Wie läuft ein Cyber Security Basis Check in einem Schweizer KMU konkret ab, und was haben Sie danach in der Hand? Dieser Leitfaden spielt den Ablauf an einem erfundenen, typischen Beispiel durch: vom Festlegen des Umfangs über die Bewertung mit Belegen bis zu Massnahmen, Restrisiken und dem Bericht an die Geschäftsleitung. Am Ende steht ein priorisierter Überblick, der sich jährlich fortschreiben lässt.

Was der Cyber Security Basis Check ist

Der Cyber Security Basis Check von SCMC ist ein Einstiegs-Assessment. Er prüft die wichtigsten Sicherheits- und Compliance-Anforderungen in einem strukturierten digitalen Ablauf und braucht rund 15 bis 20 Minuten. Die Konditionen finden Sie auf der Preisseite. Jede Frage ist auf mehrere Rahmenwerke abgebildet:

• Kontrollen aus dem Anhang A von ISO/IEC 27001:2022, etwa zu Governance, Zugriffskontrolle, Datensicherung und Schutz vor Schadsoftware
• die Massnahmenbereiche der NIS2-Richtlinie
• den Schweizer IKT-Minimalstandard, gegliedert nach den NIST-Funktionen Identify, Protect, Detect, Respond und Recover
• datenschutzrelevante Anforderungen aus dem revDSG und der DSGVO

Das Ergebnis ist ein Wert für die Sicherheitslage, eine Übersicht der Lücken je Bereich und priorisierte Handlungsfelder. Der Basis Check ist eine Selbstbeurteilung. Er ersetzt weder eine Zertifizierung noch eine externe Prüfung, liefert aber eine dokumentierte Ausgangslage, auf der Sie aufbauen.

Das Beispiel: Sicherheit vorhanden, Überblick fehlt

Nehmen wir ein Handels- und Dienstleistungsunternehmen mit mehreren Standorten. Es verarbeitet Kunden-, Personal- und Projektdaten. Die IT betreut ein kleines internes Team zusammen mit einem externen Partner. Mehrfaktor-Authentisierung, Datensicherungen und Endpoint-Schutz sind eingeführt.

Die Geschäftsleitung verlangt bis zur nächsten Sitzung einen nachvollziehbaren Überblick über die Cyberrisiken. Der IT-Verantwortliche weiss, dass vieles gut läuft, aber die Nachweise liegen verteilt in E-Mails, auf Netzlaufwerken und in einzelnen Excel-Dateien. Mehrere Fragen kann niemand verlässlich beantworten:

• Werden Zugriffsrechte regelmässig geprüft?
• Sind die Wiederherstellungstests der Backups dokumentiert?
• Ist geregelt, wer bei einem Sicherheitsvorfall informiert wird?
• Sind mobile Geräte, Lieferanten und kritische Systeme nachweislich berücksichtigt?

Hier liegt der Unterschied zwischen einzelnen technischen Vorkehrungen und steuerbarer Informationssicherheit. Eine Massnahme kann vorhanden sein, ohne dass ihr Geltungsbereich, ihre Wirksamkeit oder ihr Nachweis feststeht. Für die Geschäftsleitung ist das keine Detailfrage: Ohne diesen Überblick kann sie weder Prioritäten setzen noch Budgets begründen oder Restrisiken einschätzen.

Schritt 1: Den Umfang festlegen

Bevor die erste Frage beantwortet wird, legt das Unternehmen fest, welche Gesellschaften, Standorte, Systeme und Verantwortlichkeiten der Check umfasst. Ein zu breiter Umfang verzögert die Erhebung, ein zu enger blendet wesentliche Risiken aus. Im Beispiel umfasst der Check alle Standorte, weil sie dieselben zentralen Systeme nutzen.

Schritt 2: Fragen den richtigen Personen zuordnen

Die IT allein kann nicht alles beantworten. Im Beispiel werden die Fragen so verteilt:

Rolle	Beantwortet Fragen zu
IT-Verantwortlicher	Netzwerk, Endgeräte, Datensicherung, Berechtigungen
HR	Ein- und Austrittsprozesse, Schulung
Fachbereiche	Umgang mit schützenswerten Informationen
Geschäftsleitung	Vorgaben, Verantwortlichkeiten, Risikobereitschaft
Externer IT-Partner	von ihm betriebene Systeme, auf Anfrage des IT-Verantwortlichen

Schritt 3: Differenziert bewerten und Belege hinterlegen

Statt pauschal «erfüllt» oder «nicht erfüllt» hält das Team den tatsächlichen Stand fest. Eine Zugriffskontrolle kann technisch eingerichtet sein, ohne dass die Berechtigungen periodisch überprüft werden. Ein Notfallprozess kann existieren und seit langem ungetestet sein. Solche Abstufungen bestimmen die tatsächliche Reife und das verbleibende Risiko.

