Der Ordner heisst "Compliance", und er wächst. Ein Datenschutzkonzept von 2023, der Bericht der letzten IT-Compliance-Beratung, zwei Offerten für die nächste, ein halb ausgefüllter Fragebogen des grössten Kunden. Was nicht wächst, ist die Umsetzung. Dieser Zustand ist in Schweizer KMU verbreitet, und er hat eine Ursache: IT-Compliance wird als Beratungsprojekt eingekauft statt als Betrieb organisiert.
Das ist kein Vorwurf an die Firmen, die es so machen. Der Markt ist so gebaut. Wer nach IT-Compliance-Beratung in der Schweiz sucht, findet vor allem Analysen, Gutachten und Empfehlungen, und alles davon endet mit einem Dokument. Nur fragt das Audit nach gelebter Praxis: Wer entscheidet, wer setzt um, wo ist der Nachweis. Ein Dokument beantwortet keine dieser Fragen.
IT-Compliance heisst für Schweizer KMU: nDSG für praktisch alle, ISG für kritische Infrastrukturen und ihre Zulieferer, NIS2 und DORA über Verträge mit EU-Kunden, dazu Kundenaudits als strengster Prüfer. Ein weiterer Beratungsbericht löst davon nichts. Was trägt: ein System mit einem Verantwortlichen, einem Risikoregister und einem Satz Nachweise, der alle Anforderungen gleichzeitig bedient.
Welche Compliance-Vorgaben gelten für Schweizer KMU überhaupt?
Vier rechtliche Ebenen, plus eine fünfte, die in keinem Gesetz steht. Das revidierte Datenschutzgesetz (nDSG) gilt für jedes Unternehmen, das Personendaten bearbeitet, also für praktisch alle. Das Informationssicherheitsgesetz (ISG) verpflichtet Betreiber kritischer Infrastrukturen, und über deren Verträge auch Zulieferer. EU-Regeln wie NIS2 und DORA erreichen Schweizer KMU über die Lieferkette. Dazu kommt Branchenaufsicht, etwa die FINMA-Rundschreiben für Beaufsichtigte und ihre Dienstleister.
Beim ISG lohnt sich ein Blick auf den Kalender. Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innert 24 Stunden melden, die Meldepflicht beim Bundesamt für Cybersicherheit (BACS) beschreibt die Details. Seit dem 1. Oktober 2025 sind Bussen bis CHF 100'000 möglich, wenn eine Verfügung des BACS missachtet wird. Und bis Ende 2026 brauchen dem ISG unterstellte Organisationen ein funktionierendes ISMS. Wer Zulieferer einer kritischen Infrastruktur ist, bekommt diese Pflichten gerade vertraglich weitergereicht, oft ohne dass im KMU jemand damit gerechnet hat.
Das nDSG wiederum betrifft nicht nur Firmen mit Kundendatenbanken. Wer Mitarbeitende beschäftigt, bearbeitet Personendaten, und damit greifen die Grundpflichten: wissen, welche Daten wo liegen, sie angemessen schützen, Auskunftsbegehren beantworten können und Datenschutzverletzungen im Griff haben. Nichts davon ist exotisch. Aber alles davon setzt voraus, dass jemand die eigene Datenlandschaft kennt, und genau da hapert es in der Praxis am häufigsten.
Die fünfte Ebene steht in keinem Gesetz und ist trotzdem oft die wirksamste: dein Kunde. Kundenfragebögen und Lieferantenaudits entscheiden heute mit, ob ein Auftrag kommt. Ein Gesetz gibt dir Übergangsfristen und Ermessensspielraum. Ein Kunde gibt dir zwei Wochen für den Fragebogen, und dein Wettbewerber hat schon geantwortet.
Warum ein weiterer Beratungsbericht nichts ändert
Weil IT-Compliance im KMU selten ein Wissensproblem ist. Die Anforderungen des nDSG stehen im Gesetz, die Controls von ISO 27001 kann jeder nachlesen, und der Kundenfragebogen sagt dir wortwörtlich, was der Kunde sehen will. Was fehlt, ist fast immer dasselbe: eine Person, die verantwortlich ist, und ein Betrieb, der die Anforderungen trägt.
Klassische Compliance-Beratung endet dort, wo die eigentliche Arbeit anfängt. Der Bericht beschreibt die Lücken, empfiehlt Massnahmen und wird abgelegt. Die IT hat keine Zeit, die Geschäftsleitung keine Übersetzung, und in sechs Monaten ist der Bericht veraltet. Beim nächsten Audit beginnt das Spiel von vorn, mit einer neuen Beratung und einem dickeren Ordner.
"Betrieb" klingt unspektakulär, ist aber der Punkt, an dem sich Compliance entscheidet. Gemeint ist Alltagsroutine: Risiken werden in einem festen Rhythmus angeschaut statt einmal im Beratungsprojekt. Zugriffe werden entzogen, wenn jemand austritt, nicht wenn das Audit ansteht. Nachweise entstehen nebenbei, weil die Abläufe sie produzieren, statt dass sie vor dem Audit rekonstruiert werden. Ein Bericht kann beschreiben, wie das aussehen soll. Herstellen kann er es nicht.
Die meisten KMU haben kein Compliance-Wissensproblem, sondern ein Dimensionierungsproblem: zu viele Berichte, Tools und parallele Anläufe, zu wenig Verantwortung und Betrieb. Der Weg durchs Audit führt nicht über mehr davon, sondern über weniger, mit einem Owner und einem System dahinter. Mehr Schutz, weniger Tools, weniger Kosten.
Externes Wissen hat dabei seinen Platz. Es verpufft nur, wenn niemand die Umsetzung verantwortet. Frag jeden Anbieter deshalb nicht nur "Was empfehlt ihr?", sondern auch "Wer setzt es um, und wer steht nächstes Jahr neben uns im Audit?"
Was kostet IT-Compliance im KMU?
Drei Kostenblöcke: der einmalige Aufbau (Standortbestimmung, Richtlinien, Risikoregister), der laufende Betrieb (Pflege, Nachweise, Audits) und die versteckten Kosten der Mehrfacharbeit. In unserer Erfahrung ist der dritte Block der teuerste, weil er in keinem Budget auftaucht: pro Regulierung ein eigenes Projekt, pro Kundenfragebogen ein Feuerwehreinsatz, pro Auditor eine neue Dokumentenrunde.
Diese Mehrfacharbeit entsteht, weil ohne System jede Anforderung bei null beginnt. Dabei überlappen sich die Anforderungen weitgehend. Das nDSG verlangt angemessene technische und organisatorische Massnahmen, das ISG ein ISMS, der Kundenfragebogen fragt beides ab. Alle drei zeigen auf dieselben Grundfragen: Welche Daten und Systeme habt ihr, welche Risiken bestehen, wer ist verantwortlich, was tut ihr dagegen, und wie weist ihr es nach.
Ein KMU, das diese Grundfragen einmal sauber beantwortet und aktuell hält, bedient damit alle Regulierungen gleichzeitig. Was der Aufbau eines solchen Systems realistisch an Aufwand und Geld bedeutet, haben wir im Beitrag zu ISO 27001 im KMU: Aufwand, Dauer und Kosten aufgeschlüsselt. Die teuerste Variante ist erfahrungsgemäss die verbreitetste: fünf halbe Anläufe parallel, jeder mit eigenem Berater, eigenem Tool und eigenem Ordner.
Für die Geschäftsleitung heisst das umgekehrt: IT-Compliance wird budgetierbar, sobald sie als Betrieb organisiert ist. Ein definierter Aufbau, ein planbarer monatlicher Aufwand, fertig. Was nicht budgetierbar ist, sind die verlorene Ausschreibung wegen eines unbeantworteten Fragebogens und die vierte Beratung, die noch einmal bei null anfängt. Wer Compliance-Kosten senken will, kauft deshalb nicht billigere Berichte ein, sondern beendet die Mehrfacharbeit.
Ein System statt fünf Projekte: wie das in der Praxis aussieht
Ein anonymisiertes Beispiel: ein Industriezulieferer, rund 120 Mitarbeitende, drei Compliance-Beratungen in vier Jahren, drei Berichte im Ordner. Dann schrieb der grösste Kunde ein Informationssicherheits-Audit in den Rahmenvertrag. Im Audit zählte keiner der Berichte. Gefragt war anderes: Wer ist bei euch für Informationssicherheit verantwortlich? Zeigt uns euer Risikoregister. Wann habt ihr die Wiederherstellung eurer Backups zuletzt getestet?
