Nach dem Vorfall bei der TechVision AG* (lesen Sie dazu Blog 1 dieser Serie) stellte der CEO dem IT-Leiter eine Frage: «Haben wir eigentlich ein ISMS?» Der IT-Leiter antwortete: «Ein was?»
Das ist kein Einzelfall. Und es ist kein Versagen des IT-Leiters. Es ist ein strukturelles Problem: Informationssicherheit wird in den meisten KMUs entweder gar nicht oder als rein technisches Thema behandelt. Beides ist falsch.
Was ein ISMS ist – in einem Satz
Ein Informationssicherheits-Managementsystem (ISMS) ist ein systematischer Ansatz, um die Informationen eines Unternehmens zu identifizieren, zu schützen und kontinuierlich zu verbessern. Es ist kein Produkt, das man kauft. Es ist ein Prozess, den man aufbaut und lebt.
Stellen Sie sich Ihr Unternehmen als Haus vor. Eine Firewall ist ein Schloss an der Haustür. Ein Antivirenprogramm ist eine Alarmanlage im Erdgeschoss. Ein ISMS hingegen fragt: Wie viele Türen hat das Haus? Wer hat welchen Schlüssel? Was passiert, wenn der Keller überflutet? Und wer ist verantwortlich, wenn etwas schiefgeht?
Der Unterschied zwischen «Wir haben eine Firewall» und «Wir managen Risiken»
Technische Massnahmen sind notwendig – aber nicht ausreichend. Das lässt sich mit einer simplen Statistik belegen: 90% aller erfolgreichen Cyberangriffe beginnen nicht mit einer Technologielücke, sondern mit einem Menschen. Ein Mitarbeitender klickt auf einen Link. Ein Passwort wird wiederverwendet. Ein Systemadministrator nutzt keinen zweiten Faktor.
Ein ISMS adressiert genau das. Es stellt sicher, dass:
- Risiken systematisch identifiziert und bewertet werden – nicht nur nach Gefühl
- Klare Verantwortlichkeiten existieren – nicht «die IT macht das»
- Mitarbeitende wissen, was sie tun dürfen und was nicht
- Vorfälle erkannt, gemeldet und ausgewertet werden
- Das Management regelmässig über die Sicherheitslage informiert ist
Für wen lohnt sich ISO 27001?
ISO 27001 ist der internationale Standard für ISMS. Er beschreibt nicht, welche Technologien einzusetzen sind, sondern welche Prozesse, Nachweise und Kontrollen ein Unternehmen benötigt. Die Zertifizierung ist der Nachweis gegenüber Kunden, Partnern und Behörden, dass diese Anforderungen erfüllt sind.
Die Frage, ob ISO 27001 sinnvoll ist, stellen sich die meisten Unternehmen falsch. Sie fragen: «Müssen wir das?» Die bessere Frage ist: «Was kostet es uns, es nicht zu tun?»
Situation 1: Kunden aus dem Enterprise-Bereich oder öffentliche Hand
ISO 27001 lohnt sich, weil Ausschreibungen verlangen zunehmend ISO 27001 als Minimalanforderung.
Situation 2: Verarbeitung von Personendaten (DSGVO/DSG)
ISO 27001 lohnt sich, weil das Zertifikat vereinfacht Datenschutz-Nachweise gegenüber Behörden.
Situation 3: Finanzdienstleistungen, Gesundheit, kritische Infrastruktur
ISO 27001 lohnt sich, weil FINMA, NIS2, DORA setzen ISMS-Anforderungen voraus oder empfehlen sie.
Situation 4: Wachstum und Investorengespräche
ISO 27001 lohnt sich, weil Due-Diligence-Prozesse fragen explizit nach Informationssicherheits-Standards
Situation 5: Cyberversicherung
ISO 27001 lohnt sich, weil Zertifizierte Unternehmen erhalten bessere Konditionen oder überhaupt erst Deckung
Situation 6: Alle anderen KMUs
ISO 27001 lohnt sich, weil ein Ransomware-Angriff ohne ISMS im Durchschnitt über 1,0 Mio. CHF kostet.
Was ein CISO macht – und was passiert, wenn man keinen hat
Ein Chief Information Security Officer (CISO) ist die Person, die das ISMS führt, Risiken bewertet, Massnahmen koordiniert und der Geschäftsleitung regelmässig berichtet. In grossen Unternehmen ist das eine Vollzeitstelle. In KMUs ist es oft eine von fünf Rollen, die der IT-Leiter irgendwie mit erledigt.
Das Problem ist nicht, dass KMUs keinen dedizierten CISO haben. Das Problem ist, dass die Funktion dann von niemandem wirklich ausgefüllt wird. Sicherheitsentscheide werden reaktiv getroffen, Risiken nicht systematisch bewertet, und wenn etwas passiert, weiss niemand, was zu tun ist.
Die Alternative: Ein externer CISO, der die Funktion auf Mandatsbasis übernimmt. CISO-as-a-Service nennt sich das Modell. Es gibt die nötige Expertise ohne Vollzeit-Gehaltskosten – und es ist genau das, was die meisten KMUs in der Schweiz brauchen.
Die drei grössten Missverständnisse über Informationssicherheit
Missverständnis 1: «Das ist ein IT-Thema.»
Informationssicherheit ist eine Führungsaufgabe. ISO 27001 Clause 5 verlangt ausdrücklich Management-Commitment. Der CEO muss die IS-Richtlinie unterschreiben. Der Aufsichtsrat muss über Risiken informiert sein. IT setzt um – aber Führung entscheidet.
Missverständnis 2: «Das ist zu teuer und zu komplex für uns.»
Ein ISO 27001-Projekt kostet je nach Ausgangslage 30'000–100'000 CHF für ein Unternehmen mit 50–200 Mitarbeitenden. Ein einziger Ransomware-Vorfall kostet im Schnitt ein Vielfaches davon. Der Return on Investment ist eindeutig.
Missverständnis 3: «Wir haben das alles schon – nur nicht auf Papier.»
«Nicht auf Papier» bedeutet für einen Auditor: Es existiert nicht. Ohne Dokumentation, ohne Nachweise, ohne Prozesse gibt es keine Konformität. Das ist keine Bürokratie-Übung – es ist die Grundlage für reproduzierbare Sicherheit.
Der erste Schritt ist einfacher als Sie denken
Ein ISMS-Aufbau beginnt nicht mit einem 200-seitigen Dokument und einem Jahr Projektlaufzeit. Er beginnt mit einer ehrlichen Bestandsaufnahme: Was haben wir? Was fehlt? Wo sind die grössten Risiken?
In den nächsten Blogs dieser Serie führen wir Sie durch den gesamten Weg – von der Risikoanalyse über die Dokumentation bis zum Audit. Schritt für Schritt, ohne Fachjargon.
Sie wollen verstehen, ob ein ISMS für Ihr Unternehmen sinnvoll ist – und was es konkret bedeuten würde? Wir beraten Sie in einem unverbindlichen Gespräch. Ohne Verpflichtung, ohne Verkaufsdruck. Kontaktieren Sie uns: security@centriq.ch
Das bringt die nächste Ausgabe dieser Blog-Serie:
Blog 3: Die 5 teuersten Sicherheitsfehler, die Schweizer KMUs machen
Mit konkreten Beispielen – und dem Test, ob Ihr Unternehmen betroffen ist.
*Die TechVision AG ist eine fiktive Firma, die uns über die nächsten Blogartikel begleiten wird.