ISO 27001

Ohne Zertifizierungsdruck · Mit Regulierungswirkung · Sofort umsetzbar

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: ISO 27001 ohne Zertifizierungsdruck – warum das trotzdem wirkt

ISO 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme. Eine vollständige Zertifizierung kostet Schweizer KMU typischerweise 30'000–80'000 CHF und 6–18 Monate. Das ist für viele KMU zu teuer – und oft auch nicht notwendig.

Trotzdem ist ISO 27001 relevant: NIS2, DORA und AI Act verweisen explizit auf ISO 27001 als Referenzrahmen. EU-Kunden akzeptieren ISO-orientierte Sicherheitsnachweise oft ohne formale Zertifizierung. Und die Struktur des Standards ist das beste verfügbare Werkzeug, um Informationssicherheit systematisch aufzubauen.

1. Was ISO 27001 ist – und was nicht

1.1 Die wichtigsten Missverständnisse

1.2 Wie ISO 27001 mit EU-Regulierungen zusammenhängt

2. Die ISO-27001-Struktur – vereinfacht

ISO 27001 besteht aus zwei Teilen: dem Managementsystem-Rahmen (Klauseln 4–10) und den Sicherheitskontrollen (Annex A). Für 'Light'-Implementierung konzentrieren wir uns auf das Wesentliche.

2.1 Der Managementsystem-Rahmen (das Fundament)

2.2 Die 20 wichtigsten Annex-A-Kontrollen für KMU

Annex A enthält 93 Kontrollen. Für ein KMU-'Light'-ISMS sind diese 20 der grösste Hebel – sie decken die häufigsten Schwachstellen und die meisten regulatorischen Anforderungen ab.

3. Der 'Light'-Implementierungsplan

Dieser Plan ist in drei Phasen gegliedert. Jede Phase ist in 4–6 Wochen umsetzbar. Ziel nach Phase 3: ein ISMS, das regulatorische Anfragen beantwortet und als Basis für eine spätere Zertifizierung dient.

Phase 1: Fundament (Wochen 1–4)

Phase 2: Kernkontrollen (Wochen 5–10)

Phase 3: Betrieb und Nachweise (Wochen 11–16)

4. Das Security Master Document – Ihr wichtigstes Kommunikationsinstrument

Das Security Master Document ist das Dokument, das Sie an EU-Kunden, Auditoren und Regulatoren senden, wenn sie nach Ihrem Sicherheitsprogramm fragen. Es ersetzt individuelle Fragebogen-Antworten.

5. Wann lohnt sich die vollständige ISO-27001-Zertifizierung?

6. Typische Fehler

Fehler 1: ISMS als IT-Projekt behandeln

Informationssicherheit wird an die IT-Abteilung delegiert. Die Geschäftsleitung sieht sich nicht als zuständig. Dann fehlt die unterzeichnete Policy, die Management-Reviews finden nicht statt, und das ISMS ist Papier ohne Wirkung. ISO 27001 ist explizit ein Managementsystem – Führung ist Pflicht.

Fehler 2: Statement of Applicability (SoA) vergessen

Das SoA ist das Herzstück jedes ISO-27001-Programms – es dokumentiert, welche Kontrollen Sie anwenden und warum Sie andere ausgeschlossen haben. Ohne SoA ist jede ISO-Diskussion unvollständig, und Auditoren fragen es als erstes.

Fehler 3: Dokumente ohne Datum

Policies, Risikoregister und Berichte ohne Datum sind für Kunden-Audits und Regulatoren wertlos. Sie können nicht nachweisen, wann eine Kontrolle implementiert wurde, ob sie aktuell ist, oder wer sie autorisiert hat.

Fehler 4: Restore-Tests nicht dokumentieren

Backup-Systeme existieren – aber der letzte Restore-Test ist drei Jahre alt oder nie passiert. Im Ernstfall zeigt sich das. Und im Kunden-Audit auch.

7. Was Sie jetzt tun – priorisiert

Kontakt & weitere Informationen