Die Frage steht in Kundenfragebögen weit vorn: Wer ist bei euch für die Informationssicherheit verantwortlich? In vielen Schweizer KMU entsteht die Antwort erst in diesem Moment. Jemand aus der Geschäftsleitung trägt den Namen des IT-Leiters ein, weil der am nächsten dran ist, und schickt das Formular ab. Damit hat die Firma einen Informationssicherheitsbeauftragten. Im KMU ist das oft der ganze Vorgang: ein Name in einem Feld, kein Gespräch, kein Zeitbudget, keine Entscheidungsrechte.
Der IT-Leiter erfährt davon, wenn der Kunde nachfragt, wer das Risikoregister führt. Dann hat er eine Rolle, die er nicht verhandelt hat, und eine Woche, die vorher schon voll war.
Ein Informationssicherheitsbeauftragter im KMU braucht mehr als die Benennung. Ohne Zeitbudget, ohne Befugnisse und ohne Berichtsweg zur Geschäftsleitung bleibt die Rolle ein Name im Kundenfragebogen. Tragfähig wird sie durch vier Dinge: eine schriftliche Rollenbeschreibung mit Entscheidungsrechten, 20 bis 30 Stellenprozente, einen festen Berichtsrhythmus und eine Person, die nicht gleichzeitig den IT-Betrieb verantwortet.
Warum der Name im Formular noch keine Rolle ist
Mit einer Benennung verteilt die Geschäftsleitung Verantwortung. Ohne Zeit, Befugnisse und Berichtsweg bleibt davon nur das Gefühl, zuständig zu sein. Das trägt eine Weile. Dann kommt der Moment, in dem die Person zwischen Betrieb und Sicherheit entscheiden muss, und der Betrieb gewinnt, weil er lauter ist. Ein stehengebliebenes Produktionssystem ruft an, ein unbearbeitetes Lieferantenrisiko nicht.
Das Bundesamt für Cybersicherheit hält im Grundschutz für Unternehmen und Behörden fest, dass Cybersicherheit mehr ist als eine technische Aufgabe der Informatik-Abteilung, nämlich eine zentrale Leitungsaufgabe. Die Geschäftsleitung entscheidet, wo Mittel für den Schutz kritischer Prozesse hingehen. Ein Beauftragter kann diese Entscheidungen vorbereiten. Fällen kann er sie nicht.
Genau hier geht es in der Praxis durcheinander. Die Geschäftsleitung liest die Benennung zum Informationssicherheitsbeauftragten als Delegation und hält das Thema für vergeben. Die benannte Person glaubt, sie dürfe entscheiden, merkt beim ersten Budgetantrag, dass sie es nicht darf, und hört auf, Anträge zu stellen. Danach läuft die Informationssicherheit auf dem Niveau weiter, das ohne Benennung auch erreicht worden wäre, nur mit einem Namen im Fragebogen.
Was macht ein Informationssicherheitsbeauftragter im KMU konkret?
Ein Informationssicherheitsbeauftragter hält die Risiken sichtbar, bereitet Entscheidungen für die Geschäftsleitung vor und sorgt dafür, dass gefällte Entscheide im Betrieb nachweisbar ankommen. Vier Aufgaben kommen in fast jedem Haus wieder: ein aktuelles Bild der Risiken führen, Entscheidungen einholen statt selbst treffen, Nachweise pflegen, Kundenfragen und Audits beantworten. Dazu die Bereitschaft für den Vorfall, der irgendwann kommt.
Was nicht in der Rolle steckt, ist genauso wichtig: Firewalls konfigurieren und Backups wiederherstellen. Das ist IT-Betrieb, und der bleibt dort, wo er hingehört. In der Rolle prüft jemand, ob der Betrieb hält, was die Geschäftsleitung angenommen hat. Jemand testet die Wiederherstellung, jemand anderes schaut auf das Protokoll und fragt nach, wenn seit über einem Jahr keines existiert.
Der unspektakuläre Kern der Aufgabe ist Übersetzung. Nach oben: aus einem technischen Befund eine Geschäftsentscheidung machen, mit Kosten, Frist und Besitzer. Nach unten: aus einem Beschluss der Geschäftsleitung eine Massnahme machen, die jemand im Kalender hat. Wer beide Richtungen beherrscht, braucht wenig Werkzeug. Fehlen beide, kauft die Firma Tools und hofft.
| Was im Benennungsschreiben steht | Was die Rolle im Betrieb braucht |
|---|---|
| "verantwortlich für Informationssicherheit" | eine Liste der Entscheide, die die Person allein fällen darf, und der Rest geht an die Geschäftsleitung |
| "in Absprache mit der IT" | Zugriff auf Verträge, Lizenzlisten, Risikoregister und die Offerten der Dienstleister |
| "neben der bisherigen Funktion" | Stellenprozente im Jahresziel, abgezogen von bestehenden Aufgaben, nicht addiert |
| "berichtet bei Bedarf" | ein fester Termin pro Quartal bei Geschäftsleitung oder Verwaltungsrat, auch wenn nichts brennt |
Wer kann die Rolle im KMU übernehmen?
