ISO 27001 oder Basis Check: Die beiden beantworten unterschiedliche Fragen. Ein Basis Check zeigt rasch, wo Ihre Organisation heute steht und welche Kernanforderungen erfüllt sind. ISO 27001 regelt, wie Sie Informationssicherheit als Managementsystem dauerhaft führen und gegenüber Dritten nachweisen. Verlangt niemand ein Zertifikat, ist der Basis Check meist der vernünftige erste Schritt; verlangt jemand eines, führt der Weg zu ISO 27001, und der Basis Check kann den Start verkürzen.

Worin sich die beiden unterscheiden

ISO 27001 ist eine international anerkannte Norm für ein Informationssicherheits-Managementsystem (ISMS). Sie fordert klare Verantwortlichkeiten, dokumentierte Prozesse, eine strukturierte Risikobehandlung, regelmässige Überprüfung und kontinuierliche Verbesserung. Die aktuelle Fassung ISO/IEC 27001:2022 enthält im Anhang A 93 Kontrollen. Ein Zertifikat stellen akkreditierte Zertifizierungsstellen aus.

Ein Basis Check ist eine pragmatische Standortbestimmung. Im Schweizer Umfeld ist damit häufig der Cyber Security Basis Check oder ein an den IKT-Minimalstandard angelehntes Assessment gemeint. Er prüft, ob die wesentlichen Schutzmassnahmen vorhanden, dokumentiert und wirksam sind, und liefert eine Übersicht der Lücken mit Prioritäten.

Kriterium	Basis Check	ISO 27001
Beantwortet die Frage	Wo stehen wir heute, was ist dringend?	Wie führen wir Informationssicherheit dauerhaft und nachweisbar?
Umfang	Kernanforderungen, fokussiert	gesamtes Managementsystem plus Kontrollen des Anhangs A
Ergebnis	Standortbestimmung, Lücken je Bereich, Handlungsfelder	ISMS mit Risikobehandlung, internen Audits, Managementbewertung
Nachweis nach aussen	dokumentierte Selbstbeurteilung	Zertifikat nach externem Audit möglich
Aufwand	gering, rasch erste Ergebnisse	erheblich, laufender Betrieb nötig
Zeithorizont	Erkenntnisse in kurzer Zeit	Nutzen entsteht über Aufbau und Betrieb
Geeignet für	ersten Überblick, knappe Ressourcen, Einstieg	externe Nachweispflicht, dauerhafte Professionalisierung

Wann ISO 27001 die bessere Wahl ist

Für ISO 27001 sprechen vor allem Anforderungen von aussen:

• Ein Kunde verlangt ausdrücklich ein Zertifikat oder ein zertifizierungsnahes Vorgehen.
• Ausschreibungen setzen einen anerkannten Nachweis voraus.
• Sie verarbeiten in grossem Umfang sensible Daten für Dritte.
• Sie sind in Lieferketten mit hohen Sicherheitsanforderungen eingebunden.
• Regulatorischer Druck verlangt eine formell dokumentierte Governance.

Auch ohne äusseren Druck kann ISO 27001 sinnvoll sein, wenn eine wachsende Organisation ihr Sicherheitsmanagement standardisieren will. Ad hoc gepflegte Einzelmassnahmen tragen dann nicht mehr. Es braucht ein System, das Personalwechsel, Audits und Managemententscheide übersteht.

Der Preis ist höherer Aufwand: mehr Dokumentation, mehr Governance, mehr Disziplin im Betrieb. Für ein kleines KMU ohne Nachweisdruck kann das im ersten Schritt zu viel sein, weil Reifegrad und verfügbare Ressourcen noch nicht dazu passen. Mit welchen Kosten und Aufwänden Sie rechnen müssen, zeigt der Leitfaden Was kostet ein ISMS.

Wann ein Basis Check mehr bringt

Ein Basis Check passt, wenn Sie zuerst Klarheit über den Ist-Zustand brauchen. Viele KMU haben technische Massnahmen, einzelne Richtlinien und gute Praxis im Betrieb, aber kein vollständiges Bild davon. Ein strukturierter Check schafft dieses Bild in kurzer Zeit.

Typische Ausgangslagen:

• Die Geschäftsleitung will wissen, wo die Organisation steht, und es gibt keine aktuelle Gesamtsicht.
• Sicherheitsverantwortung ist auf mehrere Rollen verteilt, niemand hat den Überblick.
• Ressourcen sind knapp, und Sie wollen sie dort einsetzen, wo das Risiko am grössten ist.
• Management und Fachbereiche müssen zuerst ein gemeinsames Verständnis entwickeln, bevor ein ISMS akzeptiert wird.

Die Anforderungen eines Basis Checks lassen sich verständlich prüfen, Lücken werden sichtbar, und daraus entstehen konkrete Massnahmen. Für IT-Verantwortliche ist das oft hilfreicher als ein Soll-Zustand, der im Alltag noch nicht verankert ist. Wie ein Basis Check in einem KMU konkret abläuft, zeigt das Beispiel Schritt für Schritt.

Ein Basis Check hat Grenzen. Er ist eine Selbstbeurteilung und kein Zertifikat. Wer komplexe regulatorische Vorgaben erfüllen muss oder einen formellen Nachweis gegenüber Dritten braucht, kommt mit ihm allein nicht ans Ziel.

Fünf Fragen für die Entscheidung

1. Verlangt jemand ausdrücklich ISO 27001? Wenn ein Kunde, ein Vertrag oder eine Ausschreibung das fordert, ist die Richtung vorgegeben. Offen bleibt nur, ob Sie mit einem Basis Check vorab die grössten Lücken sichtbar machen.

