Wer braucht den IKT-Minimalstandard? In erster Linie Betreiberinnen und Betreiber kritischer Infrastrukturen, also Organisationen, deren Leistungen für Bevölkerung, Wirtschaft oder Verwaltung unverzichtbar sind. Betroffen sind aber auch ihre Dienstleister und Zulieferer sowie Unternehmen, von denen Kunden oder Auftraggeber einen Sicherheitsnachweis verlangen. Dieser Leitfaden zeigt, woran Sie erkennen, ob und wie stark der Standard Ihre Organisation betrifft.

Wie Sie ihn danach umsetzen, beschreibt der Leitfaden zur Umsetzung des IKT-Minimalstandards. Für Gemeinden und Behörden gibt es einen eigenen Leitfaden zum Cyber Assessment in der Verwaltung.

Die Kernzielgruppe: kritische Infrastrukturen

Der IKT-Minimalstandard richtet sich an Organisationen, deren Ausfall über den eigenen Betrieb hinaus Folgen hätte. Je nach Tätigkeit und Abhängigkeit gehören dazu:

• Energieversorger und Wasserversorger
• Spitäler, Pflegeeinrichtungen und andere Gesundheitsorganisationen
• Verkehrs- und Transportunternehmen
• Telekommunikationsanbieter
• Finanzdienstleister
• Behörden und öffentliche Verwaltungen
• Unternehmen mit wichtigen Versorgungs- oder Logistikfunktionen

Die Branche allein entscheidet aber nicht. Massgeblich ist, was ein Ausfall, eine Manipulation oder ein Datenverlust bei Ihnen auslösen würde. Ein kleines Wasserwerk kann stärker betroffen sein als ein grosses Handelsunternehmen, weil eine ganze Region von seiner Leistung abhängt.

Pflicht oder Empfehlung

Für die meisten Organisationen ist die Anwendung des IKT-Minimalstandards eine Empfehlung und kein pauschal geltendes Gesetz. Verbindlich werden Sicherheitsnachweise trotzdem häufig, und zwar auf anderen Wegen:

• Verträge: Auftraggeber, besonders aus dem öffentlichen Bereich oder aus kritischen Branchen, schreiben Sicherheitsanforderungen in Verträge und Ausschreibungen.
• Branchenvorgaben und Aufsicht: Branchenverbände und Aufsichtsstellen können eigene Mindestanforderungen festlegen, die sich am Standard orientieren.
• Kantonale Anforderungen: Für öffentliche Stellen und ihre Dienstleister können kantonale Vorgaben gelten.
• Versicherungen: Cyberversicherer können den Stand der Schutzmassnahmen abfragen und einzelne Nachweise zur Bedingung machen.

Auch ohne jede formelle Pflicht ist der Standard ein brauchbarer Referenzrahmen, wenn die Geschäftsleitung Cyberrisiken nachvollziehbar dokumentieren und schrittweise senken will.

Indirekt betroffen: Dienstleister und Zulieferer

Viele Organisationen sind betroffen, ohne sich selbst als kritische Infrastruktur zu sehen. Drei typische Konstellationen:

• Ein IT-Dienstleister betreut die Informatik mehrerer Gemeinden. Fällt er aus oder wird er kompromittiert, stehen mehrere Verwaltungen gleichzeitig still.
• Ein Zulieferer liefert eine zentrale Komponente oder Fernwartung für ein Energieunternehmen. Sein Zugang zu den Anlagen ist ein Einfallstor.
• Ein Pflegezentrum ist auf digital gesteuerte Medizintechnik angewiesen. Ein Ausfall betrifft unmittelbar die Versorgung der Bewohnerinnen und Bewohner.

In solchen Fällen kommt die Anforderung oft über den Kunden: Er muss seine eigene Lieferkette absichern und fragt deshalb nach Ihrem Sicherheitsstand. Wer dann eine dokumentierte Bewertung nach einem bekannten Standard vorlegen kann, beantwortet Lieferantenfragebogen schneller und glaubwürdiger. Wie solche Fragebogen auf der Seite des Auftraggebers aussehen, zeigt der Leitfaden Lieferantenrisiken mit Fragebogen bewerten.