Ein Informationssicherheitsbeauftragter im KMU braucht Nähe zum Betrieb, Zugang zur Geschäftsleitung und die Fähigkeit, Unangenehmes sachlich zu sagen. Eine Security-Zertifizierung ist dafür kein Kriterium, Standfestigkeit schon. Ausgeschlossen ist die Kombination, die im KMU am häufigsten vorkommt: gleichzeitig den IT-Betrieb verantworten und beurteilen, ob der Schutz ausreicht.
Das ist keine Misstrauensfrage, sondern eine Rollenfrage. Wer das Backup-Konzept gebaut hat, ist die falsche Person, um der Geschäftsleitung zu sagen, dass es die vereinbarte Wiederanlaufzeit nicht hält. Nicht aus Unehrlichkeit. Nur beanstandet kaum jemand gern die eigene Arbeit, und die Geschäftsleitung hört in dieser Konstellation beides von derselben Person: die Einschätzung und die Entwarnung.
Deshalb vergeben Geschäftsleitungen die Rolle in KMU ohne eigene Sicherheitsabteilung oft ausserhalb der IT, meist im Qualitätsmanagement oder bei Finanzen und Risiko. Leute, die Auditlogik kennen, Nachweise ernst nehmen und in einer Sitzung der Geschäftsleitung nicht verstummen. Das Technische lässt sich zuarbeiten, die Unbequemlichkeit nicht.
Bleibt die Rolle beim IT-Leiter, weil es im Haus niemand anderen gibt, braucht sie eine Gegenlesung von aussen. Jemand, der das Risikoregister anschaut, ohne es gebaut zu haben, und der die Geschäftsleitung ohne Loyalitätskonflikt informiert. Wann dieser Punkt erreicht ist, zeigen die vier Auslöser, ab wann ein KMU einen CISO braucht, meist deutlicher als die Mitarbeiterzahl.
Wie viel Zeit braucht ein Informationssicherheitsbeauftragter?
In unserer Erfahrung 20 bis 30 Stellenprozente im Normalbetrieb bei 100 bis 300 Mitarbeitenden. Im Aufbau eines ISMS oder in den Wochen vor einem Zertifizierungs- oder Kundenaudit deutlich mehr, danach wieder weniger. Bei null Prozent und gutem Willen entstehen Dokumente, die niemand pflegt.
Diese Prozente stehen gegen die naheliegende Alternative, eine Festanstellung. Die Lohndaten von jobs.ch zeigen für einen Chief Information Security Officer in der Schweiz einen Durchschnitt von rund CHF 155'000 brutto pro Jahr, erhoben aus 191 Angaben. Dazu Sozialleistungen und mehrere Monate Suche. Für ein KMU mit 150 Mitarbeitenden ist das keine realistische Grösse, und es braucht sie auch nicht. Wie die Rechnung im Vergleich zum Mandat aussieht, haben wir in der ehrlichen Rechnung zu den Kosten eines CISO aufgeschlüsselt.
Die teurere Variante ist fast immer die stille: eine Benennung zu null Prozent. Im Budget kostet sie nichts und produziert trotzdem Aufwand, weil jeder Kundenfragebogen und jedes Audit zum Einzelprojekt wird. Mehr Schutz, weniger Tools, weniger Kosten fängt an dieser Stelle an: Mit Zeit und Rechten weiss die benannte Person innert Monaten, welche Lizenzen bleiben. Ohne beides unterschreibt die Firma weiter, was die Dienstleister vorschlagen.
Ein Lebensmittelverarbeiter mit 170 Mitarbeitenden: wer die Rolle am Ende trägt
Ein Beispiel aus der Praxis, anonymisiert. Ein Lebensmittelverarbeiter, rund 170 Mitarbeitende, zwei Standorte, IT mit drei Leuten und einem externen Dienstleister für den Betrieb. Ein Grosskunde aus dem Detailhandel verlangt im Rahmenvertrag einen benannten Ansprechpartner für Informationssicherheit, mit Namen und Funktion. Die Geschäftsleitung benennt den IT-Leiter als Informationssicherheitsbeauftragten, weil es schnell gehen muss.
Ein halbes Jahr später hängt das Thema. Der IT-Leiter hat in dieser Zeit eine Migration gestemmt und die Rolle genau so weit betrieben, wie der Kunde nachgefragt hat. Das Risikoregister besteht aus dem Bericht einer Beratung von vor zwei Jahren. Niemand hat je entschieden, welche der dort genannten Lücken akzeptiert sind.
