Wie setzen Sie den IKT-Minimalstandard so um, dass am Ende mehr vorliegt als ein ausgefüllter Fragebogen? Mit einem wiederkehrenden Zyklus: den Ist-Zustand mit Nachweisen bewerten, die Lücken nach Risiko ordnen, daraus Massnahmen mit Verantwortlichen und Fristen machen und alles, was offen bleibt, als Risiko führen. Dieser Leitfaden beschreibt die Schritte, die Felder, die Sie dafür brauchen, und die häufigsten Fehler.

Ob Ihre Organisation den Standard überhaupt anwenden sollte, klärt der Leitfaden Wer braucht den IKT-Minimalstandard?. Für Gemeinden und Behörden gibt es einen eigenen Leitfaden zum Cyber Assessment in der Verwaltung.

Was der Standard umfasst

Der IKT-Minimalstandard ist ein Referenzrahmen, mit dem eine Organisation ein Mindestniveau ihrer Cyber- und Informationssicherheit bewerten und dokumentieren kann. Gegliedert ist er nach den Funktionen des NIST Cybersecurity Framework: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.

Der Name lässt den Umfang kleiner wirken, als er ist. Geprüft werden neben technischen Kontrollen auch Organisation, Verantwortlichkeiten, Prozesse und Dokumentation:

• Governance: Sind Rollen festgelegt und Sicherheitsvorgaben intern verbindlich?
• Risiko- und Asset-Management: Welche Systeme, Daten und Abhängigkeiten sind schützenswert?
• Technische Schutzmassnahmen: Zugriffskontrolle, Patch-Management, Netzwerksegmentierung, Datensicherung, Protokollierung.
• Erkennung und Reaktion: Werden Vorfälle bemerkt, und ist geregelt, wer im Ernstfall entscheidet und kommuniziert?
• Notfallorganisation und Wiederanlauf: Lässt sich der Betrieb nach einem Ausfall in einer vertretbaren Zeit wiederherstellen?

Ein Zertifikat ist mit dem Standard nicht verbunden. Das Ergebnis einer Bewertung ist eine dokumentierte Standortbestimmung. Ihr Wert hängt davon ab, wie ehrlich bewertet und wie konsequent nachverfolgt wird.

Vor dem Start: Geltungsbereich, Rollen, Rhythmus

Drei Entscheide zu Beginn sparen später viel Arbeit.

Geltungsbereich. Legen Sie fest, welche Organisationseinheiten, Standorte und Systeme bewertet werden. Eine sauber abgegrenzte Erstbewertung ist wertvoller als ein Rundumschlag, der nach drei Monaten intern stecken bleibt. Beginnen Sie bei den Leistungen, die für Ihre Organisation unverzichtbar sind, und bei den Systemen, ohne die diese Leistungen ausfallen. Wie Sie das systematisch herleiten, zeigt der Leitfaden zur Schutzbedarfsanalyse.

Rollen. Bestimmen Sie eine Person, die die Bewertung koordiniert, und die Fachleute, die einzelne Bereiche beantworten: IT-Betrieb, externe Dienstleister, Fachbereiche, Personalwesen für Schulung und Austrittsprozesse. Die Geschäftsleitung beantwortet keine Detailfragen, sie nimmt aber die Ergebnisse ab und entscheidet über Restrisiken und Budget. Fehlt dieser Rückhalt, bleibt die Umsetzung ein IT-Projekt, und organisatorische Lücken schliesst niemand. Für Geschäftsleitungen, die sich zuerst selbst ein Bild machen wollen, eignet sich das Selbstlernmodul «Cyber-Risiken: Führung gefordert», entstanden mit der HWZ: rund 50 Minuten, ohne Technik.

Rhythmus. Planen Sie die Bewertung als Zyklus, in der Regel jährlich, mit einem festen Termin für den Bericht an die Leitung. Wer den Standard nur für eine bevorstehende Prüfung aufbereitet, steht beim nächsten Personalwechsel wieder am Anfang, weil Nachweise und Massnahmenstände veraltet sind.