Selbsttest: Wie relevant ist der Standard für Sie?

Beantworten Sie die folgenden Fragen für Ihre Organisation. Je mehr Sie mit Ja beantworten, desto relevanter wird der Standard.

Frage	Was ein Ja bedeutet
Könnten Sie Ihre zentrale Leistung mehrere Tage nicht erbringen, wenn die IT ausfällt?	Ihre Verfügbarkeit hat Folgen über den eigenen Betrieb hinaus.
Hängen andere Unternehmen oder öffentliche Stellen von Ihren Systemen oder Leistungen ab?	Sie sind Teil einer fremden Lieferkette und werden nach Nachweisen gefragt.
Verarbeiten Sie besonders schützenswerte Personendaten oder vertrauliche Daten Dritter?	Vertraulichkeit und Integrität sind geschäftskritisch.
Gibt es Fernzugriffe auf Anlagen, Produktionsumgebungen oder Kundensysteme?	Externe Zugänge sind ein zentrales Risiko, das der Standard abdeckt.
Verlangen Kunden, Ausschreibungen oder Versicherer einen Sicherheitsnachweis?	Sie brauchen eine dokumentierte, wiederholbare Bewertung.
Erbringen Sie IT-Leistungen für Verwaltungen, Spitäler oder Versorger?	Die Anforderungen Ihrer Kunden werden zu Ihren Anforderungen.

Aus dem Ergebnis leiten Sie ab, in welcher Rolle Sie den Standard einsetzen:

• Als Mindestanforderung, wenn Sie selbst kritische Leistungen erbringen oder ein Auftraggeber ihn vorschreibt. Dann bewerten Sie vollständig und wiederkehrend.
• Als Grundlage für Nachweise, wenn Kunden Ihren Sicherheitsstand prüfen. Dann zählt eine dokumentierte Bewertung, die Sie bei Anfragen vorlegen können.
• Als Orientierungsrahmen, wenn keine äussere Anforderung besteht. Dann nutzen Sie die Struktur, um Ihre wichtigsten Lücken zu finden, und setzen die Tiefe nach eigenem Risiko fest.

Bei unklarem Ergebnis hilft eine kurze Abhängigkeitsanalyse: Welche Leistungen sind geschäftskritisch? Welche Anwendungen, Daten, Personen und externen Partner werden dafür benötigt? Wie lange wäre ein Ausfall jeweils tragbar? Die Methode dazu beschreibt der Leitfaden zur Schutzbedarfsanalyse.

Angemessenheit statt Einheitslösung

Wer betroffen ist, muss den Standard nicht überall gleich tief umsetzen. Ein kleines Wasserwerk braucht andere Kontrollen als ein Spital mit mehreren Standorten, und vorhandene Ressourcen, Systemlandschaft und Gefährdungslage unterscheiden sich. Eine Massnahme ist dann sinnvoll, wenn sie ein relevantes Risiko wirksam senkt, klar verantwortet wird und im Betrieb funktioniert.

Für die eine Organisation steht deshalb ein getesteter Notfallplan an erster Stelle, für die andere die Kontrolle über Fernwartungszugänge oder die Identitätsverwaltung. Wichtig ist, dass solche Schwerpunkte bewusst gesetzt und begründet werden.

Wann Sie aktiv werden sollten

Spätestens bei einem dieser Anlässe sollte der Reifegrad strukturiert erhoben werden:

• ein neuer Vertrag oder eine Ausschreibung mit Sicherheitsauflagen
• eine angekündigte Prüfung durch Aufsicht oder Revision
• ein grösseres Digitalisierungsprojekt oder die Ablösung eines zentralen Systems
• ein Sicherheitsvorfall, bei Ihnen oder bei einem wichtigen Partner

Wer erst dann beginnt, Unterlagen zusammenzutragen, arbeitet unter Zeitdruck und mit lückenhaften Informationen. Günstiger ist ein Zeitpunkt davor: die jährliche Risikoplanung, die Budgetrunde oder eine Neuverteilung der Verantwortung im IT- und Sicherheitsbereich. Eine erste Bewertung schafft den Ausgangspunkt, von dem aus Sie Massnahmen in realistischen Etappen planen und Budgets begründen.

