Sollen Sie Ihr ISMS mit einem Beratungsprojekt aufbauen, mit einer ISMS-Software selbst führen oder gleich ein umfassendes GRC-System einführen? Die Antwort hängt davon ab, ob Sie vor allem einen Startimpuls brauchen oder ein Instrument für den laufenden Betrieb. Für viele KMU und Verwaltungen ist ein schlankes ISMS-Tool das Fundament, und Beratung wird gezielt dort eingekauft, wo internes Wissen fehlt.

Was hinter der Frage steckt

Software steht für Standardisierung, Beratung für Erfahrung und Begleitung. Das klingt nach einer einfachen Wahl. In der Praxis suchen die meisten Organisationen Antworten auf ganz konkrete Fragen: Wo stehen wir heute? Welche Lücken sind relevant? Welche Massnahmen sind fällig? Wie weisen wir Fortschritte gegenüber Geschäftsleitung, Revision oder Kunden nach?

Ein Beratungsprojekt und eine Software beantworten diese Fragen in unterschiedlichen Zeithorizonten:

• Ein Beratungsprojekt folgt einer Projektlogik: Analyse, Empfehlung, Übergabe. Nach Workshops, Interviews und Abschlussbericht beginnt die eigentliche Arbeit intern.
• Eine ISMS-Software folgt einer Betriebslogik: erfassen, bewerten, umsetzen, nachweisen, aktualisieren, und das Jahr für Jahr.

Wenn Ihr Hauptproblem ist, dass niemand weiss, wo man anfangen soll, kann Beratung der richtige Anschub sein. Wenn Ihr Hauptproblem ist, dass Bewertungen, Massnahmen, Risiken und Nachweise dauerhaft geführt werden müssen, ist eine Software meist das passendere Fundament.

Wann ein Beratungsprojekt sinnvoll ist

Beratung ist nicht automatisch die teurere oder langsamere Variante. Sie lohnt sich, wenn Orientierung gebraucht wird, die intern fehlt. Typische Anlässe:

• erstmalige Ausrichtung auf ISO 27001, wenn intern niemand die Norm kennt
• anspruchsvolle Governance-Fragen, etwa bei Fusionen oder stark verteilten Verantwortlichkeiten
• nach einem gravierenden Sicherheitsvorfall
• wenn heikle Themen in der Geschäftsleitung moderiert und klar benannt werden müssen
• wenn das Unternehmen noch keine gemeinsame Sprache für Informationssicherheit hat

Gute Berater bringen eine externe Sicht, Moderation und Erfahrung aus ähnlichen Fällen mit. Sie helfen, Prioritäten zu setzen und Entscheidungsvorlagen für die Geschäftsleitung aufzubereiten.

Die Qualität der Analyse ist selten das Problem. Schwierig wird die Verstetigung. Nach Projektende liegen die Erkenntnisse in Workshop-Protokollen, Excel-Listen, Folien und Berichten. Zuständigkeiten ändern sich, Massnahmen verzögern sich, Nachweise verteilen sich auf verschiedene Ablagen. Wer regelmässig bewerten und berichten muss, spürt diesen Bruch spätestens im zweiten Jahr.

Wann eine ISMS-Software die bessere Wahl ist

Eine Software ist dann stark, wenn Informationssicherheit als laufender Steuerungsprozess geführt werden soll. Für viele KMU und öffentliche Organisationen trifft genau das zu: Anforderungen müssen fortlaufend bewertet, dokumentiert und belegt werden.

Was eine Software dabei übernimmt:

• Bewertungen entlang eines Standards strukturiert erfassen und auswerten
• aus Lücken Massnahmen mit Verantwortlichen, Fristen und Status machen
• relevante Befunde in ein Risikoregister überführen
• Änderungen nachvollziehbar festhalten
• Berichte aus demselben Datenstand erzeugen, mit dem das Team arbeitet

Software ersetzt keine Fachentscheidung und keine Führungsverantwortung. Sie nimmt aber einen grossen Teil der administrativen Reibung aus dem Alltag. Für Organisationen, in denen Informationssicherheit neben dem Tagesgeschäft läuft, oft mit wenigen Personen und ohne eigene Stabsstelle, ist genau das der Hebel. Beratungsintensive Modelle lassen sich unter diesen Bedingungen nur begrenzt fortführen. Wie weit Sie ohne externe Hilfe kommen, zeigt der Leitfaden Risikobewertung ohne Berater umsetzen.

Wenn Sie heute noch mit Tabellen arbeiten: Wann Excel genügt und wann nicht mehr, behandelt der Leitfaden ISMS-Software oder Excel.

GRC-System oder ISMS-Tool

Wer sich für Software entscheidet, steht vor der nächsten Frage. Die Begriffe werden oft vermischt, beschreiben aber Lösungen mit sehr unterschiedlichem Umfang.

