Ein Kunde verlangt einen Sicherheitsnachweis, die Versicherung schickt einen Fragebogen, die Geschäftsleitung will wissen, wo die grössten Cyberrisiken liegen. Spätestens dann stellt sich in vielen KMU die Frage, wie ein Informationssicherheits-Managementsystem (ISMS) aufgebaut wird, das mit wenig Personal funktioniert. Die kurze Antwort: Sie grenzen einen machbaren Geltungsbereich ab, erheben den Ist-Zustand gegen einen passenden Standard, schliessen die wichtigsten Lücken mit klar verantworteten Massnahmen, entscheiden offene Risiken bewusst und wiederholen diesen Zyklus regelmässig. Dieser Leitfaden zeigt die einzelnen Schritte, die nötigen Rollen und die Fehler, an denen Einführungen am häufigsten hängen bleiben.

Was ein ISMS im KMU leisten muss

Ein ISMS ist der organisatorische Rahmen für Informationssicherheit. Es verbindet technische, organisatorische und personelle Schutzmassnahmen mit klaren Zuständigkeiten. Im Alltag beantwortet es vier Fragen:

• Wo stehen wir heute?
• Welche Anforderungen gelten für uns?
• Was fehlt, und was davon ist dringend?
• Wer setzt welche Verbesserung bis wann um, und wie verfolgen wir das?

Für ein KMU genügt dafür ein wiederholbarer Ablauf, der den Sicherheitsstatus sichtbar macht, Lücken priorisiert und Entscheide nachvollziehbar festhält. Ob ein ISMS funktioniert, erkennen Sie an wenigen Merkmalen: Offene Themen sind bekannt, Massnahmen haben Termine und Zuständige, Risiken sind begründet behandelt oder akzeptiert, und vor einem Audit oder einer Kundenanfrage muss niemand Unterlagen zusammensuchen.

Die Anzahl der Richtlinien sagt darüber wenig aus. Viele Einführungen beginnen mit Vorlagen und Policies, ohne dass jemand den aktuellen Stand kennt. Das erzeugt Aktivität, aber noch keine Steuerung.

Drei Einwände und was daran stimmt

«Wir sind zu klein für ein ISMS.» Richtig ist, dass ein kleines Unternehmen kein schwerfälliges Governance-Projekt braucht. Transparenz über die wichtigsten Werte, Risiken und Massnahmen braucht es trotzdem, und genau dafür reicht ein schlankes ISMS.

«Unser IT-Dienstleister kümmert sich darum.» Ein externer Partner kann viele technische Massnahmen umsetzen und betreiben. Die Verantwortung für Prioritäten, Risikoentscheide, interne Prozesse und Nachweise bleibt aber beim Unternehmen. Das ISMS legt fest, welche Anforderungen gelten und wie die Leistungen des Dienstleisters kontrolliert werden.

«Das führt zu endloser Dokumentation.» Das passiert, wenn ein Standard ohne Bezug zur eigenen Realität übernommen wird. Die bessere Leitfrage lautet: Welche Informationen brauchen wir, um Sicherheit zu steuern und bei Bedarf zu belegen? Alles andere kann warten.

Vor dem Start: Anlass, Geltungsbereich und Rollen

Einen konkreten Anlass wählen

Ein klares Ziel hilft beim Priorisieren. Typische Anlässe sind ein Kunde, der einen Nachweis verlangt, eine Geschäftsleitung, die ihre grössten Cyberrisiken kennen will, oder die geplante Vorbereitung auf eine ISO-27001-Zertifizierung. Der Anlass bestimmt, wie tief Sie einsteigen und welcher Referenzrahmen passt.

Den Geltungsbereich bewusst abgrenzen

Wer gleich das ganze Unternehmen erfassen will, bleibt oft nach wenigen Wochen an Detailfragen stehen. Legen Sie zuerst fest, welche Geschäftsprozesse, Systeme, Datenkategorien und Standorte zum ersten Durchgang gehören. Nehmen wir als Beispiel ein Dienstleistungsunternehmen mit Kundenportal und Cloud-Arbeitsplätzen: Im ersten Durchgang gehören das Kundenportal, die zentrale Office-Umgebung, die Endgeräte, die Datenablagen und die Prozesse mit Kundendaten dazu. Systeme eines externen Partners bleiben vorerst draussen, werden aber als Abhängigkeit festgehalten.

Eine solche Abgrenzung ist legitim, solange sie begründet, von der Geschäftsleitung freigegeben und später schrittweise erweitert wird. Welche Informationen besonders schutzwürdig sind, klären Sie mit einer Schutzbedarfsanalyse.

Rollen festlegen, bevor die Arbeit beginnt

Für ein ISMS genügen im KMU klare Rollen, eine neue Vollzeitstelle ist selten nötig. In kleinen Organisationen trägt eine Person oft mehrere davon. Das ist in Ordnung, solange festgelegt ist, in welcher Rolle sie gerade handelt.

Rolle	Aufgabe im ISMS	Typische Besetzung im KMU
Geschäftsleitung	Ziele setzen, Prioritäten und Budget freigeben, Restrisiken akzeptieren	Geschäftsführung, bei grösseren Firmen mit Verwaltungsrat
Koordination ISMS	Assessment, Nachweise und Massnahmen steuern, Entscheide vorbereiten, berichten	IT-Leitung oder Informationssicherheitsbeauftragte
Fach- und IT-Verantwortliche	Fragen ihres Bereichs beantworten, Nachweise liefern, Massnahmen umsetzen	IT, HR, Finanzen, Leitung der Fachbereiche
Compliance, Datenschutz, Risiko	Konsistenz zwischen Anforderungen, Risiken und Nachweisen prüfen	Datenschutzverantwortliche, Compliance, oft extern unterstützt
Lesende Rolle	Einsicht ohne Änderungsrechte	Interne Revision, Verwaltungsrat, externe Prüfer

Wichtig ist auch die Stellvertretung. Liegen Massnahmen bei einer einzigen Person, bleiben sie bei Ferien, Austritt oder Überlastung liegen.

Die Einführung in vier Schritten

Bewährt hat sich ein linearer Ablauf: Assessment, Auswertung, Massnahmen, Risiken. Er verhindert, dass Teams an Details arbeiten, bevor klar ist, was Priorität hat.

1. Den Ist-Zustand erheben

Am Anfang steht ein strukturiertes Assessment gegen einen definierten Fragenkatalog. Ein fester Katalog macht die Bewertung vergleichbar und verhindert, dass nur das Bauchgefühl entscheidet. Typische Themen sind:

• Identitäten, Zugriffsrechte und Mehrfaktor-Authentisierung
• Ein- und Austritte von Mitarbeitenden
• Schutz von Endgeräten und mobiles Arbeiten
• Updates und Schwachstellen
• Datensicherung und Wiederherstellung
• Umgang mit Sicherheitsvorfällen und Notfällen
• Steuerung von Lieferanten und Dienstleistern
• Schulung und Sensibilisierung
• Inventar der Systeme und Informationen

Die Fragen beantwortet nicht die IT allein. HR kennt den Austrittsprozess, die Fachbereiche wissen, wo vertrauliche Daten liegen, die Geschäftsleitung kennt die vertraglichen Anforderungen. Halten Sie zu jeder Antwort fest, worauf sie sich stützt: eine Richtlinie, eine Konfiguration, ein Protokoll, ein Vertrag. Dann lässt sich später nachvollziehen, warum eine Anforderung als erfüllt, teilweise erfüllt oder offen bewertet wurde.

2. Lücken auswerten und den Reifegrad sichtbar machen

Einzelne Antworten sind noch keine Entscheidungsgrundlage. Erst die Verdichtung zeigt, in welchen Bereichen die grössten Lücken liegen und wo sich Muster bilden. Häufig sieht das so aus: Der technische Basisschutz ist solide, aber es fehlen eine freigegebene Sicherheitsrichtlinie, einheitliche Kriterien für Lieferanten und dokumentierte Notfalltests. Oder umgekehrt: Richtlinien sind sauber formuliert, werden im Betrieb aber nicht gelebt.

Ein Reifegradmodell versachlicht die Diskussion. Es zeigt, ob ein Prozess nur ad hoc existiert, teilweise definiert ist oder systematisch betrieben wird. Für die Geschäftsleitung ist das verständlicher als eine Liste technischer Befunde. Halten Sie zusätzlich zum Ist auch den Soll-Zustand fest, also das Niveau, das Sie je Bereich erreichen wollen. Die Lücke zwischen beiden ist der Ausgangspunkt für die Massnahmen.

3. Massnahmen priorisieren und verbindlich machen

Der häufigste Fehler nach einer Bewertung ist Aktionismus: Alles wird gleichzeitig angepackt, nichts wird fertig. Priorisieren Sie nach drei Kriterien:

• Risiko: Wie schwer wiegt die Lücke für Ihre Daten und Ihren Betrieb? Ein fehlender Prozess für das Offboarding ist kritisch, wenn ehemalige Mitarbeitende Zugriff auf Kundensysteme behalten könnten. Eine veraltete Formulierung in einer Richtlinie, die im Betrieb bereits gelebt wird, ist es meist nicht.
• Aufwand: Was lässt sich mit vertretbarem Aufwand schnell umsetzen?
• Abhängigkeiten: Was muss zuerst stehen, damit andere Massnahmen greifen?

Zuerst kommen Massnahmen, die das Risiko deutlich senken und mit überschaubarem Aufwand machbar sind, etwa Mehrfaktor-Authentisierung für externe Zugriffe, getrennte Administratorkonten, ein verbindlicher Austrittsprozess mit Checkliste oder dokumentierte Restore-Tests. Grössere Vorhaben wie eine Netzwerksegmentierung oder die Ablösung einer historisch gewachsenen Anwendung brauchen ein eigenes Projekt. Sie bleiben trotzdem sichtbar, als geplante Massnahme und als Risiko.

Formulieren Sie Massnahmen so, dass jemand sie erledigen kann. «Zugriffssicherheit verbessern» ist eine Absicht. «MFA für alle externen Zugriffe aktivieren» ist eine Aufgabe. Jede Massnahme braucht:

Feld	Inhalt
Bezug	Welche Lücke oder Anforderung sie schliesst
Beschreibung	Was konkret umgesetzt wird
Verantwortlich	Eine Person, kein Team
Frist	Ein realistisches Datum
Status	Offen, in Arbeit, umgesetzt
Erwartetes Ergebnis	Woran man erkennt, dass sie erledigt ist
Validierung	Wer die Wirksamkeit prüft, mit eigener Frist

Die Validierung sollte nicht bei derselben Person liegen, die umsetzt. Wie Sie einen vollständigen Plan aufbauen, beschreibt der Leitfaden zum Massnahmenplan für Informationssicherheit.

4. Risiken bewusst entscheiden

Nicht jede Lücke lässt sich sofort schliessen. Manche Massnahmen brauchen Budget, technische Vorarbeit oder einen Systemwechsel. Solche Punkte gehören in ein Risikoregister, damit sie nicht stillschweigend offen bleiben. Ein Eintrag beschreibt das betroffene System oder die betroffene Information, das Szenario, Eintrittswahrscheinlichkeit und Auswirkung, die bestehenden Kontrollen, die gewählte Behandlung und das Restrisiko. Behandeln heisst: reduzieren, übertragen, vermeiden oder akzeptieren.

Ein Beispiel: Eine Fachanwendung protokolliert Zugriffe nur eingeschränkt, ein sofortiger Ersatz würde den Betrieb stark belasten. Als Übergang werden die Zugriffsrechte reduziert und Protokolle an anderer Stelle überwacht. Die Geschäftsleitung akzeptiert das Restrisiko befristet und verlangt bis zu einem festen Datum eine Entscheidungsgrundlage für die Ablösung.

Akzeptierte Restrisiken brauchen einen dokumentierten Entscheid der Geschäftsleitung. Das schützt nicht vor einem Vorfall, zeigt aber, dass die Verantwortung bewusst getragen und nicht unbemerkt bei einzelnen IT-Mitarbeitenden liegen gelassen wurde. Wie ein Register aufgebaut ist, zeigt die Vorlage für ein Risikoregister.

Welcher Referenzrahmen zum Start passt

Ein Standard liefert den Fragenkatalog und macht Ihre Bewertung für Dritte verständlich. Welcher passt, hängt von Branche, Kundenerwartungen und regulatorischem Umfeld ab:

• Cyber Security Basis Check: ein kompakter Einstieg, der die wichtigsten Grundanforderungen abdeckt und den Stand schnell sichtbar macht. Geeignet, wenn zuerst Transparenz gefragt ist. Zum Cyber Security Basis Check.
• IKT-Minimalstandard: der Schweizer Standard, gegliedert nach den Funktionen Identify, Protect, Detect, Respond und Recover. Naheliegend für Betreiber kritischer Infrastrukturen und die öffentliche Verwaltung. Zum IKT-Minimalstandard.
• ISO 27001:2022: mehr Tiefe und formale Nachweise, passend, wenn Kunden es verlangen oder eine Zertifizierung das Ziel ist. Zum ISO-27001-Assessment.
• NIST CSF 2.0: ein Rahmen, um Cyberrisiken und Governance zu steuern und den Reifegrad zu verbessern, ohne Zertifizierungsziel. Zum NIST CSF 2.0.

Wichtiger als das Etikett ist, ob sich aus dem Rahmen operative Arbeit ableiten lässt und ob er anschlussfähig bleibt. Wer heute mit einem Basis Check beginnt und später auf ISO 27001 ausbaut, sollte die bisherige Arbeit weiterverwenden können. Die Entscheidung zwischen beiden Wegen behandelt der Leitfaden ISO 27001 oder Basis Check.

Cyberhygiene: die Grundlagen zuerst ordnen

Viele Vorfälle entstehen durch ungeklärte Grundlagen, etwa ein nicht eingespieltes Update, ein vergessenes Benutzerkonto oder eine nie getestete Datensicherung. Cyberhygiene meint die wiederkehrenden, überprüfbaren Abläufe, die diese Angriffsfläche klein halten. Im ISMS sind sie die ersten Kontrollen, die Sie bewerten und mit Massnahmen hinterlegen:

• Zentrale Verwaltung von Identitäten, Mehrfaktor-Authentisierung, getrennte und überwachte Administratorkonten
• Austrittsprozess, der Konten und Zugriffe zeitnah entzieht, auch bei Externen
• Regelmässige Updates mit klarer Zuständigkeit
• Datensicherung mit dokumentierten Wiederherstellungstests
• Inventar der Geräte und Systeme, Regeln für mobile Geräte
• Sicherheitsanforderungen an Lieferanten und Dienstleister
• Sensibilisierung der Mitarbeitenden
• Ein festgelegter Weg, wenn ein Vorfall passiert: wer informiert wird, wer entscheidet

Die Reihenfolge hängt vom Geschäftsmodell ab. Ein Unternehmen mit vielen Cloud-Diensten und verteilten Zugängen ordnet zuerst Identitäten und Zugriffe. Ein Produktionsbetrieb, der von der Verfügbarkeit seiner Anlagen lebt, gewichtet Wiederanlauf und Systemtrennung höher.

Rollen und Rechte im ISMS regeln

Rechte nach Aufgaben abstufen

Viele Organisationen kennen nur zwei Stufen: Administratoren und alle anderen. Für ein ISMS reicht das selten. Praktischer ist eine Abstufung entlang des Arbeitsablaufs:

• Lesen: Berichte, Bewertungen und Massnahmen einsehen, ohne etwas zu ändern.
• Bearbeiten: Antworten erfassen, Nachweise hinterlegen, Massnahmen aktualisieren.
• Freigeben: einen Reifegrad bestätigen, eine Massnahme als wirksam abschliessen, ein Risiko akzeptieren. Diese Aussagen wirken sich auf Berichte und Risikobild aus und gehören nicht automatisch zur operativen Pflege.
• Administrieren: Benutzer, Strukturen und Einstellungen verwalten. Diese Rechte vergeben Sie besonders zurückhaltend.

Vergeben Sie Rechte nach Funktion. Sind sie an Personen gebunden, behält bei einem internen Wechsel oder Austritt jemand Zugriffe, die nicht mehr passen. Ist die ISMS-Koordination zugleich Autorin, Prüferin und Freigeberin aller Inhalte, wirkt das effizient, es fehlt aber jede unabhängige Kontrolle. In sehr kleinen Teams genügt es, die kritischen Schritte zu trennen und Änderungen nachvollziehbar festzuhalten. Eine fein granulare Matrix lohnt sich erst mit wachsender Organisation.

Zugriffsrechte als Teil des ISMS dokumentieren

Die Zugriffsrechte auf Ihre Geschäftssysteme sind selbst eine der wichtigsten Kontrollen. Eine Liste von Benutzerkonten genügt dafür nicht. Bewährt hat sich eine Übersicht je System oder Systemgruppe:

Feld	Inhalt
System	Anwendung, Datenablage oder Infrastruktur
Systemverantwortung	Wer über Rollen und Rechte entscheidet
Schutzbedarf	Welche Daten betroffen sind, wie schutzwürdig sie sind
Rollen	Welche Aufgaben, welche Zugriffe, was die Rolle ausdrücklich nicht darf
Genehmigung	Wer neue Rechte freigibt
Besondere Anforderungen	Etwa MFA, Protokollierung, eigener Genehmigungsweg für privilegierte Konten
Prüfzyklus	Wann bestehende Rechte erneut bestätigt werden

Der Prozess ist dabei wichtiger als die Liste. Er umfasst Antrag, fachliche Bestätigung, Prüfung durch die Systemverantwortung, technische Umsetzung, periodische Kontrolle und Entzug. Bei einem Stellenwechsel fallen alte Rechte weg, Externe erhalten grundsätzlich ein Ablaufdatum.

Wie oft Sie Rechte erneut prüfen (Rezertifizierung), richtet sich nach dem Risiko: Administratorrechte und Zugriffe auf besonders sensible Daten häufiger, Standardrollen in stabilen Anwendungen seltener. Jede Prüfung braucht einen Nachweis: welche Rechte, durch wen, wann, welche Abweichungen und welche Massnahmen daraus folgen.

Kann ein kleines Team Funktionen nicht vollständig trennen, etwa bei Zahlungen, dokumentieren Sie kompensierende Kontrollen wie ein Vier-Augen-Prinzip bei kritischen Vorgängen oder eine regelmässige Kontrolle durch die Vorgesetzten. Ausnahmen gehören ebenfalls in die Dokumentation, jeweils mit Begründung, verantwortlicher Person, Enddatum oder Prüfzeitpunkt und Freigabe. Sammelkonten vermeiden Sie, wo es geht, weil sich Aktivitäten damit keiner Person zuordnen lassen.

Auffälligkeiten aus der Rechteprüfung, etwa verwaiste Konten oder fehlende Freigaben, behandeln Sie wie jeden anderen Befund: bewerten und mit einer Massnahme versehen.

Vom ISMS zur Cybersicherheitsstrategie

Im KMU entsteht eine Cybersicherheitsstrategie, wenn Befund, Risiko und Massnahme verbunden sind und die Geschäftsleitung daraus Prioritäten für die nächsten Monate ableitet. Beginnen Sie mit Zielen und der eigenen Risikolage, erst danach mit Produkten. Wer zuerst Werkzeuge beschafft, ohne die Lücken zu kennen, baut teure Insellösungen.

Die Geschäftsleitung muss nicht jedes technische Detail kennen. Sie sollte aber auf diese Fragen eine Antwort bekommen:

• Wo stehen wir heute, je Themenbereich?
• Welche Lücken sind geschäftskritisch?
• Was wird bis wann verbessert, und was ist überfällig?
• Welche Restrisiken tragen wir bewusst?
• Welche Entscheide braucht es jetzt von uns?

Warum Informationssicherheit Chefsache ist und wie sich der Reifegrad des eigenen Unternehmens sichtbar machen lässt, zeigt das Selbstlernmodul für Geschäftsleitungen. Es ist mit der HWZ Hochschule für Wirtschaft Zürich entstanden, dauert rund 50 Minuten und kommt ohne Technik aus.

Die Taktung im Betrieb

Ein ISMS verliert schnell an Wert, wenn es nicht nachgeführt wird. Systeme, Mitarbeitende, Lieferanten und Bedrohungen ändern sich. Eine schlanke Taktung reicht für die meisten KMU:

• Kernteam, etwa alle zwei Wochen, kurz: überfällige Massnahmen, neue Risiken, offene Nachweise.
• Geschäftsleitung, quartalsweise: ein kompakter Bericht mit Reifegrad je Themenbereich, wichtigsten Veränderungen, kritischen Risiken, Stand der Massnahmen und nötigen Entscheiden. Vor einer Kundenprüfung oder nach einem Vorfall kann eine dichtere Taktung sinnvoll sein.
• Jährlich: die Bewertung wiederholen und mit dem Vorjahr vergleichen, den Geltungsbereich überprüfen und bei Bedarf erweitern.

Nach dem ersten Zyklus ist kein Unternehmen «fertig». Erreicht ist aber, worauf es ankommt: ein dokumentierter Sicherheitsstatus, priorisierte Massnahmen in Arbeit, ein nachvollziehbares Risikoregister und feste Entscheidungswege. Den nächsten Kundenfragebogen beantworten Sie dann aus aktuellen Nachweisen.

Typische Fehler bei der Einführung

• Mit Dokumenten beginnen: Richtlinien entstehen, bevor jemand den Ist-Zustand kennt.
• Zu gross starten: Der Geltungsbereich umfasst alles, das Vorhaben bleibt in Details stecken.
• Perfektion vor Umsetzung: Wochen für Textbausteine, während kritische Lücken offen bleiben. Eine nachvollziehbare Mindestdokumentation, die mit der Organisation wächst, genügt am Anfang.
• Rein technische Sicht: Viele wirksame Verbesserungen liegen an Schnittstellen, etwa bei Ein- und Austritten, Freigaben, Dienstleistern und Notfallkommunikation.
• Massnahmen ohne Eigentümer: Eine Aufgabe ohne verantwortliche Person bleibt eine Absicht, eine Aufgabe ohne Nachweis lässt sich nicht abschliessen.
• Einmaliges Projektdenken: Die erste Bewertung wird nie wiederholt, das ISMS veraltet.
• Verstreute Ablage: Bewertungen in einer Tabelle, Massnahmen in E-Mails, Risiken in einer dritten Datei. Der Zusammenhang zwischen Befund, Massnahme und Risiko geht verloren.

Womit Sie das ISMS führen

Für eine erste Sammlung reichen Tabellen und Dokumente. Sobald mehrere Personen mitarbeiten, Fristen verfolgt und Berichte für die Geschäftsleitung oder Prüfer erstellt werden, steigt der Aufwand für Abgleich und Nachführen spürbar. Wann sich der Wechsel lohnt, behandelt der Leitfaden ISMS-Software oder Excel. Mit welchem Aufwand Sie rechnen müssen, zeigt Was kostet ein ISMS.

SCMC bildet den beschriebenen Ablauf in einer Plattform ab. Sie bewerten IST und SOLL je Frage gegen den gewählten Standard und hinterlegen Begründung und Dokumentlink. Für jede Lücke erfassen Sie eine Massnahme mit Frist und verantwortlicher Person, die Validierung hat eine eigene Frist und einen eigenen Verantwortlichen. Erinnerungen gehen per E-Mail hinaus, und unter «Meine Aufgaben» sieht jede Person, was auf sie läuft. Die Risikobewertung arbeitet mit Eintrittswahrscheinlichkeit, Auswirkung und Restrisiko, die Auswertung zeigt Risiko- und Restrisikomatrix nebeneinander. Der Verlauf hält fest, wer was wann geändert hat. Antworten, Massnahmen und Risikoanalyse lassen sich als bearbeitbare Word-Dokumente herunterladen, die Bewertung auch als Excel, um sie gemeinsam auszufüllen und wieder einzulesen. Fürs nächste Jahr duplizieren Sie eine Bewertung mit allen Antworten, Massnahmen und Risiken. Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich).

Weitere Antworten zur Plattform finden Sie im Hilfe-Center, die Module und ihre Konditionen auf der Seite Preise.