Am 31. Dezember 2026 läuft eine Frist ab, die viele Geschäftsleitungen erst über einen Kundenfragebogen kennenlernen. Das Informationssicherheitsgesetz verlangt bis dahin von allen unterstellten Organisationen ein funktionierendes ISMS, also ein Managementsystem, das im Betrieb läuft, keinen Ordner mit Richtlinien. Die ISG ISMS-Pflicht wirft darum vier Monate vor dem Stichtag zwei Fragen auf, die in Schweizer KMU gerade häufig auf dem Tisch der GL landen: Sind wir überhaupt betroffen? Und wenn ja, reicht die Zeit noch?
Beide Fragen lassen sich nüchtern beantworten. Die Antwort auf die erste überrascht die meisten, die Antwort auf die zweite ist unbequemer, als Anbieter von Compliance-Paketen sie gerne erzählen.
Die ISMS-Pflicht des ISG gilt bis 31.12.2026 nur für direkt unterstellte Organisationen, vor allem Betreiber kritischer Infrastrukturen. Die meisten KMU erreicht sie trotzdem, nur auf einem anderen Weg: über Verträge und Lieferantenaudits ihrer Kunden. Wer jetzt fokussiert startet, baut bis Ende Jahr ein glaubwürdiges Fundament. Wer in Fristpanik Tools kauft oder Papier produziert, gibt Geld aus, ohne sicherer zu werden.
Wer ist von der ISG ISMS-Pflicht betroffen?
Direkt betroffen sind Bundesbehörden, Organisationen mit Bundesaufgaben und Betreiber kritischer Infrastrukturen in neun Sektoren, darunter Energie, Trinkwasser, Transport sowie kantonale und kommunale Verwaltungen. Ein typisches Schweizer KMU mit 50 bis 500 Mitarbeitenden ist dem ISG in der Regel nicht direkt unterstellt. Indirekt betroffen ist es trotzdem, sobald es solche Organisationen beliefert.
Das ISG ist in Etappen scharf geworden. Seit dem 1. April 2025 gilt die Meldepflicht für Cyberangriffe beim Bundesamt für Cybersicherheit: Betreiber kritischer Infrastrukturen melden Angriffe innert 24 Stunden nach Entdeckung. Seit dem 1. Oktober 2025 sind Bussen bis CHF 100'000 möglich, wenn eine Verfügung des BACS missachtet wird. Und bis zum 31. Dezember 2026 müssen unterstellte Organisationen ihr ISMS aufgebaut haben.
Der Gesetzgeber hat dabei nicht das ISMS erfunden und dann eine Frist gesetzt. Er hat festgestellt, dass kritische Infrastrukturen ohne systematisches Sicherheitsmanagement ein Risiko für das Land sind, und zieht jetzt nach, was gut geführte Organisationen ohnehin tun. Die Frist ist das Ende einer Übergangszeit, nicht der Anfang einer Idee.
Die Frist gehört dem Regulator. Das Risiko liegt im Verkauf.
Für ein KMU, das dem ISG nicht unterstellt ist, ist die Busse des BACS irrelevant. Relevant ist etwas anderes. Kritische Infrastrukturen dürfen ihre Pflichten nicht an der eigenen Firmengrenze enden lassen, also reichen sie die Anforderungen vertraglich an ihre Zulieferer weiter. Die Frist deines Kunden wird damit zu deiner Frist, nur ohne Gesetzestext und ohne Übergangsregelung.
So sieht das in der Praxis aus: Ein Zulieferer mit rund 120 Mitarbeitenden, seit Jahren Lieferant eines Energieversorgers, erhält im Rahmen der Vertragsverlängerung einen Sicherheitsfragebogen. Eine der Fragen will sinngemäss wissen, ob ein ISMS betrieben wird und wie es nachgewiesen werden kann. Die IT beantwortet den Fragebogen nach bestem Wissen, der Einkauf des Kunden stuft die Antworten als ungenügend ein, und plötzlich hängt ein langjähriger Vertrag an einem Thema, das intern nie Priorität hatte. Kein Auditor hat angerufen, kein Amt hat verfügt. Es war der Verkauf, der das Problem zuerst gespürt hat.
