ISO 27001
Kurz erklärt
ISO 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem. Zertifiziert wird nicht die Technik, sondern das Verfahren: dass ein Betrieb seine Risiken kennt, Massnahmen dagegen festgelegt hat, deren Wirksamkeit überprüft und Abweichungen nachvollziehbar behandelt. Eine Firewall bekommt kein Zertifikat — die Organisation dahinter schon.
Was tatsächlich geprüft wird
Der Kern ist ein Kreislauf: Risiken feststellen, Massnahmen wählen, anwenden, messen, nachbessern. Ein Auditor fragt deshalb seltener «habt ihr X» und öfter «woran seht ihr, dass X wirkt, und was habt ihr gemacht, als es letztes Mal nicht gewirkt hat».
Der Anhang der Norm listet Massnahmen als Auswahl, nicht als Pflichtprogramm. Welche davon zutreffen, leitest du aus deiner eigenen Risikobeurteilung her — genau das ist der Teil, den man nicht einkaufen kann.
Der häufigste Irrtum
Dass das Zertifikat Sicherheit bedeutet. Es bedeutet Nachvollziehbarkeit. Ein zertifizierter Betrieb kann belegen, wie er zu seinen Entscheidungen kam — das schliesst einen Vorfall nicht aus, macht aber den Umgang damit überprüfbar.
Der zweite Irrtum ist die Richtung: Viele beginnen mit dem Zertifikat und suchen danach den Nutzen. Umgekehrt trägt es. Der übliche echte Auslöser ist eine Ausschreibung oder ein Grosskunde, der es verlangt — dann ist es eine Marktzugangsfrage und rechnet sich von selbst.
Der Schweizer Zusammenhang
Eine Zertifizierung ist in der Schweiz für gewöhnliche KMU nicht vorgeschrieben. Die gesetzliche Pflicht steht im DSG und ist allgemeiner formuliert: angemessene technische und organisatorische Massnahmen (Art. 8 DSG, SR 235.1), dazu die Meldung von Verletzungen der Datensicherheit mit hohem Risiko an den EDÖB (Art. 24 DSG).
Getrennt davon gilt seit dem 1. April 2025 eine 24-Stunden-Meldepflicht für Cyberangriffe — aber ausdrücklich nur für Betreiberinnen kritischer Infrastrukturen, nicht für KMU im Allgemeinen. Wer beides vermischt, baut ein Pflichtprogramm, das es für ihn nicht gibt.
Wie wir damit umgehen
Wir bauen die Grundlagen so, dass eine spätere Zertifizierung nicht bei null anfängt: dokumentierte Zugriffe, nachvollziehbare Änderungen, geprüfte Rückspielung von Backups. Rahmen dazu bei IT-Security.
Ob eine Zertifizierung sinnvoll ist, entscheidet nicht die Firmengrösse, sondern die Frage, ob jemand danach fragt.
Verwandte Begriffe
Ein Begriff im Angebot, den niemand erklärt hat?
Im Strategiegespräch übersetzen wir das Angebot, das dir vorliegt — auch wenn es nicht von uns stammt.