Was sich danach änderte, war weniger Arbeit, als der Ordner vermuten liess. Ein Verantwortlicher wurde benannt, mit Zeitbudget statt nur Titel. Die bestehende Dokumentation wurde halbiert: Was niemand liest und niemand lebt, flog raus. Aus den drei Berichten wurde ein Risikoregister mit den zehn wichtigsten Themen, priorisiert nach Geschäftsrisiko, nicht nach Framework-Kapitel. Und für jede Massnahme gab es einen Termin und einen Nachweis. Das Audit im Jahr darauf war unspektakulär. Genau so sollen Audits sein.
Der Nebeneffekt war der interessantere: Der nächste Kundenfragebogen war in zwei Tagen beantwortet statt in drei Wochen, mit Verweisen auf dieselben Register und Nachweise. Aus der Pflichtübung wurde ein Verkaufsargument, weil das Unternehmen im nächsten Angebot belegen konnte, wie es mit Kundendaten umgeht. Diesen Effekt unterschätzen viele Geschäftsleitungen: Bei vielen Ausschreibungen entscheidet die Sicherheitsorganisation mit, ob der Auftrag kommt.
Das Prinzip dahinter ist dasselbe wie beim Konsolidieren der Security-Tools: aufräumen statt stapeln. Ein Rückgrat, meist an ISO 27001 orientiert, auch ohne Zertifikat, auf das nDSG, ISG und Kundenanforderungen gemappt werden. Neue Anforderungen sind dann keine neuen Projekte mehr, sondern Deltas: Was verlangt der neue Kunde zusätzlich zu dem, was schon steht und gelebt wird? Meist erstaunlich wenig.
Wann lohnt sich externe Unterstützung, und in welcher Form?
Dann, wenn die Verantwortung geklärt ist, aber Kapazität und Routine fehlen. Ein IT-Leiter mit vollem Tagesgeschäft baut kein Compliance-System nebenbei auf, und für eine Vollzeitstelle ist das Thema in einem KMU zu klein. Die passende Form hängt vom Startpunkt ab: eine Standortbestimmung, wenn unklar ist, wo ihr steht; Sparring, wenn eine IT- oder Sicherheitsleitung da ist und eine Zweitmeinung braucht; ein Mandat mit Umsetzungsverantwortung, wenn das System aufgebaut und betrieben werden muss.
Eines ist in allen drei Formen gleich: Die Verantwortung endet nicht beim Bericht. Wie ein solcher Einstieg konkret abläuft, von der Bestandsaufnahme bis zum Vollbetrieb, zeigt der Ablauf eines Mandats auf der Startseite. Und eine ehrliche Antwort gehört dazu: Manchmal ist die richtige Empfehlung, noch nichts einzukaufen und zuerst intern die Verantwortungsfrage zu klären. Ohne die trägt auch das beste System nicht.
Häufige Fragen
Gilt NIS2 auch für Schweizer KMU?
Nicht direkt. NIS2 ist eine EU-Richtlinie und gilt in der Schweiz nicht als Gesetz. Sie erreicht Schweizer KMU trotzdem: EU-Kunden, die selbst unter NIS2 fallen, müssen ihre Lieferkette absichern und reichen die Anforderungen vertraglich weiter. Wer für EU-Unternehmen arbeitet, sollte seine Rahmenverträge auf solche Klauseln prüfen, bevor die erste Auditanfrage kommt.
Brauchen wir für IT-Compliance ein ISO-27001-Zertifikat?
Nein. Kein Schweizer Gesetz verlangt ein Zertifikat. Das nDSG verlangt angemessene Massnahmen, das ISG ein funktionierendes ISMS, und beides lässt sich auch ohne Zertifizierung nachweisen. Das Zertifikat lohnt sich, wenn mehrere Kunden es explizit verlangen oder es im Verkauf den Unterschied macht. Die Struktur von ISO 27001 als Rückgrat zu nutzen, lohnt sich dagegen fast immer, auch ohne Audit durch eine Zertifizierungsstelle.
Können wir IT-Compliance komplett auslagern?
Die Arbeit ja, die Verantwortung nein. Aufbau, Betrieb und Auditbegleitung kann ein externer Partner übernehmen. Die rechtliche Verantwortung bleibt bei Geschäftsleitung und Verwaltungsrat. Seriöse Anbieter sagen das offen und bauen deshalb interne Verantwortlichkeit mit auf, statt eine Blackbox zu liefern, die ohne sie nicht funktioniert.