In unserer Erfahrung ist das der Normalfall, nicht die Ausnahme. Regulierung erreicht KMU selten direkt. Sie erreicht sie über die Beschaffungsabteilungen ihrer Kunden, und die kennen keine Übergangsfristen, sondern nur Vergabekriterien. Wer dort durchfällt, bekommt keine Verfügung, sondern einfach den Zuschlag nicht. Wer bei zwei oder drei grossen Kunden im Lieferantenportfolio steht, sollte die ISG-Frist deshalb ernst nehmen, auch wenn das eigene Unternehmen im Gesetz nirgends vorkommt.
Für den Verwaltungsrat kommt eine zweite Ebene dazu. Ob das ISG direkt gilt oder nicht: Die Pflicht zur sorgfältigen Oberleitung gilt immer, und ein VR, der weiss, dass sein wichtigster Kunde ein ISMS erwartet, kann das Thema schlecht als IT-Detail abtun. Die unbequeme Frage im Gremium lautet nicht, ob das Gesetz greift, sondern ob man dokumentieren kann, das Risiko bewusst beurteilt zu haben.
Was verlangt das ISG konkret von einem ISMS?
Ein funktionierendes ISMS, nicht ein Zertifikat. Das Gesetz verlangt, dass eine Organisation ihre Informationssicherheit systematisch führt: Risiken kennen und bewerten, Verantwortung regeln, Massnahmen umsetzen und deren Wirksamkeit überprüfen. In der Praxis orientieren sich die meisten Organisationen dabei an ISO 27001, weil der Standard genau diese Führungslogik beschreibt und von Kunden wie Auditoren verstanden wird.
Der Unterschied zwischen einem ISMS und einem Ordner voller Richtlinien liegt nicht im Umfang, sondern in der Frage, die es beantwortet. Ein Richtlinienordner beantwortet die Frage, was alles geregelt ist. Ein ISMS beantwortet die Frage, welche Risiken das Unternehmen trägt, welche es behandelt und wer das entschieden hat. Das erste kann eine Beratung liefern. Das zweite kann nur die Organisation selbst leisten, weil die Entscheidungen ihr gehören: Welche Systeme sind kritisch fürs Geschäft? Welcher Ausfall wäre verkraftbar, welcher nicht? Wie viel Restrisiko akzeptiert die GL, und weiss sie das? Diese Fragen kann kein Dienstleister für dich beantworten. Er kann sie stellen, die Antworten einordnen und in ein System giessen, das im Alltag trägt, aber die Entscheidungen bleiben im Haus.
Deshalb scheitert der Abkürzungsversuch so zuverlässig. Wer sich ein ISMS als Dokumentenpaket kauft, hat danach Dokumente, aber keine Antworten. Spätestens im Kundenaudit, wenn jemand fragt, wann das Risikoregister zuletzt mit der Geschäftsleitung besprochen wurde, trennt sich Papier von Betrieb. Wie sich das ISG mit nDSG und Kundenanforderungen zu einem einzigen System zusammenführen lässt, statt drei parallele Papierwelten zu pflegen, haben wir im Artikel über IT-Compliance in der Schweiz beschrieben.
Reichen vier Monate noch für ein ISMS?
Für ein gelebtes ISMS ab null wird es eng, für ein glaubwürdiges Fundament reicht die Zeit. Ein fokussierter Aufbau mit klarem Scope, Asset- und Risikoregister, geregelten Verantwortlichkeiten und den ersten umgesetzten Massnahmen ist als 90-Tage-Programm machbar. Was bis Ende Jahr nicht entsteht: die Reife, die ein System erst nach mehreren Durchläufen von Risikobewertung, Massnahmen und Überprüfung hat. Die entsteht 2027, wenn 2026 der Start gelingt. Ein System, das im Herbst startet und im Dezember die ersten Massnahmen umgesetzt hat, ist Ende Jahr weiter als eines, das im November als fertiges Dokumentenpaket angeliefert wird.
Das ist keine schlechte Nachricht, wenn man versteht, wie Prüfende und Kunden auf Fristen schauen. In unserer Erfahrung unterscheiden Beschaffungsabteilungen und Auditoren recht zuverlässig zwischen drei Zuständen: nichts, Papier ohne Betrieb, und ein System im Aufbau mit sichtbarem Kurs. Der dritte Zustand öffnet Türen, die der zweite nicht öffnet, obwohl er nach mehr aussieht. Ein Risikoregister mit zehn ehrlich bewerteten Risiken und einer GL, die dazu Auskunft geben kann, überzeugt mehr als achtzig Seiten Richtlinien, zu denen niemand Auskunft geben kann.
