ISO 27001 für Schweizer KMU: Aufwand, Kosten, Roadmap

ISO 27001 hatte lange den Ruf, etwas für Banken und Rechenzentren zu sein. Das hat sich geändert: Heute ist die Frage nach dem Zertifikat Standard in Ausschreibungen, in Lieferanten-Fragebögen und in den Sicherheitsanhängen von Rahmenverträgen — und sie trifft zunehmend Schweizer KMU mit 30 bis 200 Mitarbeitenden. Dieser Beitrag ordnet ein, was die Norm verlangt, was sie kostet und wie ein realistischer Weg aussieht.

Kurz gesagt: ISO 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem (ISMS). Zertifiziert wird nicht die Technik, sondern das System: Risiken kennen, Massnahmen festlegen, umsetzen, prüfen, verbessern. Für ein KMU ist der Weg in neun bis achtzehn Monaten machbar; der grösste Kostenblock ist die eigene Arbeitszeit, nicht das Audit.

Was ISO 27001:2022 verlangt

Die Norm hat zwei Teile. Der Hauptteil (Kapitel 4 bis 10) beschreibt das Managementsystem: Kontext und Scope, Führung und Politik, Risikobeurteilung und -behandlung, Ressourcen und Kompetenz, Betrieb, Leistungsbewertung mit internen Audits und Management-Review, sowie Verbesserung. Anhang A listet 93 Massnahmen in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34). Welche davon gelten, entscheidet die Risikobeurteilung — festgehalten in der Erklärung zur Anwendbarkeit (Statement of Applicability), dem zentralen Dokument jedes Audits.

Zertifiziert wird in zwei Stufen: Das Stufe-1-Audit prüft die Dokumentation und die Bereitschaft, das Stufe-2-Audit die Umsetzung vor Ort. Danach gilt das Zertifikat drei Jahre, mit jährlichen Überwachungsaudits. In der Schweiz zertifizieren Stellen, die von der Schweizerischen Akkreditierungsstelle (SAS) akkreditiert sind — ein Zertifikat einer nicht akkreditierten Stelle ist auf dem Papier wertlos.

Wann sich das für ein KMU lohnt

Die Norm lohnt sich nicht, weil sie schön ist, sondern wenn sie eine konkrete Anforderung erfüllt:

• Kunden fragen danach. Sobald der zweite Grosskunde einen Fragebogen schickt, ist ein Zertifikat billiger als die jährliche Beantwortung von fünf verschiedenen Fragebögen.
• NIS2 trifft die Lieferkette. Die zehn Massnahmenbereiche nach Art. 21 lassen sich mit einem ISO-ISMS fast vollständig nachweisen — der Zusammenhang ist in NIS2 und die Schweiz beschrieben.
• Regulierte Kunden. Wer Banken, Versicherungen oder Spitäler beliefert, wird als ausgelagerter Dienstleister geprüft — die Prüfer kennen ISO 27001 und akzeptieren es als Nachweis.
• Versicherung und Ausschreibungen. Cyber-Versicherer fragen die gleichen Massnahmen ab; öffentliche Ausschreibungen setzen das Zertifikat zunehmend voraus.

Es lohnt sich weniger, wenn niemand danach fragt und die Organisation das ISMS nicht leben würde. Ein Zertifikat, das nur für das Audit gepflegt wird, kostet jedes Jahr Geld und schützt nichts.

Ein sinnvoller Zwischenweg: zuerst ein Gap-Assessment gegen die Norm machen, ohne Zertifizierung als Ziel. Das kostet wenige Tage, zeigt, wie weit der Weg wirklich ist, und liefert eine Massnahmenliste, die auch ohne Zertifikat den nächsten Kunden-Fragebogen beantwortet. Die Entscheidung für das Audit fällt dann auf Basis von Zahlen, nicht von Bauchgefühl.

Aufwand nach Grösse

Der Aufwand hängt weniger von der Mitarbeiterzahl ab als vom Scope und vom Ausgangszustand. Grobe Erfahrungswerte:

• 20 bis 50 Mitarbeitende, IT weitgehend in der Cloud: eine Person mit 20 bis 30 Prozent ihrer Zeit über neun bis zwölf Monate, dazu punktuell Geschäftsleitung, HR und IT.
• 50 bis 150 Mitarbeitende, eigene Server, mehrere Standorte: ein Informationssicherheitsbeauftragter zu 50 Prozent über zwölf bis achtzehn Monate, plus ein Kernteam aus IT, HR, Facility und Einkauf.
• Mehrere Länder oder Produktion: deutlich mehr — hier lohnt sich ein eng gezogener Scope für die erste Zertifizierung, der später erweitert wird.

Der häufigste Fehler ist, den Scope zu gross zu wählen. Für die erste Zertifizierung reicht oft der Bereich, den die Kunden tatsächlich prüfen: die Dienstleistung, die sie einkaufen, und die Systeme, die sie berührt.

