Reicht Excel für Ihr ISMS, oder brauchen Sie eine Software? Für eine erste Bestandesaufnahme mit einer verantwortlichen Person genügt Excel oft. Sobald mehrere Personen bewerten, Massnahmen über Monate verfolgt und Nachweise gegenüber Geschäftsleitung oder Audit erbracht werden müssen, kippt die Rechnung zugunsten einer Software. Dieser Leitfaden zeigt, woran Sie den Punkt erkennen und wie ein Wechsel ohne Bruch gelingt.

Wo die Frage typischerweise auftaucht

Ein ISMS mit Excel beginnt fast immer gut. Eine Tabelle mit Anforderungen, eine Spalte für den Ist-Zustand, eine für Massnahmen, dazu Verantwortliche und Termine: Nach wenigen Tagen gibt es ein sichtbares Resultat.

Nach einigen Monaten sieht es oft anders aus. Versionen kursieren per E-Mail, Massnahmen stehen in einer eigenen Liste, Risiken in einer dritten Datei, und der Bericht für die Geschäftsleitung entsteht kurz vor dem Audit unter Zeitdruck. Niemand ist sicher, welche Datei den aktuellen Stand zeigt. An diesem Punkt stellt sich die Frage nach dem Werkzeug ernsthaft.

Ein ISMS ist ein laufender Prozess: Bewertungen werden aktualisiert, Massnahmen verschoben, Risiken neu priorisiert, Nachweise ergänzt. Ob Excel dafür taugt, hängt weniger von Excel ab als davon, wie viele Personen beteiligt sind und wie viel Nachvollziehbarkeit verlangt wird.

Was Excel gut kann

Excel ist der eigentliche Konkurrent jeder ISMS-Software, und das aus guten Gründen:

• Es ist schon da. Keine Beschaffung, keine Freigabe, kein neues Login.
• Alle können es bedienen. Fachbereiche brauchen keine Schulung, um eine Spalte auszufüllen.
• Es ist flexibel. Anforderungen lassen sich spontan ergänzen, Skalen anpassen, einfache Auswertungen mit Formeln bauen.
• Es eignet sich für Workshops. Eine Tabelle am Bildschirm, alle im Raum, Zeile für Zeile durchgehen: Das funktioniert.
• Es ist gut für Momentaufnahmen. Ein einmaliger Abgleich gegen einen kleinen Anforderungskatalog, eine erste Inventur oder eine einmalige Lieferantenabfrage lassen sich damit pragmatisch erledigen.

Wenn eine Person einmal im Jahr eine kurze Selbsteinschätzung erstellt und niemand einen Nachweis über Änderungen verlangt, ist eine spezialisierte Software möglicherweise mehr, als Sie brauchen.

Wo Excel im ISMS an Grenzen stösst

Die Grenzen zeigen sich selten am ersten Tag. Sie wachsen mit jeder zusätzlichen Person, jedem weiteren Standard und jedem Review-Zyklus.

Nachvollziehbarkeit

Wer hat welche Bewertung geändert? Wann wurde eine Massnahme verschoben? Auf welcher Grundlage gilt ein Risiko als akzeptiert? Mit gemeinsamer Ablage, Versionsverlauf und Änderungsspalten lässt sich einiges abbilden. Es setzt aber voraus, dass alle diszipliniert mitziehen, und im Audit ist ein solcher Verlauf mühsam zu belegen.

Zusammenarbeit

Sobald IT, Compliance, Fachbereiche und Geschäftsleitung am selben ISMS arbeiten, braucht es Rollen, Zugriffe und einen gemeinsamen Datenstand. Freigegebene Dateien und Abstimmungen per E-Mail führen zu Dubletten, Schattenversionen und Kommentaren, die nirgends ankommen.

Verknüpfung von Bewertung, Massnahme und Risiko

In einem funktionierenden ISMS hängen Anforderungen, Bewertungen, Massnahmen und Risiken zusammen. Eine erkannte Lücke soll zur Massnahme werden, eine überfällige Massnahme kann die Risikoeinschätzung verändern. In Excel entstehen dafür meist mehrere Dateien, und die Verbindung zwischen Befund und Massnahme hält nur, solange jemand sie von Hand pflegt.

Mehrere Standards

Wer einen Basis-Check, ISO 27001 und den IKT-Minimalstandard parallel betrachtet, baut in Tabellen schnell komplizierte Zuordnungen. Ab da wird mehr verwaltet als gesteuert.

Berichte

Die Geschäftsleitung braucht klare Aussagen: Wo stehen wir? Welche Lücken sind kritisch? Welche Massnahmen laufen, welche Risiken bleiben offen? Wer diese Berichte jedes Mal aus mehreren Tabellen neu zusammensetzt, investiert Zeit und riskiert Widersprüche zwischen Bericht und Arbeitsstand.