Schritt 1: Den Ist-Zustand bewerten

Gehen Sie die Anforderungen Bereich für Bereich durch. Zu jeder Anforderung gehören dieselben Felder:

Feld	Inhalt
IST	aktueller Umsetzungsgrad auf der vereinbarten Skala
SOLL	angestrebter Grad, meist für einen ganzen Bereich festgelegt und nur begründet abweichend
Begründung	warum dieser Wert gilt, in wenigen Sätzen
Nachweis	Ablageort oder Link zu Richtlinie, Protokoll, Konfigurationsauszug, Vertrag
Zuständig	wer die Antwort gegeben hat und das Thema verantwortet

Drei Regeln machen die Bewertung belastbar.

Nachweis vor Eindruck. «Wir haben Backups» ist eine Annahme. Bewertbar wird die Aussage erst, wenn Sicherung, Wiederherstellungstest, Zuständigkeit und Protokoll dokumentiert sind. Fehlt der Nachweis, ist die Anforderung höchstens teilweise erfüllt.

Wirksamkeit vor Konzept. Unterscheiden Sie, ob eine Massnahme nur beschrieben, teilweise umgesetzt oder im Betrieb verankert ist. Eine Firewall ersetzt keine geregelte Benutzerverwaltung, und ein Backup ist noch kein getesteter Wiederanlauf.

«Nicht zutreffend» sparsam verwenden. Diese Antwort passt nur zu einer Anforderung, die für Ihre Organisation tatsächlich nicht relevant ist. Fehlt ein Prozess, der relevant wäre, lautet die Antwort «nicht umgesetzt». Wer Lücken als «nicht zutreffend» markiert, schönt das Ergebnis und verliert sie aus der Massnahmenplanung.

Wenn mehrere Personen bewerten, klären Sie vorab, wie die Stufen der Skala zu verstehen sind, und lassen Sie die koordinierende Person die Antworten auf Widersprüche durchsehen. Sonst bewertet die IT streng und ein Fachbereich wohlwollend, und die Ergebnisse sind nicht vergleichbar.

Schritt 2: Lücken nach Risiko ordnen

Die Differenz zwischen IST und SOLL ergibt die Lückenliste. Eine Prioritätenliste ist sie noch nicht, denn nicht jede Abweichung hat dasselbe Gewicht. Ordnen Sie jede Lücke mit drei Fragen ein:

1. Wie gross wäre die Auswirkung auf Verfügbarkeit, Vertraulichkeit oder Integrität Ihrer wichtigsten Leistungen?
2. Wie wahrscheinlich ist ein Vorfall oder eine Beanstandung an dieser Stelle?
3. Wie aufwendig ist es, die Lücke zu schliessen?

Aus Auswirkung und Aufwand ergibt sich eine einfache Entscheidungshilfe:

Auswirkung	Aufwand	Vorgehen
hoch	gering	sofort umsetzen
hoch	hoch	planen, budgetieren und der Leitung zum Entscheid vorlegen
gering	gering	im Tagesgeschäft erledigen
gering	hoch	zurückstellen und das Restrisiko dokumentieren

Nicht jede Organisation muss jede Anforderung gleich tief umsetzen. Ein kleines Unternehmen mit überschaubarer Systemlandschaft braucht andere Kontrolltiefen als ein Betreiber kritischer Leistungen. Das entspricht dem risikobasierten Ansatz des Standards, solange die Abweichung bewusst entschieden und begründet ist. Halten Sie im Feld «Begründung» fest, warum ein tieferes SOLL genügt oder warum eine Anforderung in Etappen umgesetzt wird.

Schritt 3: Massnahmen formulieren und verfolgen

Aus jeder priorisierten Lücke wird eine Massnahme. Hier liegt die häufigste Schwäche von Sicherheitsprojekten: Massnahmen sind so allgemein formuliert, dass niemand weiss, wann sie erledigt sind.