Zu jeder Antwort kommt ein Beleg, soweit vorhanden: Richtlinie, Protokoll, Systemauszug, Vertrag oder Testbericht. Neues wird dafür nicht erstellt. Vorhandene Dokumente werden dort verknüpft, wo sie eine Anforderung tatsächlich belegen. Wo kein Beleg existiert, wird das ebenfalls festgehalten.

Der häufigste Fehler an dieser Stelle ist die reine Selbstdeklaration ohne Belege. Sie ergibt schnell ein grünes Bild, das einer kritischen Nachfrage nicht standhält.

Schritt 4: Die Auswertung lesen

Die Auswertung zeigt, in welchen Bereichen sich Lücken häufen. Im Beispiel fallen drei Themen auf:

1. Die Verwaltung privilegierter Konten ist nicht geregelt.
2. Backups werden gemacht, Wiederherstellungstests aber nicht dokumentiert.
3. Für externe Dienstleister fehlen Sicherheitsanforderungen und eine periodische Überprüfung.

Zwei Fehlschlüsse vermeidet das Team bewusst. Erstens werden nicht alle offenen Punkte gleich behandelt: Eine fehlende Formatvorlage für ein Protokoll ist etwas anderes als unkontrollierte Administratorzugriffe. Zweitens schliesst niemand von einem guten Einzelwert auf die Gesamtlage. Starker Schutz der Endgeräte ersetzt keine geregelte Verantwortung für Vorfälle oder Lieferanten.

Wie stark eine Lücke wiegt, hängt vom Umfeld ab. Wer besonders schützenswerte Personendaten bearbeitet, von wenigen Kernsystemen abhängt oder vertragliche Vorgaben erfüllen muss, gewichtet anders. Hilfreich ist dafür eine Schutzbedarfsanalyse.

Schritt 5: Aus Lücken Massnahmen machen

Aus den drei Themen entstehen konkrete Massnahmen:

Lücke	Massnahme	Verantwortlich
Privilegierte Konten	quartalsweise Berechtigungsprüfung mit Protokoll	IT-Verantwortlicher
Backup-Tests	Wiederherstellungstest mit festem Turnus, definiertem Testumfang und Protokollvorlage	IT-Verantwortlicher mit externem Partner
Dienstleister	Mindestprozess für Sicherheitsanforderungen, Vertragsprüfung und periodische Bewertung	Einkauf zusammen mit IT

Jede Massnahme erhält eine verantwortliche Person, eine Frist, einen Status und den Bezug zur Anforderung, aus der sie entstanden ist. Ohne diesen Bezug verliert sich die Umsetzung in Tickets und Sitzungsnotizen, und später weiss niemand mehr, warum eine Aufgabe besteht und ob sie die Lücke schliesst. Dazu gehört eine Validierung: Jemand prüft nach der Umsetzung, ob die Massnahme wirkt.

Bei knappen Ressourcen muss nicht alles gleichzeitig passieren. Im Beispiel wird die Berechtigungsprüfung zuerst abgeschlossen, weil kompromittierte privilegierte Konten weitreichende Folgen haben. Der Dienstleisterprozess kommt in zwei Etappen: zuerst für neue kritische Anbieter, danach für bestehende Verträge. Die Reihenfolge ist begründet und lässt sich vor der Geschäftsleitung vertreten. Für die Bewertung der Dienstleister eignet sich ein strukturierter Fragebogen, wie ihn der Leitfaden Lieferantenrisiken mit Fragebogen bewerten beschreibt. Mehr zum Aufbau des Plans finden Sie unter Massnahmenplan Informationssicherheit erstellen.

Schritt 6: Restrisiken dokumentieren

Nicht jede Lücke lässt sich sofort schliessen. Im Beispiel unterstützt ein älteres Fachsystem keine moderne Mehrfaktor-Authentisierung. Das Unternehmen trägt das Risiko deshalb ins Risikoregister ein: Eintrittswahrscheinlichkeit, mögliche Auswirkung, bestehende Kontrollen, geplante Behandlung und Risikoeigentümer.

Die Geschäftsleitung sieht damit, dass ein Risiko besteht und welche Entscheidung getroffen wurde. Hier wird es vorübergehend reduziert: Der Zugriff wird auf ein internes Netzsegment beschränkt, die Berechtigungen werden enger kontrolliert, und eine Ablösung des Systems wird geprüft. Das Risikoregister ergänzt die Massnahmenliste dort, wo Restrisiken oder bewusste Managemententscheide bestehen. Eine Vorlage finden Sie im Leitfaden Risikoregister Informationssicherheit.

