Ein Phishing-Angriff, ein kompromittiertes Administratorkonto oder ein Ausfall der Datensicherung kann ein Schweizer KMU innerhalb kurzer Zeit handlungsunfähig machen. Der IKT Minimalstandard des Bundesamts für wirtschaftliche Landesversorgung (BWL) bietet eine strukturierte Grundlage, um solche Cyberrisiken zu beurteilen und gezielt zu reduzieren.
Was ist der IKT Minimalstandard?
Der IKT Minimalstandard ist eine Schweizer Empfehlung für die systematische Verbesserung der Cybersecurity und basiert auf international anerkannten Schutzfunktionen wie Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.
Das BWL stellt den Standard insbesondere für Organisationen bereit, deren Ausfall wichtige Versorgungsleistungen beeinträchtigen könnte. Dazu zählen beispielsweise Energieversorgung, Gesundheitswesen, Verkehr, Finanzwesen, Telekommunikation und weitere Bereiche der kritischen Infrastruktur Schweiz.
Der Standard ist in der Regel keine allgemeine gesetzliche Zertifizierungspflicht für jedes KMU. Er dient vielmehr als Orientierung und als Werkzeug für eine strukturierte Selbstbeurteilung. Unternehmen können damit Sicherheitslücken sichtbar machen, Massnahmen priorisieren und ihre Sicherheitsorganisation gegenüber Geschäftsleitung, Kunden oder Aufsichtsstellen nachvollziehbar dokumentieren.
Der Begriff BWL Minimalstandard Cybersecurity bezeichnet in der Praxis dieselbe grundlegende Orientierung: den vom BWL bereitgestellten IKT-Minimalstandard als Basis für angemessene Cybersecurity-Massnahmen.
Für welche Schweizer KMU ist der IKT-Minimalstandard relevant?
Der IKT-Minimalstandard ist für jedes KMU relevant, das geschäftskritische Daten, Systeme oder Dienstleistungen betreibt, besonders stark jedoch für Unternehmen mit hoher Abhängigkeit von digitalen Prozessen oder mit einer Rolle in der kritischen Infrastruktur Schweiz.
Auch ein kleiner Zulieferer kann ein attraktives Ziel sein, wenn er Zugang zu Systemen eines grösseren Unternehmens besitzt. Relevant sind unter anderem:
- Unternehmen mit personenbezogenen Daten von Kunden, Mitarbeitenden oder Patienten
- Anbieter von Cybersecurity, Cloud-, Netzwerk- oder Kommunikationsleistungen
- Hersteller und Zulieferer mit Fernzugriff auf Produktionsumgebungen
- Gemeinden, Versorgungsbetriebe und Betreiber technischer Anlagen
- Finanzdienstleister und Unternehmen mit FINMA-relevanten Geschäftsprozessen
- KMU mit hoher Abhängigkeit von ERP-, Identitäts- oder Cloud-Systemen
Entscheidend ist nicht nur die Unternehmensgrösse. Massgeblich sind die möglichen Folgen eines Sicherheitsvorfalls: Datenverlust, Betriebsunterbruch, Haftungsrisiken, Verletzungen des Datenschutzes oder Auswirkungen auf Kunden und Partner.
Welche Bereiche deckt der IKT-Minimalstandard ab?
Der Standard deckt die wichtigsten Phasen des Cybersecurity-Risikomanagements ab: Risiken identifizieren, Systeme schützen, Ereignisse erkennen, Vorfälle bewältigen und den Betrieb wiederherstellen.
Risiken identifizieren
Sie erfassen Ihre kritischen Systeme, Daten, Abhängigkeiten und Lieferanten. Dazu gehört auch die Frage, welche Geschäftsprozesse bei einem Ausfall zuerst betroffen wären. Ein aktuelles Inventar der Assets ist die Grundlage für alle weiteren Massnahmen.
Systeme und Daten schützen
In diesem Bereich prüfen Sie unter anderem:
- Identitäts- und Berechtigungsmanagement
- Mehrfaktor-Authentisierung für privilegierte Zugänge
- Patch- und Schwachstellenmanagement
- Netzwerksegmentierung
- Verschlüsselung schützenswerter Daten
- Sicherheitskonfigurationen für Endgeräte und Server
- Sensibilisierung der Mitarbeitenden
Das revDSG verlangt angemessene technische und organisatorische Massnahmen zum Schutz personenbezogener Daten. Der IKT-Minimalstandard kann helfen, diese Massnahmen systematisch zu planen, ersetzt aber keine datenschutzrechtliche Prüfung.
Sicherheitsereignisse erkennen
Ein KMU muss nicht zwingend ein eigenes Security Operations Center betreiben. Es braucht aber eine realistische Möglichkeit, verdächtige Aktivitäten zu erkennen. Dazu zählen zentrale Protokollierung, Warnmeldungen, Endpoint Detection and Response oder ein MDR-Dienst (Managed Detection and Response, ausgelagerte Angriffserkennung rund um die Uhr).
Auf Vorfälle reagieren
Definieren Sie vorab, wer bei einem Sicherheitsvorfall entscheidet, kommuniziert und technische Massnahmen ausführt. Ein Incident-Response-Plan sollte auch Meldewege, forensische Sicherung und die Zusammenarbeit mit externen Spezialisten enthalten.
Betrieb wiederherstellen
Backups sind nur dann wirksam, wenn sie gegen Manipulation geschützt sind und regelmässig getestet werden. Dokumentieren Sie Wiederanlaufverfahren, Wiederherstellungsziele und Abhängigkeiten von externen Dienstleistern. Prüfen Sie ausserdem, ob der Datenstandort Schweiz für Ihre Geschäftsprozesse, Verträge oder regulatorischen Anforderungen relevant ist.
