Finanzdienstleister · Security-Governance auf Board-Ebene
Externer CISO/ISB und Security-Governance für Finanzinstitute
ICT- und Cyber-Sicherheit sind zur Aufsichtspflicht des Leitungsorgans geworden. DORA legt die Letztverantwortung für den ICT-Risikorahmen ins Leitungsorgan, FINMA hält Verwaltungsrat und Geschäftsleitung für operationelle Risiken und operative Resilienz verantwortlich. Sie brauchen definierte Rollen, eine belastbare Governance, ein Policy-Set und ein regelmässiges Board-Reporting. SIDD liefert das als externer CISO/ISB, prüffähig und unabhängig.
vCISO / externer ISBFINMA · DORA GovernanceDE · FR · EN
Für Banken, Versicherer, Wertpapierhäuser, FinTechs, Vermögensverwalter und ihre kritischen IT-Provider
vCISO / externer ISB
definierte Rolle
FINMA & DORA
Leitungsorgan-Pflichten
Policies & Reporting
prüffähig
KPI / KRI
Board-tauglich
CH · EU
mehrsprachig DE/FR/EN
Verantwortlich für dieses Mandat
Philipp Staiger
M.Sc., MIT Sloan Fellow · Lead Auditor ISO 27001 (BSI)
Begleitet ISO-27001- und ISMS-Projekte im Gesundheitswesen vom Scope-Workshop bis zur Stage-2-Auditbegleitung, als Schnittstelle zu Geschäftsleitung, IT, Datenschutz und externer Zertifizierungsstelle.
Die Aufsicht adressiert beim ICT- und Cyber-Risiko nicht mehr nur die IT, sondern das Leitungsorgan selbst. DORA und FINMA verankern die Verantwortung dort, wo strategisch entschieden wird.
DORA legt die Letztverantwortung für den ICT-Risikorahmen ausdrücklich ins Leitungsorgan. Das Leitungsorgan genehmigt die Strategie für das ICT-Risiko, kontrolliert ihre Umsetzung und muss sein Wissen laufend aktuell halten. Verantwortung lässt sich dabei nicht vollständig delegieren, sie bleibt beim Gremium an der Spitze. Für Schweizer Institute gilt DORA in der Regel nicht direkt, sondern oft indirekt, etwa über EU-Niederlassungen und Tochtergesellschaften oder über Verträge mit EU-regulierten Finanzunternehmen. Ob DORA direkt oder indirekt greift, prüfen wir je Institut im Einzelfall.
FINMA verankert dasselbe Prinzip aus aufsichtsrechtlicher Sicht. Das FINMA-Rundschreiben 2023/01 zu operationellen Risiken und Resilienz bei Banken ist in Kraft und gilt für FINMA-beaufsichtigte Institute. Es erwartet, dass Verwaltungsrat und Geschäftsleitung die operationellen Risiken und die operative Resilienz steuern, dazu zählen ICT-Risiken, Cyber-Risiken und das Management kritischer Geschäftsprozesse. Die Aufsicht möchte sehen, dass das oberste Gremium den Überblick hat und auf Basis belastbarer Information entscheidet.
In der Praxis heisst das: Sie brauchen eine klar zugewiesene Sicherheitsrolle, ein Governance-Modell mit definierten Verantwortlichkeiten, ein gepflegtes Policy-Set und ein Reporting, das dem Board ein verständliches und prüffähiges Bild der Sicherheitslage liefert. Genau diese Bausteine fehlen vielen Instituten, oder sie liegen verstreut und sind im Aufsichtsgespräch schwer zu belegen.
Eine klar zugewiesene Sicherheitsrolle (CISO oder ISB) mit Mandat und Eskalationsweg zum Leitungsorgan
Ein Governance-Modell mit definierten Verantwortlichkeiten über die drei Verteidigungslinien hinweg
Ein gepflegtes Policy-Set für Informationssicherheit, ICT-Risiko und Cyber
KPI und KRI, die die Sicherheitslage messbar machen und das Risiko-Appetit-Niveau abbilden
Ein regelmässiges, board-taugliches Reporting an Verwaltungsrat und Geschäftsleitung
Aufsichtstaugliche Dokumentation, die im FINMA-Dialog und in der internen Revision standhält
So liefern wir Ihre Security-Governance
Sie erhalten eine besetzte Sicherheitsrolle und ein Governance-Gerüst, das die Verantwortung des Leitungsorgans sichtbar und prüffähig macht. Unsere Beratung bleibt unabhängig, weil wir kein eigenes SOC verkaufen.
Wir übernehmen das Mandat als externer CISO oder Informationssicherheitsbeauftragter (ISB). Sie erhalten eine benannte, erreichbare Person mit klarem Auftrag, definierten Reaktionszeiten und einem festen Berichtsweg an das Leitungsorgan. Der vCISO arbeitet eng mit Ihrer IT, Ihrem Risiko- und Compliance-Bereich und der internen Revision zusammen und füllt die Sicherheitsrolle, ohne dass Sie sofort eine Vollzeitstelle aufbauen müssen.