Schritt 7: Der Bericht an die Geschäftsleitung

IT und Fachverantwortliche brauchen den Detailgrad des Assessments. Die Geschäftsleitung braucht eine verdichtete Sicht:

• aktueller Stand der Sicherheitslage und Lücken je Bereich
• die priorisierten Lücken und warum sie zuerst kommen
• Stand der Massnahmen mit Verantwortlichen und Fristen
• wesentliche Restrisiken und die getroffenen Entscheide
• offene Entscheide, die die Geschäftsleitung treffen muss

Im Beispiel zeigt der Bericht, dass der grösste Handlungsbedarf bei nachweisbaren Betriebsprozessen liegt und weniger bei der Basistechnik. Das verändert die Budgetdiskussion. Statt pauschal «mehr Cybersecurity» zu verlangen, begründet das IT-Team konkrete Aufwände: Zeit für Berechtigungsprüfungen, einen Termin für den Wiederherstellungstest, klare Anforderungen an externe Anbieter.

Schritt 8: Wiederholen statt neu beginnen

Ein Check sollte nach der ersten Auswertung nicht enden. Systeme ändern sich, Mitarbeitende wechseln, Lieferanten kommen hinzu. Für viele KMU ist eine jährliche Gesamtbewertung sinnvoll, ergänzt durch Aktualisierungen bei wesentlichen Änderungen oder nach Vorfällen. Wird die Bewertung des Vorjahrs fortgeschrieben, statt jedes Jahr neu aufgebaut, lässt sich die Entwicklung über die Zeit zeigen, auch gegenüber Kunden oder Prüfern.

Excel oder Software für den Basis Check

Für eine einmalige Aufnahme durch eine einzelne Person reicht eine Tabelle. Sobald mehrere Personen beteiligt sind, Fortschritte über längere Zeit verfolgt werden oder Nachweise wiederkehrend verlangt werden, entstehen die bekannten Probleme: Versionen zirkulieren per E-Mail, Kommentare gehen in Zellen unter, Lücken, Massnahmen und Risiken liegen in getrennten Dateien, und jeder Bericht wird von Hand zusammengesetzt. Nachzuvollziehen, wer was wann bewertet hat und welcher Beleg zu welcher Antwort gehört, verlangt in Tabellen viel Disziplin.

Achten Sie bei einer Software auf diese Punkte:

• Werden aus Lücken direkt Massnahmen mit Verantwortlichen, Fristen und Status?
• Lassen sich Lücken als Risiken bewerten und mit Restrisiko verfolgen?
• Ist nachvollziehbar, wer was wann geändert hat?
• Entstehen Berichte für die Geschäftsleitung ohne manuelle Konsolidierung?
• Kann die Bewertung im Folgejahr fortgeschrieben werden?
• Wo werden die Daten gespeichert?

Eine ausführlichere Abwägung bietet der Leitfaden ISMS-Software oder Excel.

Basis Check und NIST CSF 2.0: wo der eine aufhört

Der Basis Check ist auf eine fokussierte Bestandsaufnahme ausgelegt. Er macht die wichtigsten Anforderungen greifbar und zeigt rasch den Handlungsbedarf, in einer Sprache, die auch Fachbereiche und Geschäftsleitung verstehen. NIST CSF 2.0 ist ein Steuerungsrahmen mit sechs Funktionen, der Sicherheitsarbeit tiefer strukturiert, etwa bei Governance, Lieferketten oder dem Zusammenspiel von Erkennung, Reaktion und Wiederherstellung. Er verlangt mehr methodische Reife und mehr Aufwand in der Pflege.

Wer komplexe regulatorische Anforderungen erfüllen muss, kritische Betriebsprozesse steuert oder den Reifegrad gezielt weiterentwickeln will, kommt mit dem Basis Check allein an eine Grenze. Dann bietet sich ein abgestufter Weg an: zuerst den Status mit dem Basis Check erfassen, danach vertiefen, etwa wie im Leitfaden NIST CSF 2.0 umsetzen beschrieben. Steht dagegen ein Zertifikat im Raum, hilft der Leitfaden ISO 27001 oder Basis Check bei der Entscheidung.

Den Basis Check in SCMC durchführen

In SCMC erfassen Sie pro Frage Ist und Soll, eine Begründung und einen Dokumentlink als Beleg. Sobald die Massnahmen für das Modul freigeschaltet sind, planen Sie Massnahmen mit Frist, verantwortlicher Person und Validierung, setzen E-Mail-Erinnerungen und bewerten Lücken nach Wahrscheinlichkeit und Auswirkung mit Restrisiko. Antworten, Massnahmen und Risikoanalyse lassen sich als bearbeitbare Word-Dokumente herunterladen, die Bewertung auch als Excel. Für das Folgejahr duplizieren Sie die Bewertung mit allen Antworten, Massnahmen und Risiken. Weil die Fragen auf ISO 27001, den IKT-Minimalstandard und weitere Rahmenwerke abgebildet sind, können Sie anschliessend in die vertiefenden Module wechseln, etwa IKT-Minimalstandard, NIST CSF 2.0 oder Cyber-Risikomanagement. Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich). Fragen zur Bedienung beantwortet das Hilfe-Center.