Wie setzen Sie den IKT-Minimalstandard im KMU um?
Sie setzen den IKT-Minimalstandard am wirksamsten in einem kurzen, risikobasierten Verbesserungsprogramm mit klaren Verantwortlichkeiten um.
-
Geschäftskritische Prozesse bestimmen
Identifizieren Sie Prozesse, deren Ausfall zu hohen finanziellen, rechtlichen oder operativen Folgen führt. -
Systeme, Daten und Zugänge inventarisieren
Erfassen Sie Endgeräte, Server, Cloud-Dienste, Schnittstellen, privilegierte Konten und externe Zugriffe. -
Ist-Zustand bewerten
Nutzen Sie die Struktur des Standards für eine Selbstbeurteilung. Bewerten Sie nicht nur technische Kontrollen, sondern auch Verantwortlichkeiten, Prozesse und Notfallplanung. -
Risiken priorisieren
Schliessen Sie zuerst Lücken mit hoher Wirkung, etwa fehlende Mehrfaktor-Authentisierung, ungeschützte Administrationszugänge oder nicht getestete Backups. -
Massnahmenplan erstellen
Legen Sie pro Massnahme eine verantwortliche Person, ein Ziel, eine Frist und ein verfügbares Budget in CHF fest. -
Wirksamkeit überprüfen
Testen Sie Wiederherstellung, Alarmierung, Berechtigungen und Reaktionsprozesse. Aktualisieren Sie die Bewertung nach wesentlichen Änderungen oder Vorfällen.
Welche Massnahmen haben für KMU meist Priorität?
Für viele KMU haben Identitätsschutz, sichere Backups, Patchmanagement und vorbereitete Reaktion auf Vorfälle eine besonders hohe praktische Wirkung.
| Sicherheitsbereich | Mindestmassnahme | Nachweis |
|---|---|---|
| Identitäten | Mehrfaktor-Authentisierung für Administrations- und Fernzugänge | Kontenliste und Konfigurationsnachweis |
| Endgeräte | Zentral verwaltete Schutzsoftware und zeitnahe Sicherheitsupdates | Richtlinie und Auswertungen |
| Backups | Getrennte, geschützte Sicherungen mit Wiederherstellungstest | Testprotokoll |
| Netzwerk | Segmentierung kritischer Systeme und eingeschränkte Fernzugriffe | Netzwerkdokumentation |
| Vorfälle | Eskalationsplan mit internen und externen Kontakten | Incident-Response-Plan |
| Lieferanten | Sicherheitsanforderungen in Verträgen und Bewertungen | Lieferantenregister |
Die konkrete Priorität hängt von Ihrer Risikolage ab. Ein Produktionsbetrieb benötigt andere Kontrollen als eine Treuhandgesellschaft. Die Grundprinzipien bleiben jedoch vergleichbar.
Wie unterscheiden sich IKT-Minimalstandard und ISO 27001?
Der IKT-Minimalstandard ist eine praktische Orientierung und Selbstbeurteilung, während ISO 27001 ein internationaler Standard für ein Informationssicherheits-Managementsystem mit möglicher Zertifizierung ist.
| Kriterium | IKT-Minimalstandard | ISO 27001 |
|---|---|---|
| Zweck | Praktische Cybersecurity-Basis | Systematisches Informationssicherheits-Management |
| Einstieg | Selbstbeurteilung möglich | Aufbau eines formalen Managementsystems |
| Zertifizierung | Keine Standardzertifizierung | Zertifizierung durch akkreditierte Stellen möglich |
| Aufwand | Je nach Umfang niedrig bis mittel | Typischerweise höher und langfristig |
| Geeignet für | KMU, Betreiber kritischer Leistungen, erste Standortbestimmung | Organisationen mit formalen Kunden- oder Compliance-Anforderungen |
Beide Ansätze können kombiniert werden. Der IKT-Minimalstandard eignet sich als Einstieg oder als pragmatische Kontrollliste. ISO 27001 geht stärker auf Governance, Risikobehandlung, interne Audits und kontinuierliche Verbesserung ein.
Welche Rolle spielen NCSC, EDÖB und FINMA?
NCSC, EDÖB und FINMA decken unterschiedliche Bereiche ab, die Sie bei der Umsetzung berücksichtigen sollten.
Das Nationale Zentrum für Cybersicherheit (NCSC) stellt Informationen, Empfehlungen und Meldeangebote für Cybervorfälle bereit. Seine Hinweise zu Phishing, Ransomware, Schwachstellen und Incident Response ergänzen die Umsetzung des IKT-Minimalstandards.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist für datenschutzrechtliche Fragen relevant. Bei einer Verletzung der Datensicherheit kann nach revDSG eine Meldepflicht an den EDÖB bestehen, wenn die Verletzung voraussichtlich zu einem hohen Risiko für betroffene Personen führt.
Die FINMA beaufsichtigt Finanzmarktteilnehmer und stellt je nach Institut Anforderungen an operationelle Risiken, Outsourcing und Cyberresilienz. Ein KMU aus dem Finanzumfeld sollte deshalb prüfen, welche regulatorischen Vorgaben direkt oder über Kundenverträge gelten.
Wie Sie am besten starten
Starten Sie mit einer begrenzten, dokumentierten Standortbestimmung und nicht mit einer umfangreichen Sammlung einzelner Sicherheitstools.
- Benennen Sie eine verantwortliche Person aus Geschäftsleitung oder IT.
- Wählen Sie die drei bis fünf kritischsten Geschäftsprozesse aus.
- Führen Sie die Selbstbeurteilung nach dem IKT-Minimalstandard durch.
- Priorisieren Sie die grössten Risiken nach möglicher Auswirkung und Umsetzbarkeit.
- