Ein Grosskunde legt im Ausschreibungsverfahren nach: ohne ISO-27001-Zertifikat kein neuer Rahmenvertrag. Oder das Unternehmen fällt neu unter das Schweizer Informationssicherheitsgesetz und braucht bis Ende 2026 ein funktionierendes ISMS. In beiden Fällen landet dieselbe Frage auf dem Tisch der Geschäftsleitung: Was bedeutet ISO 27001 für uns an Aufwand, Dauer und Kosten, und wer macht am Ende die Arbeit?
Für ein Schweizer KMU mit 50 bis 500 Mitarbeitenden ist diese Sorge berechtigt. ISO 27001 klingt nach Konzern, nach Aktenordnern und nach einem Projekt, das ein kleines IT-Team neben dem Tagesgeschäft nie stemmt. Die ehrliche Antwort ist unbequemer und zugleich beruhigender als erwartet: Der Weg ist machbar, aber er verläuft anders, als die meisten glauben. Er beginnt nicht beim Einkauf neuer Software, sondern beim Aufräumen dessen, was schon da ist.
ISO 27001 im KMU ist keine Software-Anschaffung, sondern Organisationsarbeit. Der grösste Aufwand steckt in Prozessen, Verantwortlichkeiten und Nachweisen, nicht in neuen Tools. In unserer Erfahrung vergeht vom Start bis zum Zertifikat gut ein Jahr, wobei sich der eigentliche Aufbau des ISMS in ein 90-Tage-Programm bündeln lässt. Die Kosten verteilen sich auf interne Zeit, externe Unterstützung und das Audit einer akkreditierten Stelle. Wer zuerst aufräumt statt zukauft, kommt günstiger und glaubwürdiger ans Ziel.
Die meisten KMU glauben, ISO 27001 heisse: viele neue Werkzeuge kaufen. Das Gegenteil stimmt. Ein Zertifikat bestätigt gelebte Ordnung, nicht die Länge der Lizenzliste. Mehr Schutz. Weniger Tools. Weniger Kosten. Der teuerste Weg zur Norm ist der, bei dem ein Unternehmen fehlende Struktur durch zusätzliche Software zu ersetzen versucht.
Was verlangt ISO 27001 von einem KMU?
ISO 27001 verlangt kein bestimmtes Produkt und keine bestimmte Technik. Die Norm fordert ein Informationssicherheits-Managementsystem, kurz ISMS, also einen nachvollziehbaren Kreislauf aus Zielen, Verantwortlichkeiten, Risikobewertung, Massnahmen und regelmässiger Überprüfung. Zertifiziert wird nicht eure Firewall, sondern die Art, wie ihr Sicherheit steuert.
Konkret verlangt sie einen sauber definierten Geltungsbereich, ein Verständnis der schützenswerten Werte, eine Risikobewertung und dazu passende Massnahmen aus ihrem Katalog, jeweils mit einer Begründung, warum eine Massnahme greift oder bewusst nicht. Anschliessend prüft ihr regelmässig, ob das Ganze wirkt, und bessert nach. Die aktuelle Fassung ISO/IEC 27001:2022 hat diesen Katalog modernisiert und unter anderem Themen wie Cloud-Sicherheit ergänzt. Das Zertifikat selbst stellt am Ende eine unabhängige, akkreditierte Zertifizierungsstelle aus, nicht ihr selbst und nicht der Berater, der euch begleitet hat.
Der entscheidende Punkt für ein KMU: Ein ISMS ist gelebte Praxis, kein Ordner im Regal. Ein Auditor merkt in wenigen Gesprächen, ob eine Richtlinie den Alltag steuert oder nur für die Prüfung geschrieben wurde. Genau deshalb bringt es wenig, das Thema als reines Dokumentationsprojekt zu behandeln.
Was kostet ISO 27001 im KMU wirklich?
Die Kosten verteilen sich auf drei Töpfe, und der grösste ist selten Software. Erstens interne Zeit, weil eure Leute Prozesse beschreiben, Risiken bewerten und Massnahmen umsetzen. Zweitens externe Unterstützung beim Aufbau, falls die Methode oder die Kapazität im Haus fehlt. Drittens das eigentliche Zertifizierungsaudit durch eine akkreditierte Stelle, das separat anfällt und mit Grösse und Geltungsbereich skaliert.
Der teuerste und am meisten unterschätzte Posten ist fast immer die interne Zeit. Ein neues Tool ist schnell bestellt, aber ein Risikoregister, das stimmt, und Prozesse, die gelebt werden, entstehen nur durch Arbeit von Menschen, die das Unternehmen kennen. Wer diesen Aufwand ignoriert und stattdessen Software kauft, zahlt doppelt: einmal für Lizenzen, die kein ISMS ersetzen, und danach trotzdem für die Ordnung, die weiterhin fehlt.
Bei uns startet der Weg selten mit einem grossen Programm, sondern mit einer Standortbestimmung zum Festpreis. Unser Cyber Assessment prüft in zwei Wochen den Ist-Stand gegen ISO 27001 und liefert eine klare Liste, was für ein Zertifikat noch fehlt. Erst danach folgt der eigentliche ISMS-Aufbau als 90-Tage-Programm, dessen Festpreis nach diesem Scoping feststeht. So zahlt niemand für Umfang, den er nicht braucht, und die Zahl steht fest, bevor die Arbeit beginnt.
Wie lange dauert der Weg zum Zertifikat?
In unserer Erfahrung vergeht vom Start bis zum Zertifikat bei einem KMU gut ein Jahr, selten weniger. Der eigentliche Aufbau des ISMS lässt sich in rund 90 Tagen bündeln. Danach braucht es aber Zeit, bis die Prozesse im Alltag gelebt werden und genügend Nachweise entstanden sind, denn ein Auditor will Wirksamkeit über einen Zeitraum sehen, nicht nur frisch geschriebene Richtlinien.
Der übliche Ablauf sieht so aus: Auf den Aufbau folgen ein internes Audit und eine Managementbewertung. Erst dann kommt die akkreditierte Stelle, zunächst mit einer Dokumentenprüfung und anschliessend mit einem zweiten Audit, das die gelebte Wirksamkeit im Betrieb prüft. Besteht ihr, ist das Zertifikat in der Regel drei Jahre gültig, mit jährlichen Überwachungsaudits dazwischen. ISO 27001 ist also kein einmaliges Projekt mit Enddatum, sondern ein Betriebsmodus, der weiterläuft.
Die Dauer verkürzt sich weniger durch Tempo im Projekt als durch einen sauberen Ausgangspunkt. Ein Unternehmen, das seine Landschaft schon aufgeräumt hat und weiss, welche Werkzeuge welchen Zweck erfüllen, kommt spürbar schneller durch. Genau deshalb lohnt es sich, vor dem ISMS-Aufbau erst einmal die Security-Tools zu konsolidieren. Eine chaotische Werkzeugsammlung macht die Norm nicht leichter, sondern teurer.
Wo der Aufwand wirklich steckt
Der Aufwand von ISO 27001 steckt nicht in der Technik, sondern in der Ordnung. Die Bausteine, die Zeit kosten, sind fast überall dieselben: den Geltungsbereich sauber ziehen, ein belastbares Asset- und Risikoregister aufbauen, wenige Richtlinien schreiben, die tatsächlich angewendet werden, Zuständigkeiten klären und die Mitarbeitenden mitnehmen. Nichts davon kauft man als Lizenz.
Diese Arbeit ist unspektakulär, aber sie ist der Kern. Ein Risikoregister, das die reale Lage abbildet, ist wertvoller als jedes Dashboard. Eine Handvoll klarer Richtlinien, die im Alltag greifen, ist mehr wert als ein hundertseitiges Handbuch, das niemand liest. Und ein Team, das versteht, warum es Dinge tut, trägt ein ISMS durch die Jahre. Wer das ernst nimmt, merkt schnell: Die Norm zwingt zu genau der Aufräumarbeit, die ohnehin überfällig war.
So sieht ISO 27001 in einem Schweizer KMU aus
Ein Maschinenbau-Zulieferer aus der Zentralschweiz mit rund 180 Mitarbeitenden kam mit einem klaren Auslöser zu uns. Ein Grosskunde aus der Autozulieferkette hatte im Rahmenvertrag ein ISO-27001-Zertifikat als Bedingung gesetzt, mit einer Frist von etwas mehr als einem Jahr. Die IT bestand aus drei Personen, ein ISMS existierte nicht, dafür eine über Jahre gewachsene Sammlung an Sicherheitswerkzeugen.
Wir starteten nicht mit dem Normtext, sondern mit einer Standortbestimmung. Sie zeigte zweierlei: Erstens deckte die vorhandene Technik den grössten Teil der geforderten Massnahmen bereits ab, sie war nur nicht dokumentiert und teilweise nicht eingeschaltet. Zweitens fehlte die Struktur komplett, also Geltungsbereich, Risikoregister, Zuständigkeiten und Nachweise. Die vorhandene Sicherheit war im Kern brauchbar, es fehlte die Ordnung darüber.
Im ISMS-Aufbau legten wir den Geltungsbereich auf die Kundenprozesse fest, für die das Zertifikat gebraucht wurde, statt das ganze Unternehmen zu erfassen. Das reduzierte den Aufwand erheblich. Ein Teil der teuer zugekauften Werkzeuge fiel weg, weil vorhandene Funktionen dieselbe Aufgabe erfüllten. Nach dem Aufbau, einem internen Audit und den beiden Zertifizierungsaudits hielt das Unternehmen sein Zertifikat rechtzeitig vor Ablauf der Kundenfrist in den Händen. Der Nebeneffekt zählte für die Geschäftsleitung fast ebenso viel: Zum ersten Mal gab es ein klares Bild davon, was geschützt ist und wer im Ernstfall entscheidet.
ISG-Pflicht oder ISO 27001: was ist Pflicht, was Kür?
Kurz gesagt: Das ISG kann ein ISMS gesetzlich verlangen, ISO 27001 ist dagegen fast immer freiwillig und vom Markt getrieben. Beides zielt aber auf dasselbe, nämlich auf ein funktionierendes Managementsystem für Informationssicherheit. Wer eines gut aufbaut, bedient in der Regel auch das andere.
Dem Schweizer Informationssicherheitsgesetz unterstellte Organisationen, in erster Linie Betreiber kritischer Infrastrukturen und über Verträge auch deren Zulieferer, brauchen bis Ende 2026 ein funktionierendes ISMS. Zusätzlich gilt seit dem 1. April 2025 eine Meldepflicht für Cyberangriffe innert 24 Stunden an das Bundesamt für Cybersicherheit, wie die offizielle Information zur Meldepflicht des BACS festhält. ISO 27001 ist demgegenüber keine gesetzliche Pflicht, sondern ein Nachweis, den Kunden, Ausschreibungen und Lieferketten zunehmend verlangen. Der praktische Rat bleibt in beiden Fällen derselbe: Ob ISG, ISO 27001 oder ein Kundenaudit der Auslöser ist, der erste sinnvolle Schritt ist immer eine ehrliche Standortbestimmung, bevor irgendetwas gekauft oder gebaut wird.
Häufige Fragen
Brauchen wir wirklich ein Zertifikat oder reicht ein gelebtes ISMS?
Das hängt am Auslöser. Wenn ein Kunde, eine Ausschreibung oder eine gesetzliche Vorgabe ausdrücklich das Zertifikat verlangt, führt am Audit einer akkreditierten Stelle kein Weg vorbei. Geht es dagegen nur um bessere Sicherheit und um Nachweisbarkeit gegenüber dem eigenen Verwaltungsrat, deckt ein sauber gelebtes ISMS den eigentlichen Bedarf oft schon ab. Das Zertifikat ist der externe Beweis, nicht der Schutz selbst.
Können wir die Zertifizierung selbst durchführen?
Das Zertifikat muss zwingend von einer unabhängigen, akkreditierten Stelle kommen, denn niemand prüft sich selbst. Den Aufbau des ISMS könnt ihr grundsätzlich intern stemmen, wenn Methode und Zeit vorhanden sind. Vielen KMU fehlt genau das, weshalb sie den Aufbau begleiten lassen und die Zertifizierung danach an eine getrennte Stelle geben. Wer aufbaut, darf nie derselbe sein, der zertifiziert.
Was passiert, nachdem wir das Zertifikat haben?
Es bleibt in Bewegung. In der Regel gilt das Zertifikat drei Jahre, mit jährlichen Überwachungsaudits und einer Rezertifizierung am Ende des Zyklus. Ein Zertifikat auf Papier, hinter dem keine gelebten Prozesse stehen, fällt spätestens beim ersten Überwachungsaudit auf. Genau deshalb lohnt sich der Aufwand nur, wenn das ISMS Teil des Betriebs wird und nicht ein Projekt bleibt, das nach der Prüfung wieder einschläft.