Wiederholung

Ein ISMS wird jährlich oder häufiger neu bewertet. In Excel heisst das: Datei kopieren, umbenennen, alte Werte bereinigen und hoffen, dass der Vergleich mit dem Vorjahr noch stimmt, wenn sich zwischendurch Spalten verschoben haben.

Was eine ISMS-Software anders macht

Eine Software ist mehr als eine schönere Oberfläche. Sie gibt den Ablauf vor: Erfassung des Ist-Zustands entlang eines Standards, Auswertung der Lücken, Massnahmen mit Verantwortlichen und Fristen, Verknüpfung mit Risiken, Bericht aus denselben Daten. Befunde müssen nicht von Datei zu Datei übertragen werden, und alle Beteiligten sehen denselben Stand.

Gute Software muss dabei drei Dinge leisten:

1. Sie bildet den tatsächlichen Prozess Ihrer Organisation ab, von der Bewertung bis zum Nachweis.
2. Sie ist ohne grossen Beratungsaufwand verständlich nutzbar.
3. Sie bereitet die Ergebnisse so auf, dass operative Teams und Geschäftsleitung mit denselben Informationen arbeiten, nur in unterschiedlicher Tiefe.

Die Sorge vieler Verantwortlicher ist berechtigt: Sie wollen Excel ablösen, aber kein schwerfälliges System einführen, das Monate bis zum Einsatz braucht. Nicht jede Software vereinfacht die Arbeit. Wie Sie zwischen Software, Beratung und grossem GRC-System abwägen, beschreibt der Leitfaden ISMS-Software oder Beratungsprojekt.

Was gegen Software spricht

Fair bleiben heisst auch, die Nachteile zu nennen:

• Laufende Kosten. Eine Software kostet ein Abonnement, Excel scheinbar nichts.
• Vorgegebene Struktur. Wer seine eigene Skala oder ein sehr spezielles Vorgehen hat, muss sich in eine vorgegebene Logik einfinden.
• Einführung. Alle Beteiligten brauchen Zugang und müssen sich zurechtfinden, auch wenn das bei einer schlanken Lösung schnell geht.
• Abhängigkeit vom Anbieter. Klären Sie, ob Sie Ihre Daten in einem offenen Format wieder herausbekommen und wo sie gespeichert sind.

Entscheidungshilfe

Ihre Situation	Excel genügt	Software lohnt sich
Beteiligte	Eine verantwortliche Person	Mehrere Personen aus IT, Fachbereichen, Compliance
Häufigkeit	Einmalige Bestandesaufnahme	Wiederkehrende Bewertung, jährlich oder öfter
Standards	Ein kleiner Anforderungskatalog	ISO 27001, IKT-Minimalstandard, NIST CSF 2.0 oder mehrere parallel
Massnahmen	Wenige, kurzfristig erledigt	Viele, über Monate, mit Fristen und Verantwortlichen
Nachweise	Niemand verlangt eine Historie	Audit, Revision, Aufsicht oder Kunden fragen nach dem Weg zum Ergebnis
Berichte	Gelegentlich, informell	Regelmässig an Geschäftsleitung oder Verwaltungsrat

Wenn in der rechten Spalte mehr als ein oder zwei Punkte auf Sie zutreffen, sollten Sie eine Software ernsthaft prüfen.

Warnsignale im Alltag

• Es kursieren mehrere Versionen, und niemand weiss sicher, welche gilt.
• Für ein Audit werden Nachweise tagelang zusammengesucht.
• Aus Bewertungen entstehen Massnahmen, die danach niemand mehr verfolgt.
• Es ist unklar, wer für eine Massnahme verantwortlich ist und bis wann.
• Der Vergleich mit dem Vorjahr ist nicht mehr zuverlässig möglich.
• Eine einzelne Person hält das Konstrukt zusammen, und bei ihrer Abwesenheit steht es still.

Die Kostenfrage

Excel wirkt günstiger, weil die Lizenz schon vorhanden ist. Die Kosten fallen trotzdem an: in Abstimmungen, manuellen Übertragungen, Fehlerkorrekturen und der Berichtserstellung. Sie erscheinen auf keiner Rechnung, man findet sie im Kalender der Leute, die das ISMS pflegen. Je grösser das ISMS wird, desto deutlicher zeigt sich das.

Rechnen Sie deshalb mit den Gesamtkosten über mehrere Jahre, einschliesslich interner Arbeitszeit. Wer nach einem Jahr Excel doch migriert, bezahlt den Aufbau der Tabellen und den Umstieg. Eine ausführliche Aufstellung finden Sie im Leitfaden Was kostet ein ISMS wirklich?. Die Preise der SCMC-Module stehen auf der Preisseite.

Wenn Sie bei Excel bleiben: Regeln, die helfen

Wenn Excel für Ihre Situation passt, machen einige Regeln es deutlich robuster:

• Eine führende Datei an einem festen Ort, keine Kopien per E-Mail.
• Eine Zeile pro Anforderung mit fester Struktur: Anforderung, Ist, Soll, Begründung, Nachweislink, Massnahme, verantwortliche Person, Frist, Status.
• Feste Auswahllisten für Bewertungen und Status statt Freitext.
• Eine Änderungsspalte mit Datum und Kürzel, wenn sich eine Bewertung ändert.
• Ein Blatt pro Jahr, damit der Vergleich mit dem Vorjahr möglich bleibt.
• Eine Person, die für die Datei verantwortlich ist und Änderungen freigibt.

Wie die Massnahmenseite einer solchen Datei aussehen kann, zeigt der Leitfaden zum Massnahmenplan Informationssicherheit, für die Risikoseite die Vorlage für ein Risikoregister.

Kein Entweder-oder: Excel und SCMC zusammen

Viele Teams arbeiten gern in Excel, etwa gemeinsam in einer Sitzung oder verteilt auf mehrere Fachleute. In SCMC müssen Sie darauf nicht verzichten.

• «Bewertung als Excel» lädt den aktuellen Stand als .xlsx herunter. Die Fragen stehen nach Bereichen gegliedert mit IST, SOLL, Begründung und Dokumentlink, bei freigeschalteten Massnahmen samt Massnahmen und Validierungen. Je nach Modul kommen ein Blatt für die Risikobewertung und eines für die Zeilen dazu. Die Werte wählen Sie aus Listen mit dem Text Ihrer Skala.
• «Importieren» liest die Datei wieder ein, als neue Bewertung oder über eine bestehende. Vor dem Überschreiben zeigt SCMC jede Änderung vom alten auf den neuen Wert und schreibt erst nach Ihrer Bestätigung. Eine leere Zelle ändert nichts. Enthält die Datei Fehler, erhalten Sie eine Liste mit Blatt, Zeile und Spalte, und es wird nichts geschrieben.

Damit bleibt Excel das Werkzeug für die Erfassung im Workshop, und die Plattform übernimmt, was Excel schlecht kann:

• Der Verlauf einer Frage, Massnahme oder eines Risikos zeigt als Zeitleiste, was sich wann geändert hat und wer zuletzt geändert hat.
• Massnahmen tragen Frist und verantwortliche Person, die Validierung ebenso. Erinnerungen gehen per E-Mail hinaus, und «Meine Aufgaben» zeigt jeder Person, was auf sie läuft.
• Die Risikoauswertung stellt Risiko- und Restrisikomatrix nebeneinander.
• Berichte entstehen als bearbeitbare Word-Dokumente für die ganze Bewertung, die Massnahmen und die Risikoanalyse, dazu ein PDF-Bericht.
• «Duplizieren» legt fürs nächste Jahr eine neue Bewertung mit allen aktuellen Antworten, Massnahmen und Risiken an, die Historie bleibt bei der ursprünglichen.
• Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich). Was das für die Auswahl von Sicherheitssoftware bedeutet, beschreibt der Leitfaden zur Schweizer Datenhaltung bei Sicherheitssoftware.

Der Umstieg in der Praxis

Ein Wechsel heisst nicht, dass jede Tabelle sofort verschwindet. Was sich ändert, ist die führende Quelle: Der verbindliche Stand liegt in der Plattform, Excel dient als Hilfsmittel.

1. Standard wählen. Erheben Sie den Ist-Zustand entlang eines passenden Rahmens, etwa mit dem kostenlosen Cyber Security Basis Check für den Einstieg oder dem ISO-27001-Assessment für ein vollständiges ISMS.
2. Bestehende Bewertungen übernehmen. Exportieren Sie die leere Bewertung als Excel, übertragen Sie Ihre bisherigen Einschätzungen und lesen Sie die Datei wieder ein.
3. Grösste Lücken in Massnahmen überführen, mit Frist und verantwortlicher Person.
4. Risiken bewerten, wo Lücken nicht sofort geschlossen werden.
5. Nach einem Jahr duplizieren und den Fortschritt gegenüber dem Vorjahr sichtbar machen.

Das System ist nicht auf einen Schlag perfekt, wird aber von Beginn an belastbarer. Antworten auf praktische Fragen zum Excel-Import finden Sie im Hilfe-Center.

Ob Excel oder Software: Entscheidend ist, ob das Werkzeug zur Verantwortung passt, die damit getragen wird. Wenn ein Audit ansteht, lohnt sich zusätzlich ein Blick in den Leitfaden zur Auditvorbereitung für ISO 27001.