Wir bauen ein Security-Governance-Framework auf, das zu FINMA und DORA passt. Dazu gehören das Rollen- und Verantwortungsmodell über die drei Verteidigungslinien, ein Policy-Set für Informationssicherheit, ICT-Risiko und Cyber sowie die Verzahnung mit Ihrem ICT-Risikomanagement und Ihrem Drittparteien-Management. Das Framework richten wir an anerkannten Standards wie ISO 27001 aus, sodass Governance und ein späteres ISMS dieselbe Grundlage teilen.
Wir definieren KPI und KRI, die die Sicherheitslage messbar machen, und richten eine Reporting-Kadenz ein. Das Board erhält ein verständliches Dashboard mit Risikolage, offenen Massnahmen, Vorfällen und Trends, ergänzt um die regulatorisch relevanten Punkte. So kann das Leitungsorgan seine Aufsichtspflicht wahrnehmen und seine Entscheidungen auf belastbarer Information treffen, statt auf Zuruf.
Alle Nachweise pflegen wir in der Priverion-Plattform: Policies, Rollen, Risiken, Massnahmen, KPI/KRI und Board-Berichte liegen versioniert an einem Ort und sind exportierbar. Wenn die interne Revision oder die FINMA nachfragt, ist die Governance belegt, aktuell und prüffähig. Für rein operative Leistungen wie 24/7-Monitoring oder eine gemanagte Incident Response koordinieren wir bei Bedarf spezialisierte Partner, unsere Empfehlungen bleiben dadurch unabhängig.
Warum SIDD für Ihre Security-Governance
Board-Reporting zu ICT- und Cyber-Risiko verbindet Recht, Aufsicht und Technik. Genau diese Kombination decken wir aus einer Hand ab, mehrsprachig und unabhängig.
Recht, Aufsicht und Security aus einer Hand
FINMA- und DORA-Pflichten ordnen promovierte Juristinnen und Juristen ein, die Sicherheitsrolle und die technischen Massnahmen führt ein eigenes Technik-Team unter einem ISO-27001-Lead-Auditor. So tragen Governance, Policies und Reporting rechtlich und technisch zugleich.
Eine besetzte Sicherheitsrolle
Sie erhalten einen benannten externen CISO oder ISB mit klarem Mandat, festen Reaktionszeiten und einem Berichtsweg ans Leitungsorgan. Die Aufsicht erwartet eine zugewiesene, erreichbare Rolle, und genau diese stellen wir, ohne dass Sie sofort eine Vollzeitstelle aufbauen müssen.
Board-taugliches Reporting
Wir übersetzen die Sicherheitslage in ein verständliches Bild für Verwaltungsrat und Geschäftsleitung: KPI, KRI, offene Massnahmen, Vorfälle und Trends. So kann das Gremium seine Aufsichtspflicht nach FINMA und DORA wahrnehmen und seine Entscheidungen belegen.
Prüffähige Nachweise im Tooling
Policies, Rollen, Risiken, Massnahmen, KPI/KRI und Board-Berichte pflegen wir versioniert in der Priverion-Plattform. Fragt die interne Revision oder die FINMA nach, liegt die Governance als gepflegtes, exportierbares Tooling vor.
Unabhängig, kein eigenes SOC
Wir verkaufen kein eigenes SOC und keine gemanagte Incident Response. Dadurch bleiben unsere Empfehlungen zu Massnahmen, Werkzeugen und Partnern unabhängig. Operative Leistungen wie 24/7-Monitoring oder live Incident Response koordinieren wir bei Bedarf mit spezialisierten Anbietern.
Mehrsprachig für CH und EU
Wir führen Governance, Policies und Board-Reporting in Deutsch, Französisch und Englisch, passend für Institute mit Standorten oder Aufsicht in der Schweiz und der EU. So spricht das Reporting dieselbe Sprache wie Ihr Board und Ihre Aufsicht.
Zwei Wege zu einer prüffähigen Security-Governance
Governance-Setup & Board-Reporting
Festpreis
Der einmalige Aufbau Ihrer Security-Governance, fertig zur Vorlage im Verwaltungsrat und im FINMA-Dialog.
Rollen- und Verantwortungsmodell über die drei Verteidigungslinien, abgestimmt auf FINMA und DORA
Policy-Set für Informationssicherheit, ICT-Risiko und Cyber, an ISO 27001 ausgerichtet
Definition von KPI und KRI mit Schwellenwerten und Risiko-Appetit-Bezug
Board-Reporting-Vorlage und Reporting-Kadenz für Verwaltungsrat und Geschäftsleitung
Aufsichtstaugliche Dokumentation, versioniert in der Priverion-Plattform
Der laufende Betrieb: eine benannte Sicherheitsrolle, die die Governance pflegt, das Board regelmässig informiert und im Aufsichtsdialog erreichbar ist.