Die Entscheidung, die in den nächsten Wochen ansteht, ist deshalb eine Führungsentscheidung: Wer trägt das Thema? Mit welchem Mandat, mit welchem Budget, mit welcher Berichtslinie an GL und VR? Was der Aufbau realistisch an Aufwand und Geld kostet, haben wir für ISO 27001 im KMU durchgerechnet. Die Zahlen gelten sinngemäss auch für ein ISMS nach ISG, denn die Führungsarbeit ist dieselbe.
Das teuerste ISMS ist das, das niemand lebt
Fristen sind Hochsaison für Verkäufer. Vier Monate vor dem Stichtag tauchen Compliance-Pakete, ISMS-Tools und Komplettangebote auf, die Sicherheit als Kaufentscheidung erzählen: Lizenz erwerben, Frist erfüllt. Mal ehrlich, wenn ein Managementsystem käuflich wäre, hätte der Gesetzgeber keine mehrjährige Übergangsfrist gebraucht.
Die Denkrichtung, die sich bewährt, ist die umgekehrte. Erst klären, was geschützt werden muss und was schon da ist, dann entscheiden, was fehlt. Die meisten KMU, die wir sehen, haben kein Lückenproblem, sondern ein Dimensionierungsproblem: zu viele Tools, zu wenig Überblick, zu hohe Kosten für zu wenig echten Schutz. Ein ISMS-Aufbau ist der beste Moment, das zu korrigieren, weil ohnehin jedes System, jeder Vertrag und jede Zuständigkeit auf den Tisch kommt. Wer dabei konsequent ist, kommt mit mehr Schutz und weniger Werkzeugen heraus, nicht selten auch mit tieferen Laufkosten. Die Frist wird dann vom Kostentreiber zum Anlass, aufzuräumen.
Dass am Anfang eine ehrliche Bestandsaufnahme steht und nicht ein Produktkatalog, ist auch der Grund, warum wir jedes Mandat mit einer Standortbestimmung beginnen. Wie dieser Einstieg abläuft, steht im Ablauf auf der Startseite.
Häufige Fragen
Gilt die 24-Stunden-Meldepflicht auch für nicht unterstellte KMU?
Nein. Die Meldepflicht nach ISG gilt für Betreiber kritischer Infrastrukturen. Ein nicht unterstelltes KMU meldet dem BACS freiwillig, was durchaus sinnvoll sein kann. Vertraglich kann aber eine eigene Meldefrist bestehen: Viele Kunden verlangen von Lieferanten, dass sicherheitsrelevante Vorfälle innert definierter Fristen gemeldet werden. Der Vertrag ersetzt hier das Gesetz.
Brauchen wir ein ISO-27001-Zertifikat, um die ISG-Anforderung zu erfüllen?
Nein. Das ISG verlangt ein funktionierendes ISMS, kein Zertifikat. ISO 27001 ist der verbreitetste Rahmen dafür und macht den Nachweis gegenüber Kunden einfacher. Ob sich die Zertifizierung lohnt, ist eine eigene Entscheidung, die vor allem davon abhängt, wie oft du den Nachweis extern erbringen musst und wie viel Aufwand die Fragebogen-Beantwortung heute frisst.
Was passiert, wenn die Frist Ende 2026 verpasst wird?
Für unterstellte Organisationen drohen aufsichtsrechtliche Konsequenzen, Bussen setzen eine missachtete Verfügung des BACS voraus. Für alle anderen ist das Risiko kommerziell: Kundenaudits, die schlecht ausgehen, und Ausschreibungen, bei denen der Nachweis fehlt. Diese Konsequenzen kennen keinen Stichtag, sie kommen mit dem nächsten Fragebogen.
Ob dich das ISG direkt verpflichtet oder nur der Fragebogen deines grössten Kunden: Die Arbeit dahinter ist dieselbe, und sie beginnt mit einer nüchternen Standortbestimmung statt mit einem Tool-Kauf.