2. Wie reif ist Ihre Sicherheitsorganisation heute? Gibt es Verantwortliche, ein Inventar, Richtlinien, ein Risikoregister? Je weniger davon vorhanden ist, desto mehr spricht für einen Basis Check als ersten Schritt.

3. Was wollen Sie in sechs Monaten erreicht haben? Transparenz und die wichtigsten Lücken geschlossen, oder ein laufendes Managementsystem? Das Ziel bestimmt den Weg.

4. Welche Ressourcen stehen bereit? Ein ISMS braucht über Jahre Zeit von Geschäftsleitung, IT und Fachbereichen. Wenn diese Zeit nicht verfügbar ist, scheitert ein ISO-Projekt eher an der Umsetzung als an der Norm.

5. Was braucht die Geschäftsleitung für ihre Entscheide? Meist ist es ein verständlicher Überblick über Risiken, Prioritäten und Fortschritt. Den liefert ein sauber durchgeführter Basis Check früher.

Fehlen externe Anforderungen, entscheidet die Umsetzbarkeit. Dann ist der Basis Check meist das bessere Instrument, um rasch Klarheit zu erhalten und Mittel gezielt einzusetzen.

Der häufigste Denkfehler

Verbreitet ist die Sicht, ISO 27001 sei «besser» und der Basis Check die «kleinere Variante». Die beiden haben einen unterschiedlichen Zweck. Wer den Zweck verwechselt, investiert in das falsche Vorhaben:

• Ein Unternehmen steckt viel Zeit in die Dokumentation eines ISMS und schliesst trotzdem die dringenden operativen Lücken nicht, etwa ungetestete Backups oder unkontrollierte Administratorkonten.
• Ein anderes führt einen Basis Check durch, behandelt das Ergebnis wie einen Nachweis gegenüber Kunden und stellt später fest, dass dieser ein Zertifikat erwartet hatte.

Die bessere Frage lautet: Welchen Nachweis, welchen Grad an Steuerung und welches Ziel brauchen wir tatsächlich?

Der Stufenweg: zuerst Basis Check, dann ISO 27001

Viele Organisationen gehen in Etappen vor. Das reduziert Reibung und erhöht die Chance, dass aus der Bewertung ein funktionierender Verbesserungsprozess wird.

1. Basis Check durchführen. Ist-Zustand erfassen, Belege hinterlegen, Lücken priorisieren.
2. Dringende Lücken schliessen. Massnahmen mit Verantwortlichen und Fristen umsetzen, Restrisiken im Register festhalten.
3. Vertiefen. Je nach Ziel mit einem vollständigen ISO-27001-Assessment, mit dem IKT-Minimalstandard oder mit NIST CSF 2.0. Welches dieser Rahmenwerke passt, klärt der Leitfaden ISO 27001 oder NIST CSF.
4. ISMS aufbauen. Geltungsbereich, Risikomethodik, Rollen, interne Audits und Managementbewertung einführen. Eine Anleitung für KMU bietet der Leitfaden ISMS für Schweizer KMU.
5. Zertifizierung vorbereiten, falls sie nötig ist. Wie Sie das Audit planen, beschreibt Auditvorbereitung für ISO 27001.

Der Stufenweg lohnt sich vor allem, wenn die Fragen des Basis Checks bereits auf ISO-27001-Kontrollen abgebildet sind. Dann sind Antworten und Belege aus dem ersten Schritt für die Vertiefung brauchbar.

Was bei beiden entscheidet

Ob ISO 27001 oder Basis Check, der Nutzen entsteht in der Auswertung und Umsetzung. Viele Vorhaben verlieren an dieser Stelle an Tempo: Ergebnisse liegen in Excel-Dateien, Massnahmen in einer separaten Liste, Risiken in einem dritten Dokument, und der Bericht an die Geschäftsleitung wird von Hand zusammengestellt.

Wirksam wird eine Bewertung, wenn diese Kette lückenlos ist:

• Anforderung erfassen und Erfüllungsgrad bewerten
• Lücke mit Beleg dokumentieren
• Massnahme mit Verantwortlichen, Frist und Validierung ableiten
• Restrisiko bewerten und entscheiden
• Fortschritt verfolgen und regelmässig berichten
• Bewertung im Folgejahr fortschreiben

Wie Sie aus den Lücken einen tragfähigen Plan machen, zeigt Massnahmenplan Informationssicherheit erstellen.

Beide Wege in SCMC

In SCMC beginnen Sie mit dem Cyber Security Basis Check. Seine Fragen sind auf Kontrollen aus dem Anhang A von ISO/IEC 27001:2022, auf den IKT-Minimalstandard, die NIS2-Richtlinie und den Datenschutz abgebildet. Danach wechseln Sie innerhalb derselben Plattform in das ISO-27001-Assessment mit allen Kontrollen des Anhangs A oder in andere Module. Massnahmen mit Frist, Verantwortlichen und Erinnerungen sowie die Risikobewertung mit Restrisiko führen Sie im selben Projekt. SCMC dokumentiert den Weg zur Zertifizierung; das Zertifikat selbst stellt eine akkreditierte Stelle aus. Die Konditionen finden Sie auf der Preisseite. Wenn zuerst die Geschäftsleitung ins Thema finden soll, eignet sich das Selbstlernmodul für Geschäftsleitungen, das mit der HWZ entstanden ist: rund 50 Minuten, ohne Technik.