Zu vage	Umsetzbar
Backup optimieren	Wiederherstellungstest für die kritischen Systeme quartalsweise durchführen und protokollieren
Rollen prüfen	Privilegierte Benutzerkonten halbjährlich rezertifizieren, Freigabe durch die IT-Leitung
Notfallplanung prüfen	Notfallhandbuch für den Ausfall des zentralen Fachsystems erstellen und jährlich üben
Lieferanten absichern	Sicherheitsanforderungen in die Verträge mit Fernwartungs-Dienstleistern aufnehmen

Eine Massnahme braucht diese Felder:

• Was wird umgesetzt: konkret und überprüfbar, wie in der rechten Spalte oben.
• Verantwortlich und Frist: eine Person, ein Datum. Eine Abteilung ist keine verantwortliche Person.
• Status: offen, in Arbeit, umgesetzt.
• Validierung: wer bis wann prüft, ob die Massnahme wirkt, mit eigener Frist. Ohne diesen Schritt gilt eine Massnahme als erledigt, sobald jemand den Status ändert.
• Bezug: zu welcher Anforderung und welchem Risiko die Massnahme gehört.

Schauen Sie überfällige Massnahmen in einem festen Rhythmus an, etwa monatlich im IT- oder Sicherheitsgremium. Wenn Massnahmen in Sitzungsprotokollen statt an einem Ort geführt werden, versanden sie zwischen den Sitzungen. Mehr zum Aufbau eines solchen Plans steht im Leitfaden Massnahmenplan Informationssicherheit erstellen.

Schritt 4: Offene Punkte als Risiken führen

Was nicht sofort geschlossen werden kann, gehört ins Risikoregister. Damit wird sichtbar, welche Restrisiken die Organisation bewusst trägt, und Investitionen lassen sich gegenüber der Leitung mit einem Geschäftsrisiko begründen statt mit einer abstrakten Erfüllungsquote. Wer Geld für Protokollierung, Segmentierung oder Notfallvorsorge beantragt, argumentiert so deutlich leichter.

Je offenem Punkt halten Sie fest: das Risiko vor der Massnahme, nach Wahrscheinlichkeit und Auswirkung bewertet, das erwartete Restrisiko danach, den Entscheid (reduzieren, akzeptieren, übertragen), wer entschieden hat und wann der Entscheid überprüft wird. Felder und Aufbau eines solchen Registers beschreibt die Vorlage für ein Risikoregister.

Schritt 5: Berichten und den Zyklus wiederholen

Der Bericht an die Geschäftsleitung braucht keine Liste aller Feststellungen. Er beantwortet fünf Fragen:

• Wo stehen wir, je Funktion des Standards?
• Welche Lücken sind am grössten, und was bedeuten sie für den Betrieb?
• Welche Massnahmen laufen, welche sind überfällig?
• Welche Risiken bleiben offen, und wer hat sie akzeptiert?
• Was hat sich seit der letzten Bewertung verändert?

Die Detailbewertung bleibt für die Fachleute und für Prüfer verfügbar, in der Sitzung der Leitung genügt die verdichtete Sicht.

Für den nächsten Zyklus beginnen Sie mit der Vorjahresbewertung als Grundlage und prüfen, was sich geändert hat: neue Systeme, neue Lieferanten, umgesetzte Massnahmen, neue Zuständigkeiten. So wird die Entwicklung über die Jahre sichtbar, was für Budgetgespräche oft mehr Gewicht hat als der Stand eines einzelnen Jahres.

Arbeitsmittel: Tabelle oder Plattform

Für einen ersten Überblick genügen eine Tabelle und eine gemeinsame Ablage. Bei wiederkehrenden Bewertungen und mehreren Beteiligten zeigen sich die Grenzen: Versionen widersprechen sich, niemand kann später zeigen, wann eine Bewertung geändert wurde und warum, Massnahmen stehen in einer Projektliste und Risiken in einem dritten Dokument. Für den Bericht an die Leitung muss jedes Mal von Hand zusammengetragen werden.

Wenn Sie ein Werkzeug für den IKT-Minimalstandard prüfen, helfen diese Fragen:

• Sind die Anforderungen des Standards mit einer klaren Bewertungslogik abgebildet, oder müssen Sie sie selbst übertragen?
• Können mehrere Rollen beitragen, ohne dass Dateien per E-Mail kreisen?
• Wird jede Änderung an einer Bewertung mit Person und Datum festgehalten?
• Entsteht die Massnahme direkt aus der Lücke, mit Frist, Verantwortlichen und Validierung?
• Lassen sich offene Punkte als Risiken bewerten, ohne sie in ein anderes System zu übertragen?
• Gibt es Berichte, die die Geschäftsleitung ohne Erklärung lesen kann?
• Wo werden die Daten gespeichert, und wer hat Zugriff?