Was ein GRC-System leistet

GRC steht für Governance, Risk und Compliance. Ein GRC-System bildet diese Bereiche unternehmensweit in einer Plattform ab: Risiken aller Art, regulatorische Pflichten, interne Kontrollen, Richtlinien, Audits, Lieferantenrisiken und Freigabeprozesse. Es ist häufig auf grosse Unternehmen mit mehreren Geschäftsbereichen und formellen Governance-Strukturen ausgerichtet.

Der Vorteil ist die einheitliche Sicht, wenn neben Informationssicherheit auch Datenschutz, Finanzkontrollen, Vertragsrisiken oder Nachhaltigkeitsvorgaben in eine gemeinsame Architektur gehören. Der Preis dafür: Einführung, Datenmodellierung und Konfiguration sind aufwendig, brauchen interne Fachressourcen und oft externe Beratung. Wenn die Einführung selbst zum Grossprojekt wird, haben Sie das Beratungsprojekt nur verschoben.

Was ein ISMS-Tool leistet

Ein ISMS-Tool konzentriert sich auf das Informationssicherheitsmanagementsystem. Dabei hilft eine begriffliche Klärung: Das ISMS selbst ist ein Managementsystem aus Regeln, Verantwortlichkeiten, Risiken, Kontrollen und kontinuierlicher Verbesserung, das Sie mit keinem Produkt kaufen können. Das Tool strukturiert und digitalisiert diesen Prozess, damit er nicht in Dateien, Postfächern und Köpfen verschwindet.

Der praktische Nutzen beginnt meist mit einem Assessment: Das Team beantwortet Fragen entlang eines Standards, die Plattform wertet aus und zeigt die Lücken. Daraus entstehen Massnahmen, und offene Punkte wandern ins Risikoregister, wo sichtbar bleibt, ob ein Risiko reduziert, übertragen, akzeptiert oder beobachtet wird.

Die Unterschiede im Alltag

Kriterium	GRC-System	ISMS-Tool
Umfang	Viele Governance- und Compliance-Themen unternehmensweit	Informationssicherheit, oft ergänzt um verwandte Themen wie Datenschutz oder IKS
Einstieg	Zuerst Prozesse, Kontrollkataloge und Datenobjekte modellieren	Direkt mit der Bestandesaufnahme entlang eines Standards beginnen
Betrieben von	Spezialisierten Risiko-, Compliance- oder Internal-Audit-Funktionen	IT-Verantwortlichen, Informationssicherheitsbeauftragten, Fachverantwortlichen
Voraussetzungen	Ausgereiftes Governance-Modell, Ressourcen für Einführung und Pflege	Bereitschaft, regelmässig zu bewerten und Massnahmen zu verfolgen
Passt zu	Konzernen und Organisationen mit vielen Risikodisziplinen	KMU, Verwaltungen, halböffentlichen Organisationen

Ein ISMS-Tool ist deshalb nicht weniger professionell. Für Nachweise zählen klare Zuordnung, versionierte Ergebnisse, Rollenrechte und eine nachvollziehbare Historie. Professionalität zeigt sich daran, ob der aktuelle Stand, getroffene Entscheide und offene Massnahmen jederzeit belegbar sind, und weniger an der Anzahl Module.

Mischformen sind möglich. Eine wachsende Organisation kann mit einem ISMS-Tool beginnen und später ausgewählte Informationen an eine umfassendere Governance-Lösung übergeben. Umgekehrt kann ein vorhandenes GRC-System die übergeordnete Risikosteuerung übernehmen, während ein ISMS-Tool die operative Bewertung der Sicherheitsanforderungen trägt. Vermeiden Sie dabei doppelte Datenpflege und unklare Zuständigkeiten.

Entscheidungshilfe in sechs Fragen

Beginnen Sie mit Ihrem Steuerungsbedarf. Eine Funktionsliste hilft erst danach.

1. Muss das Thema dauerhaft intern gesteuert werden? Wenn ja, reicht ein einmaliges Konzeptpapier nicht.
2. Wie oft müssen Sie den Sicherheitsstatus aktualisieren oder nachweisen? Je regelmässiger, desto stärker wirkt ein softwarebasierter Ansatz.
3. Arbeiten mehrere Rollen zusammen, etwa IT, Compliance, Fachbereiche und Geschäftsleitung? Dann brauchen Sie Rollen und einen gemeinsamen Datenstand.
4. Geht es nur um Informationssicherheit oder um viele Governance-Bereiche? Nur bei Letzterem kommt ein GRC-System ernsthaft in Frage.
5. Wer arbeitet operativ mit dem System, und wie viel Zeit steht für Einführung, Pflege und Schulung zur Verfügung?
6. Welche Nachweise erwarten Geschäftsleitung, Revision, Kunden, Versicherer oder Behörden? Und müssen die Berichte auch für Personen ohne technischen Hintergrund verständlich sein?

