CybersicherheitCybersecurity
12. Oktober 202612 October 2026
5 Min. Lesezeit5 min read
Cyberresilienz für KMU und Gemeinden: die CSRM in fünf SchrittenCyber Resilience for SMEs and Municipalities: the CSRM in Five Steps
Viele KMU, Gemeinden und Betreiber kritischer Infrastrukturen fragen sich, wie sie ihre Cybersicherheit und Resilienz nachvollziehbar aufbauen und ausweisen können, ohne bei null zu beginnen. Das Bundesamt für Cybersicherheit (BACS) stellt dafür die Cybersicherheits- und Resilienzmethode (CSRM) bereit, Stand 24. November 2025. Dieser Ratgeber fasst zusammen, wie die Methode aufgebaut ist.
Die fünf Schritte der CSRM
| Schritt | Inhalt |
|---|
| 1. Wichtige Tätigkeiten analysieren | Welche Tätigkeiten und Prozesse sind für den Betrieb wichtig? |
| 2. Informatikschutzobjekte bestimmen | Welche Systeme und Anwendungen stützen diese Tätigkeiten? |
| 3. Schutzbedarf analysieren | Grundsätzlich ein binärer Entscheid: erhöhter Schutzbedarf ja oder nein. |
| 4. Sicherheit konzipieren | Sicherheitskonzepte für Schutzobjekte mit erhöhtem Schutzbedarf, empfohlen mit dem Raster STRIDE-LM. |
| 5. Umsetzen | Die Basisanforderungen aus Anhang C und die zusätzlichen Massnahmen aus den Sicherheitskonzepten. |
Was sind die 20 Basisanforderungen?
Anhang C der CSRM gliedert 20 Basisanforderungen nach den Funktionen des NIST Cybersecurity Framework 2.0: GOVERN (4), IDENTIFY (2), PROTECT (9), DETECT (2) sowie RESPOND und RECOVER, die zu einer Gruppe zusammengelegt sind (3). Wer die CSRM anwendet, erfüllt zwei davon bereits mit der Methode selbst: das Cyberrisikomanagement (1.2) und die Bestimmung der Informatikschutzobjekte (2.1).
Was ist STRIDE-LM?
STRIDE-LM ist ein Raster mit sieben Bedrohungskategorien, mit dem je Schutzobjekt geprüft wird, was schiefgehen kann:
- Spoofing: Identitätsverschleierung
- Tampering: Manipulation
- Repudiation: Verleugnung
- Information Disclosure: Verletzung der Privatsphäre oder Datenabfluss
- Denial of Service: Verweigerung des Dienstes
- Elevation of Privilege: Rechteausweitung
- Lateral Movement: seitliche Ausbreitung im Netzwerk
Wie steht es um die Cyberresilienz? Die sechs Prüfziele
Kapitel 8 der CSRM nennt sechs Prüfziele für eine Standortbestimmung. Das BACS hat sie im Pilot des Cyberresilienz-Assessments (CyRA) mit Gemeinden und Unternehmen im Kanton Aargau erprobt; der Ergebnisbericht wurde am 26. Juni 2026 veröffentlicht. Bewertet wird binär, erfüllt oder nicht erfüllt. Eine Reifegradskala lässt Lücken in einer Mittelkategorie verschwinden; ein Ja oder Nein muss belegt werden.
- Prozesse und Abhängigkeiten bekannt
- Verantwortung, Ressourcen und Kultur
- Bedrohungslage und Schutzbedarf geklärt
- Technische und organisatorische Massnahmen umgesetzt, konsistentes Konzept
- Detektion und rasche Wiederherstellung
- Dritte und Lieferketten kontrolliert
Die offiziellen Prüfkataloge des CyRA sind nicht öffentlich. Unser kostenloses Cyberresilienz-Assessment macht jedes Prüfziel deshalb mit drei eigenen Prinzipien prüfbar, 18 insgesamt, jedes mit Ja oder Nein zu beantworten.
Welche Dokumente entstehen?
Aus den Antworten erzeugt unser Assessment vier Dokumente: die CSRM-Dokumentation zu den Schritten 1 bis 3, die Sicherheitskonzepte, den Umsetzungsplan zu den Basisanforderungen und die Standortbestimmung Cyberresilienz.