Externer CISO oder Informationssicherheitsbeauftragter mit klarem Mandat und Berichtsweg ans Leitungsorgan
Laufende Pflege von Policies, Risiken, Massnahmen und KPI/KRI in der Priverion-Plattform
Regelmässiges Board-Reporting in DE, FR oder EN, abgestimmt auf Ihre Sitzungskadenz
Verzahnung mit ICT-Risikomanagement, Drittparteien-Management und interner Revision
Ansprechpartner im FINMA-Dialog und bei Fragen der internen Revision
LexCMD
Unser Werkzeug: LexCommand
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihr Governance- und Board-Reporting: LexCommand spiegelt die Verantwortlichkeiten aus DORA, FINMA-RS 2023/01, ISO 27001 und NIS2 in einem Crosswalk gegeneinander und entwirft Richtlinien sowie Board-Vorlagen als Word-Dokumente, jede Aussage mit Fundstelle aus der Primärquelle.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Was ist der Unterschied zwischen einem CISO und einem ISB?
Die Begriffe überschneiden sich. Ein CISO (Chief Information Security Officer) verantwortet die Informationssicherheit auf Führungsebene, ein ISB (Informationssicherheitsbeauftragter) ist die im deutschsprachigen Raum gebräuchliche Bezeichnung für dieselbe Rolle. Entscheidend ist nicht der Titel, sondern das Mandat: eine zugewiesene, erreichbare Person mit klarem Auftrag und Berichtsweg ans Leitungsorgan. Wir füllen die Rolle so, dass sie zu Ihrer Grösse und Aufsicht passt.
Kann ein externer CISO die Verantwortung des Leitungsorgans ersetzen?
Nein. DORA legt die Letztverantwortung für den ICT-Risikorahmen ins Leitungsorgan, und FINMA hält Verwaltungsrat und Geschäftsleitung für operationelle Risiken und Resilienz verantwortlich. Diese Verantwortung lässt sich nicht auslagern. Ein externer CISO entlastet das Gremium operativ, bereitet Entscheidungen vor und liefert das Reporting, mit dem das Leitungsorgan seine Aufsichtspflicht wahrnehmen kann. Die Letztverantwortung bleibt beim Board.
Gilt DORA für unser Schweizer Institut?
Für Schweizer Institute gilt DORA in der Regel nicht direkt. Häufig greift es indirekt, etwa über EU-Niederlassungen und Tochtergesellschaften oder über Verträge mit EU-regulierten Finanzunternehmen, die DORA-Anforderungen vertraglich weitergeben. Ob und wie DORA bei Ihnen wirkt, prüfen wir im Einzelfall. Unabhängig davon adressiert das FINMA-Rundschreiben 2023/01 zu operationellen Risiken und Resilienz dieselben Governance-Erwartungen, und es gilt für FINMA-beaufsichtigte Institute.
Wie oft sollte das Board ein Security-Reporting erhalten?
Eine feste Regel gibt es nicht, üblich ist eine regelmässige Kadenz, etwa quartalsweise, ergänzt um anlassbezogene Berichte bei wesentlichen Vorfällen oder Risiken. Wir stimmen die Kadenz auf Ihre Sitzungsrhythmen und Ihr Risikoprofil ab und halten sie in der Governance fest. Wichtig ist, dass das Reporting konsistent, board-tauglich und prüffähig ist, damit das Leitungsorgan jederzeit einen belegbaren Überblick hat.
Betreiben Sie ein SOC oder eine 24/7-Incident-Response?
Nein. SIDD ist ein rechtlich geführter Governance-, Compliance- und Security-Beratungspartner. Wir betreiben kein eigenes SOC, keine gemanagte oder live Incident Response und kein internes Red Team. Pentests und Schwachstellenscans gehören zu unserem Leistungsumfang. Rein operative Leistungen wie 24/7-Monitoring oder live Incident Response koordinieren wir bei Bedarf mit spezialisierten Partnern, das hält unsere Beratung unabhängig.
Arbeiten Sie auf Französisch und Englisch?
Ja. Wir führen Governance, Policies und Board-Reporting durchgängig in Deutsch, Französisch und Englisch, relevant für Institute mit Standorten oder Aufsicht in der Schweiz und der EU. So spricht das Reporting dieselbe Sprache wie Ihr Verwaltungsrat und Ihre Aufsicht.
Passende nächste Schritte
Ihre Security-Governance verzahnt sich eng mit der Sicherheitsrolle, dem ISMS und dem ICT-Risikomanagement:
Wir besetzen die Sicherheitsrolle als externer CISO/ISB, bauen das Governance-Framework auf und liefern ein board-taugliches Reporting, das der Verantwortung Ihres Leitungsorgans nach FINMA und DORA gerecht wird.