Kosten realistisch einschätzen

Jede Offerte weicht ab, aber die Blöcke sind immer dieselben. Als Grössenordnungen für ein KMU mit 50 Mitarbeitenden:

Block	Grössenordnung	Bemerkung
Interne Arbeitszeit	400–800 Stunden	Der grösste Posten, oft unterschätzt
Externe Begleitung	CHF 15’000–40’000	Optional, verkürzt die Lernkurve
Zertifizierungsaudit (Stufe 1 + 2)	CHF 8’000–20’000	Abhängig von Scope und Standorten
Überwachungsaudit pro Jahr	CHF 3’000–8’000	Zwei Jahre lang, dann Rezertifizierung
Technische Massnahmen	Sehr unterschiedlich	MFA, Backup, EDR sind oft ohnehin fällig
GRC-Werkzeug	CHF 0–10’000 pro Jahr	Open Source oder Suite

Die technischen Massnahmen sind bewusst ohne Zahl: Wer Microsoft 365 sauber gehärtet hat und getestete Backups besitzt, hat den Grossteil schon. Was das insgesamt kosten darf, zeigt der Security-Budget-Check als Richtwert nach Branche und Grösse.

Zwölf Monate: ein Fahrplan

Quartal 1 — Fundament. Scope festlegen, Geschäftsleitung einbinden und die Informationssicherheits-Politik unterschreiben lassen. Asset-Inventar erstellen: Systeme, Daten, Lieferanten, Verantwortliche. Risikomethode festlegen und die erste Risikobeurteilung durchführen — bewusst grob, fünfzehn bis dreissig Risiken reichen.

Quartal 2 — Massnahmen. Erklärung zur Anwendbarkeit erstellen: Für jede der 93 Massnahmen entscheiden, ob sie gilt und warum. Die Lücken in einen Massnahmenplan mit Verantwortlichen und Terminen überführen. Die grossen technischen Punkte anstossen — sie brauchen Vorlauf.

Quartal 3 — Umsetzung und Nachweise. Massnahmen umsetzen, Belege sammeln, Schulungen durchführen, Lieferanten bewerten. Prozesse dokumentieren, die es bisher nur im Kopf gab: Onboarding und Offboarding, Änderungen, Vorfälle, Backup-Tests.

Quartal 4 — Prüfen und zertifizieren. Internes Audit durch jemanden, der nicht selbst umgesetzt hat. Management-Review mit Kennzahlen. Abweichungen beheben, dann Stufe-1- und Stufe-2-Audit. Zwischen den beiden Audits liegen meist vier bis acht Wochen.

Was der Auditor sehen will

Die Norm verlangt erstaunlich wenige Dokumente — aber diese müssen existieren, aktuell sein und zusammenpassen. Die Liste, die in jedem Stufe-1-Audit abgefragt wird:

• Scope des ISMS mit Begründung der Abgrenzung
• Informationssicherheits-Politik, von der Leitung freigegeben
• Risikomethode sowie die Ergebnisse der Risikobeurteilung und der Risikobehandlungsplan
• Erklärung zur Anwendbarkeit mit Begründung je Massnahme
• Sicherheitsziele und wie sie gemessen werden
• Nachweise zu Kompetenz und Schulung
• Betriebsnachweise: Änderungen, Vorfälle, Lieferantenbewertungen, Zugriffsprüfungen, Backup-Tests
• Programm und Ergebnisse der internen Audits
• Protokoll des Management-Reviews
• Abweichungen und Korrekturmassnahmen

Wer diese zehn Punkte in einem System pflegt statt in zehn Ordnern, hat das Audit halb bestanden. Der Auditor sucht keine perfekte Organisation — er sucht eine, die weiss, wo sie steht, und das belegen kann.

Die Fehler, die am meisten kosten

• Dokumente kaufen statt schreiben. Vorlagen sparen Zeit, aber ein Auditor merkt sofort, wenn die Richtlinie nicht zur Organisation passt — und die Mitarbeitenden merken es auch.
• Das ISMS bei der IT parken. Die Norm verlangt, dass die Geschäftsleitung führt. Ohne ihre Beteiligung fehlen Ressourcen, Entscheide und am Ende die Glaubwürdigkeit.
• Risiken erfinden, um Massnahmen zu rechtfertigen. Umgekehrt wird ein Schuh daraus: Erst die Risiken, dann die Massnahmen.
• Excel als ISMS. Für die ersten Monate geht das, danach verliert man den Überblick über Beziehungen zwischen Risiken, Massnahmen und Nachweisen. Warum, steht in CISO Assistant: GRC ohne Excel-Friedhof; Alternativen zeigt der Vergleich von Open-Source-GRC-Tools.
• Nach dem Zertifikat aufhören. Das Überwachungsaudit kommt nach zwölf Monaten und prüft, ob das System gelebt wurde: interne Audits, Management-Review, Vorfälle, Verbesserungen.

Was nach dem Zertifikat anders ist

Der eigentliche Gewinn ist nicht das Papier. Es ist, dass die Organisation zum ersten Mal eine gemeinsame Liste ihrer Risiken hat, dass Verantwortlichkeiten geklärt sind und dass ein Vorfall einem Prozess folgt statt der Panik. Der Fragebogen des nächsten Kunden wird zur Fleissarbeit von einer Stunde. Und wenn doch etwas passiert — wie das typischerweise abläuft, zeigt die Anatomie eines Angriffs —, weiss jeder, was zu tun ist.