Einordnung: Das Assessment von Cavora Partners ist eine unabhängige Umsetzung der CSRM und nicht das Cyberresilienz-Assessment des Bundes. Es ist eine Selbstbewertung, ersetzt weder eine externe Prüfung noch eine Rechtsberatung und sagt nichts darüber aus, ob eine Meldepflicht nach dem Informationssicherheitsgesetz besteht. Das BACS will die Webanwendung aus dem Pilot weiterentwickeln und einem breiteren Kreis zugänglich machen. Ihre Daten bleiben im Browser; es gibt keinen Upload und kein Konto.
Quellen
Many SMEs, municipalities and critical infrastructure operators ask themselves how they can build up and demonstrate their cyber security and resilience in a traceable way without starting from scratch. For this, the Swiss National Cyber Security Centre (NCSC, in German BACS) provides the Cyber Security and Resilience Method (CSRM), dated 24 November 2025. This guide summarises how the method is structured.
The five steps of the CSRM
| Step | Content |
|---|
| 1. Analyse important activities | Which activities and processes matter for operations? |
| 2. Determine IT protection objects | Which systems and applications support these activities? |
| 3. Analyse protection needs | In principle a binary decision: increased protection need, yes or no. |
| 4. Design security | Security concepts for protection objects with increased protection needs, recommended with the STRIDE-LM grid. |
| 5. Implement | The baseline requirements from Annex C plus the additional measures from the security concepts. |
What are the 20 baseline requirements?
Annex C of the CSRM groups 20 baseline requirements by the functions of the NIST Cybersecurity Framework 2.0: GOVERN (4), IDENTIFY (2), PROTECT (9), DETECT (2), and RESPOND and RECOVER merged into one group (3). Anyone applying the CSRM already meets two of them through the method itself: cyber risk management (1.2) and determining the IT protection objects (2.1).
What is STRIDE-LM?
STRIDE-LM is a grid of seven threat categories used to check, for each protection object, what can go wrong:
- Spoofing: impersonating an identity
- Tampering: manipulation
- Repudiation: denying an action
- Information Disclosure: privacy breach or data leakage
- Denial of Service: making a service unavailable
- Elevation of Privilege: gaining higher rights
- Lateral Movement: spreading sideways through the network
How resilient are you? The six audit goals
Chapter 8 of the CSRM names six audit goals for an assessment. The NCSC tested them in the pilot of the Cyber Resilience Assessment (CyRA) with municipalities and companies in the canton of Aargau; the results report was published on 26 June 2026. The rating is binary, met or not met. A maturity scale lets gaps disappear in a middle category; a yes or no has to be backed by evidence.
- Processes and dependencies known
- Responsibility, resources and culture
- Threat situation and protection needs clarified
- Technical and organisational measures implemented, consistent concept
- Detection and rapid recovery
- Third parties and supply chains controlled
The official CyRA test catalogues are not public. Our free cyber resilience assessment therefore makes each audit goal testable with three principles of our own, 18 in total, each answered with yes or no.
Which documents are produced?
From your answers our assessment produces four documents: the CSRM documentation for steps 1 to 3, the security concepts, the implementation plan for the baseline requirements and the cyber resilience assessment report.
Please note: The Cavora Partners assessment is an independent implementation of the CSRM and not the federal Cyber Resilience Assessment. It is a self-assessment, replaces neither an external audit nor legal advice and says nothing about whether a reporting obligation under the Information Security Act applies. The NCSC intends to develop the web application from the pilot further and make it available to a wider group of users. Your data stays in your browser; there is no upload and no account.
Sources
Standortbestimmung kostenlos starten
Das Cyberresilienz-Assessment führt Sie durch die fünf Schritte der CSRM und die sechs Prüfziele und erzeugt die vier Dokumente. Kostenlos, ohne Konto, die Daten bleiben in Ihrem Browser.
Start your assessment for free
The cyber resilience assessment guides you through the five CSRM steps and the six audit goals and produces the four documents. Free, no account, your data stays in your browser.
