ISO 27001 Light

Ohne Zertifizierungsdruck · Mit Regulierungswirkung · Sofort umsetzbar

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: ISO 27001 ohne Zertifizierungsdruck – warum das trotzdem wirkt

ISO 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme. Eine vollständige Zertifizierung kostet Schweizer KMU typischerweise 30'000–80'000 CHF und 6–18 Monate. Das ist für viele KMU zu teuer – und oft auch nicht notwendig.

Trotzdem ist ISO 27001 relevant: NIS2, DORA und AI Act erlauben bzw. berücksichtigen standardbasierte, anerkannte Ansätze und den Stand der Technik – ISO 27001 wird in der Praxis breit als Referenzrahmen akzeptiert (ohne dass alle drei Regime ISO 27001 ausdrücklich und universell vorschreiben). EU-Kunden akzeptieren ISO-orientierte Sicherheitsnachweise oft ohne formale Zertifizierung. Und die Struktur des Standards ist das beste verfügbare Werkzeug, um Informationssicherheit systematisch aufzubauen.

1. Was ISO 27001 ist – und was nicht

1.1 Die wichtigsten Missverständnisse

1.2 Wie ISO 27001 mit EU-Regulierungen zusammenhängt

2. Die ISO-27001-Struktur – vereinfacht

ISO 27001 besteht aus zwei Teilen: dem Managementsystem-Rahmen (Klauseln 4–10) und den Sicherheitskontrollen (Annex A). Für 'Light'-Implementierung konzentrieren wir uns auf das Wesentliche.

2.1 Der Managementsystem-Rahmen (das Fundament)

2.2 Die 20 wichtigsten Annex-A-Kontrollen für KMU

Annex A enthält 93 Referenzkontrollen. Die folgenden 20 sind eine praxisorientierte Auswahl für typische KMU — nicht automatisch vollständig oder in jedem Unternehmen zwingend. ISO/IEC 27001 ist risikobasiert: Massgeblich bleiben Scope, Risikobeurteilung, Risikobehandlungsplan und Statement of Applicability; Auswahl, Ausgestaltung und Ausschlüsse müssen aus der Risikobehandlung begründet werden.

3. Der 'Light'-Implementierungsplan

Dieser Plan ist in drei Phasen gegliedert. Jede Phase ist in 4–6 Wochen umsetzbar. Ziel nach Phase 3: ein ISMS, das regulatorische Anfragen beantwortet und als Basis für eine spätere Zertifizierung dient.

Phase 1: Fundament (Wochen 1–4)

Phase 2: Kernkontrollen (Wochen 5–10)

Phase 3: Betrieb und Nachweise (Wochen 11–16)

4. Das Security Master Document – Ihr wichtigstes Kommunikationsinstrument

Das Security Master Document ist Ihr strukturierter Nachweis, wenn nach dem Sicherheitsprogramm gefragt wird. Achtung: Nicht ein einziges Dokument an alle Empfänger — Kunden, Auditoren und Behörden haben unterschiedliche Informationsrechte und Vertraulichkeitsniveaus. Sinnvoll sind drei Ebenen: (1) Customer Security Overview, (2) Confidential Audit Pack, (3) Internal/Regulatory Evidence Pack. Detailangaben zu Architektur, Kontrollen, Schwachstellen, Lieferanten und Incident-Prozessen gehören nicht pauschal in die breit versandte Fassung.

5. Wann lohnt sich die vollständige ISO-27001-Zertifizierung?

6. Typische Fehler

Fehler 1: ISMS als IT-Projekt behandeln

Informationssicherheit wird an die IT-Abteilung delegiert. Die Geschäftsleitung sieht sich nicht als zuständig. Dann fehlt die unterzeichnete Policy, die Management-Reviews finden nicht statt, und das ISMS ist Papier ohne Wirkung. ISO 27001 ist explizit ein Managementsystem – Führung ist Pflicht.

Fehler 2: Statement of Applicability (SoA) vergessen

Das SoA ist das Herzstück jedes ISO-27001-Programms – es dokumentiert, welche Kontrollen Sie anwenden und warum Sie andere ausgeschlossen haben. Ohne SoA ist jede ISO-Diskussion unvollständig, und Auditoren fragen es als erstes.

Fehler 3: Dokumente ohne Datum

Policies, Risikoregister und Berichte ohne Datum sind für Kunden-Audits und Regulatoren wertlos. Sie können nicht nachweisen, wann eine Kontrolle implementiert wurde, ob sie aktuell ist, oder wer sie autorisiert hat.

Fehler 4: Restore-Tests nicht dokumentieren

Backup-Systeme existieren – aber der letzte Restore-Test ist drei Jahre alt oder nie passiert. Im Ernstfall zeigt sich das. Und im Kunden-Audit auch.

7. Was Sie jetzt tun – priorisiert

Kontakt & weitere Informationen