Die Geschäftsleitung gibt die Rolle dann der Leiterin Qualitätsmanagement, mit 20 Stellenprozenten und einem schriftlichen Mandat. Die Begründung ist praktisch, nicht fachlich: Die Qualitätsleiterin führt seit Jahren Audits im Lebensmittelbereich, kennt die Mechanik aus Nachweis, Abweichung und Massnahme, und sitzt in der Geschäftsleitungssitzung. Der IT-Leiter bleibt technisch verantwortlich und wird ihr wichtigster Zulieferer.
Was sich dadurch ändert, klingt nach wenig und wirkt schnell. Die zwölf offenen Punkte aus dem alten Bericht werden sortiert: vier umgesetzt, fünf terminiert, drei bewusst akzeptiert und von der Geschäftsleitung abgezeichnet. Der nächste Kundenfragebogen geht in zwei Tagen raus statt in drei Wochen. Und zwei Lizenzen fliegen raus, weil der IT-Leiter beim Durchgehen der Verträge sieht, dass ein Werkzeug das Gleiche tut wie ein anderes. Die eingesparten Lizenzkosten decken ungefähr die 20 Stellenprozente. Dass die Rechnung so aufgeht, ist kein Naturgesetz. Wir haben es oft genug gesehen, um es im Budgetgespräch zu erwähnen.
Was die Benennung tragfähig macht
Vier Dinge entscheiden darüber, ob die Benennung im Alltag trägt:
- Eine Rollenbeschreibung mit Befugnissen. Nicht nur Aufgaben, sondern die Entscheide, die die Person allein fällen darf, und die Schwelle, ab der die Geschäftsleitung ran muss.
- Zeit, die woanders abgezogen wird. Stellenprozente im Jahresziel. Eine Rolle zusätzlich zur vollen Stelle ist eine Absichtserklärung.
- Ein Berichtsweg ohne Umweg über die IT-Leitung. Ein fester Quartalstermin bei Geschäftsleitung oder Verwaltungsrat, in dem auch schlechte Nachrichten Platz haben.
- Eine Stellvertretung. Zwei Wochen Ferien oder eine Kündigung dürfen das Thema nicht anhalten, und Entscheide müssen nachlesbar sein, nicht nur erinnerbar.
Fehlt im Haus die Erfahrung, diese Rolle zu füllen, ist die Antwort nicht zwingend eine Anstellung. Dann trägt eine interne Person mit Mandat und Zeit, die sich im festen Rhythmus mit jemandem abstimmt, der viele Sicherheitsprogramme von innen gesehen hat. In unserer Erfahrung kommt diese Konstellation weiter als eine ausgeschriebene Stelle, auf die sich ein halbes Jahr lang niemand Passendes bewirbt. Welche Formen das annehmen kann, von der Zweitmeinung für eine bestehende IT-Leitung bis zur Sicherheitsführung im Mandat, steht bei den Paketen und Preisen auf der Startseite.
Ist die Rolle bei euch schon besetzt, braucht es keine neue Organisation. Es genügt die Frage, ob die benannte Person im laufenden Monat eine Entscheidung herbeigeführt hat. Wenn nicht, fehlt ihr etwas von den vier Dingen oben, und das ist eine Aufgabe der Geschäftsleitung, nicht eine der benannten Person.
Häufige Fragen
Muss ein Schweizer KMU einen Informationssicherheitsbeauftragten benennen?
Kein allgemeines Schweizer Gesetz verlangt einen Informationssicherheitsbeauftragten. Verbindlich wird die Rolle auf drei anderen Wegen: ISO 27001 verlangt in Kapitel 5.3, dass Rollen und Verantwortlichkeiten für die Informationssicherheit zugewiesen und kommuniziert sind. Dem ISG unterstellte Organisationen brauchen bis Ende 2026 ein funktionierendes ISMS, und ein ISMS ohne benannte Verantwortung gibt es nicht. Und Kunden verlangen im Vertrag einen Ansprechpartner mit Namen, was in der Praxis am schnellsten wirkt.
Kann unser Datenschutzberater die Rolle gleich mit übernehmen?
Möglich, aber es sind zwei Mandate. Ein Datenschutzberater nach nDSG ist in der Schweiz freiwillig und schaut auf die Bearbeitung von Personendaten. Die Informationssicherheit umfasst auch Produktionsdaten und Kalkulationen sowie die Verfügbarkeit der Systeme, an denen keine Personendaten hängen. Die Überschneidung bei Inventar und technischen Massnahmen ist gross, der Blickwinkel nicht. Wer beides in einer Person bündelt, sollte die Zeit für beides rechnen und die Berichtswege trennen.
Was passiert, wenn die benannte Person kündigt?
Das zeigt, wie viel von der Rolle im Betrieb verankert war und wie viel in einem Kopf. Prüfbar ist das vorher: Wenn Risikoregister, Entscheide und offene Massnahmen dokumentiert sind und eine Stellvertretung den Stand kennt, kostet der Wechsel Wochen. Wenn alles in Mailverläufen und Erinnerungen steckt, fängt das Thema von vorn an, und der nächste Kundenfragebogen trifft eine Firma ohne Ansprechpartner.