Welche Nachweise Management und Prüfer erwarten

Ein hoher Reifegrad zeigt sich nicht an der Seitenzahl eines Sicherheitskonzepts. Erwartet wird, dass Sie Ihre Lage verständlich belegen können:

• ein aktueller Überblick über kritische Systeme und Risiken
• dokumentierte Zuständigkeiten
• der Stand der wesentlichen Massnahmen, mit Verantwortlichen und Terminen
• Belege, dass Kontrollen durchgeführt werden, etwa Protokolle von Wiederherstellungstests oder Berechtigungsprüfungen
• nachvollziehbare Entscheide zu Risiken, die bewusst getragen werden

Bei Anfragen von Kunden oder Prüfern sollte ohne lange Suche erkennbar sein, wer eine Massnahme beschlossen hat, wann sie umgesetzt wurde, welcher Beleg vorliegt und welches Restrisiko bleibt. Wie Sie diese Nachweise im Ablauf erzeugen, steht im Leitfaden zur Umsetzung.

Häufige Fehlannahmen

«Wir sind zu klein, das betrifft uns nicht.» Kleinere Organisationen haben oft weniger Redundanz, weniger spezialisiertes Personal und hängen stärker von einzelnen Dienstleistern ab. Ein pragmatischer Mindeststandard nützt ihnen deshalb besonders.

«Mit einem ISO-27001-Zertifikat ist das erledigt.» Ein etabliertes ISMS ist eine sehr gute Grundlage. Es ersetzt aber nicht automatisch die Prüfung, ob die bestehenden Kontrollen die Erwartungen Ihrer Auftraggeber oder Ihrer Branche abdecken. Oft lassen sich vorhandene Nachweise weiterverwenden. Wie sich die Rahmenwerke unterscheiden, zeigt der Vergleich ISO 27001 oder NIST CSF.

«Das ist Sache der IT.» Der Standard fragt nach Zuständigkeiten, Prozessen und Entscheiden der Leitung. Die IT kann viele Fragen beantworten, über Restrisiken und Budget entscheidet die Geschäftsleitung. Für Führungskräfte ohne technischen Hintergrund gibt es das Selbstlernmodul «Cyber-Risiken: Führung gefordert», entstanden mit der HWZ: rund 50 Minuten, ohne Technik.

«Eine Bewertung genügt.» Systeme, Lieferanten, Bedrohungen und Zuständigkeiten ändern sich. Nicht jede Änderung verlangt eine vollständige Neubewertung, aber wesentliche Änderungen müssen in Risiken, Massnahmen und Nachweisen sichtbar werden. Ein jährlicher Zyklus ist ein guter Rhythmus.

Wenn der IKT-Minimalstandard nicht der passende Rahmen ist

Nicht für jede Organisation ist der IKT-Minimalstandard die erste Wahl:

• Wer ohne äussere Anforderung einfach wissen will, wo er steht, beginnt mit einem kurzen Grundcheck. Der Leitfaden ISO 27001 oder Basis Check hilft bei dieser Abwägung.
• Wer ein international anerkanntes Zertifikat braucht, plant ein ISMS nach ISO 27001.
• Wer Leistungen in der EU erbringt, prüft zusätzlich, ob die NIS2-Richtlinie (EU-Richtlinie 2022/2555) für ihn gilt.

Der erste Schritt mit SCMC

Den Stand gegenüber dem Standard erheben Sie mit dem IKT-Minimalstandard-Modul von SCMC. Es bewertet den Umsetzungsstand entlang der fünf NIST-Funktionen und führt Lücken direkt in Massnahmen mit Frist und Verantwortlichen sowie in eine Risikobewertung weiter. Das Ergebnis ist eine dokumentierte Selbstbeurteilung, kein offizielles Zertifikat; SCMC ist keine Behörde.

Wer zuerst unverbindlich prüfen möchte, wo er steht, nutzt den kostenlosen Cyber Security Basis Check. Seine Fragen sind unter anderem auf den IKT-Minimalstandard abgebildet, und danach können Sie auf derselben Plattform zum IKT-Modul wechseln. Antworten auf häufige Fragen zur Plattform finden Sie im Hilfe-Center.