Eine ausführlichere Abwägung finden Sie unter ISMS-Software oder Excel.

So bildet SCMC den Ablauf ab

Das IKT-Minimalstandard-Modul von SCMC bewertet den Umsetzungsstand entlang der fünf NIST-Funktionen. Zu jeder Frage erfassen Sie IST und SOLL, Begründung und Dokumentlink. Das SOLL kommt aus der Vorlage der gewählten Kategorie und lässt sich je Bereich oder Frage anpassen. Beim Modul IKT erklärt ein Hinweis, wann «Nicht zutreffend» gilt und wann eine Anforderung als «Nicht umgesetzt» zu bewerten ist.

Aus den Lücken entstehen Massnahmen mit Frist und verantwortlicher Person, die Validierung hat ihre eigene Frist und ihren eigenen Verantwortlichen. Erinnerungen gehen per E-Mail hinaus, und der Bereich «Meine Aufgaben» zeigt jeder Person, was auf sie läuft. Die Risikobewertung führt Wahrscheinlichkeit, Auswirkung und Restrisiko mit Risiko- und Restrisikomatrix. Der Verlauf hält fest, wer was wann geändert hat.

Für Workshops lässt sich eine Bewertung als Excel herunterladen und wieder einlesen, wobei SCMC jede Änderung vor dem Überschreiben anzeigt. Bewertung, Massnahmen und Risikoanalyse gibt es als bearbeitbare Word-Dokumente, dazu einen PDF-Bericht. Für das nächste Jahr duplizieren Sie eine Bewertung mit allen Antworten, Massnahmen und Risiken. Die Daten sind in der Schweiz gespeichert (AWS, Rechenzentren in Zürich).

Die Ergebnisse sind eine dokumentierte Selbstbeurteilung, kein offizielles Zertifikat. Wer zuerst einen kostenlosen Überblick möchte, beginnt mit dem Cyber Security Basis Check, dessen Fragen unter anderem auf den IKT-Minimalstandard abgebildet sind. Die Konditionen der Module stehen unter Preise.

IKT-Minimalstandard und ISO 27001

Die beiden schliessen sich nicht aus. Der IKT-Minimalstandard zielt auf praktische Mindestanforderungen und lässt sich ohne formales Managementsystem anwenden. ISO 27001 verlangt ein solches System mit festgelegten Prozessen, kontinuierlicher Verbesserung und externer Zertifizierung. Wer ein international anerkanntes Zertifikat braucht, plant in Richtung ISO 27001. Wer zuerst den Sicherheitsstatus strukturiert erfassen und verbessern will, ist mit dem IKT-Minimalstandard oft näher an der eigenen Realität und kann ihn später als Baustein eines ISMS weiterführen. Wichtig ist dann, Bewertungen und Massnahmen nicht doppelt in getrennten Welten zu pflegen.

Typische Fehler

Umsetzung als reines Technikprojekt. Ein grosser Teil der Anforderungen betrifft Führung, Zuständigkeiten und Prozesse. Ohne Auftrag der Leitung bleiben gerade diese Punkte liegen.

Aufbereitung nur für eine Prüfung. Ein kurzfristig polierter Stand hält bis zum nächsten Personalwechsel oder Systemumbau. Danach fehlen aktuelle Nachweise.

Alles gleichzeitig. Wer jede Anforderung in kurzer Zeit maximal ausbauen will, überfordert die Organisation. Ein priorisierter Ausbau entlang der grössten Risiken kommt weiter.

Wohlwollende Bewertung. Lücken als «teilweise» oder «nicht zutreffend» einzustufen, um ein besseres Ergebnis zu zeigen, entwertet die ganze Übung. Eine geschönte Bewertung führt zu falschen Prioritäten, und die verdeckten Lücken tauchen erst bei einem Vorfall wieder auf.

Massnahmen ohne Validierung. Ein auf «umgesetzt» gesetzter Status sagt nichts darüber, ob die Massnahme wirkt. Planen Sie die Prüfung mit ein.

Stillschweigende Abweichungen. Wer eine Anforderung bewusst tiefer umsetzt, hält das mit Begründung und Entscheid fest. Sonst sieht es bei der nächsten Prüfung wie ein Versäumnis aus.