht ausreichend verankert.

Das «Cyberresilienz-Assessment CyRA» soll einem breiteren Anwenderkreis zur Verfügung gestellt werden

Das «Cyberresilienz-Assessment CyRA» befindet sich im Prototypstatus. Der Pilot im Kanton Aargau war der erste Praxistest unter realen Bedingungen. Auf der Grundlage der gewonnenen Erkenntnisse wird das digitale Erhebungsinstrument nun weiterentwickelt. Dies mit dem Ziel, es einem breiteren Anwenderkreis zur Verfügung zu stellen. Dabei sollen unter anderem die Benutzerführung verbessert, die Verständlichkeit einzelner Fragen erhöht und der Erfassungsaufwand verringert werden.

So sollen künftig gemeinsam genutzte IT-Systeme, Anwendungen und Daten nicht für jeden Prozess separat erfasst werden müssen, sondern mehreren geschäftskritischen Prozessen zugeordnet werden können. Mittelfristig ist eine Konsolidierung auf einen einzigen Prüfkatalog vorgesehen, um die Vergleichbarkeit der Ergebnisse weiter zu verbessern. Mit zunehmender Datenbasis kann das Cyberresilienz-Assessment zu einem zentralen Instrument für die evidenzbasierte Steuerung der Cyberresilienz auf regionaler und nationaler Ebene werden.

Das BACS-Notfallkonzept als Schlüssel zur Cyberresilienz von KMU

Verschiedene Cybervorfälle bei Klein- und Mittelunternehmen KMU haben gezeigt, dass sich viele Unternehmen besser auf solche Ereignisse vorbereiten sollten. Deshalb hat das BACS sein Notfallkonzept für Cybervorfälle speziell an die Bedürfnisse von KMU angepasst. Auf der Webseite des BACS sind ein einfaches Modell des Notfallkonzepts und konkrete Hilfsmittel wie ein Notfallblatt, ein Notfallplan und ein Erklärvideo aufgeschaltet. Über ein Feedback-Formular können zudem Rückmeldungen abgegeben werden, um die Hilfsmittel zu verbessern und auszubauen.

Und: Das BACS führt am 2. und am 9. September 2026, jeweils von 12.00 Uhr bis 13.00 Uhr, einen Online-Brownbag-Lunch für Schweizer KMU durch, um das Notfallkonzept-Modell sowie die dazugehörigen Hilfsmittel vorzustellen. Die Veranstaltungen finden in deutscher und französischer Sprache statt und werden anschliessend auf dem Youtube-Kanal des BACS veröffentlicht. Interessierte können sich anmelden unter:
MS Teams: Online Brown Bag Lunch in Französisch am 2. September 2026, 12.00 Uhr bis 13.00 Uhr
MS Teams: Online Brown Bag Lunch in Deutsch am 9. September 2026, 12.00 Uhr bis 13.00 Uhr