Für Schweizer Organisationen kommt die Datenhaltung dazu: Wo werden sensible Sicherheits- und Compliance-Informationen gespeichert, wer hat Zugriff, und wie lassen sich Änderungen belegen? Kriterien dafür finden Sie im Leitfaden zur Schweizer Datenhaltung bei Sicherheitssoftware.

Ein Prüfstein: der Blick zwölf Monate voraus

Fragen Sie, welches Modell in einem Jahr noch funktioniert. Ist Ihr Sicherheitsstatus dann noch aktuell dokumentiert? Haben Massnahmen eine verantwortliche Person und eine Frist? Lassen sich Risiken nachvollziehbar ableiten? Versteht die Geschäftsleitung den Stand mit vertretbarem Aufwand? Wer diese Fragen ehrlich beantwortet, landet selten bei einem reinen Beratungsprojekt ohne Werkzeug für danach.

Der Mittelweg: Plattform als Fundament, Beratung gezielt

Oft ist die beste Antwort eine Kombination. Die operative Steuerung läuft über eine ISMS-Plattform, und Beratung kommt dort zum Einsatz, wo spezifische Erfahrung wirklich etwas bringt:

• bei der Initialisierung, etwa zur Festlegung von Geltungsbereich und Zielniveau
• bei einer Gap-Analyse zu einem bestimmten Standard
• bei der Vorbereitung auf ein Zertifizierungsaudit, wie im Leitfaden zur Auditvorbereitung für ISO 27001 beschrieben
• bei Sonderthemen, für die intern das Fachwissen fehlt

Der Vorteil: Ihre Organisation bleibt im Besitz ihres Prozesses. Bewertungen, Nachweise, Massnahmen und Risiken liegen in einer gemeinsamen Arbeitsumgebung statt in verstreuten Dokumenten oder beim externen Partner. Die Beratung wird präziser, weil sie keine Basisarbeit mehr leisten muss und auf einem dokumentierten Stand aufsetzen kann. Eine Übersicht über die Kostenblöcke beider Wege gibt der Leitfaden Was kostet ein ISMS wirklich?.

Wie SCMC in dieses Bild passt

SCMC ist ein ISMS-Tool im obigen Sinn und kein GRC-System. Die Plattform bietet strukturierte Selbstbeurteilungen entlang etablierter Rahmenwerke, etwa ISO 27001, den IKT-Minimalstandard, NIST CSF 2.0 oder NIS2, dazu Module für Cyber-Risikomanagement, Datenschutz und das Interne Kontrollsystem. Mehrere Module lassen sich in einem Projekt kombinieren.

Für den laufenden Betrieb heisst das konkret: Massnahmen tragen eine Frist und eine verantwortliche Person, die Validierung ebenso, Erinnerungen gehen per E-Mail hinaus, und «Meine Aufgaben» zeigt jeder Person, was auf sie läuft. Ein Verlauf hält fest, was sich wann geändert hat. Die Bewertung, die Massnahmen und die Risikoanalyse lassen sich als bearbeitbare Word-Dokumente herunterladen, was auch einer Beraterin oder einem Auditor die Arbeit erleichtert. Fürs nächste Jahr wird eine Bewertung dupliziert, und der Fortschritt bleibt vergleichbar.

SCMC ersetzt keine Beratung, wo echte Expertise gefragt ist, und stellt keine Zertifikate aus. Ein Einstieg ohne Abonnement ist der kostenlose Cyber Security Basis Check. Für Geschäftsleitungen, die zuerst verstehen wollen, warum Informationssicherheit Chefsache ist, gibt es das Selbstlernmodul «SCMC Cyber-Risiken: Führung gefordert», entstanden mit der HWZ. Wie ein ISMS im KMU insgesamt aufgebaut wird, beschreibt der Leitfaden ISMS für Schweizer KMU.

Was am Ende zählt

Ein System bringt nur etwas, wenn es regelmässig gepflegt wird. Ein umfangreiches GRC-System, das nach dem Start kaum aktualisiert wird, ist so wenig wert wie ein Beratungsbericht in der Schublade oder ein ISMS-Tool mit Bewertungen ohne Verantwortliche und Fristen.

Planen Sie deshalb von Beginn an feste Zyklen: Sicherheitsstatus bewerten, Ergebnisse mit den Verantwortlichen prüfen, Massnahmen priorisieren, Risiken beurteilen, der Geschäftsleitung berichten. Für manche Organisationen reicht eine jährliche Gesamtbewertung mit regelmässiger Kontrolle der Massnahmen, andere brauchen kürzere Zyklen. Kaufen Sie Beratung gezielt ein, wo Sie sie brauchen, und behalten Sie Steuerung und Nachweis in der eigenen Hand.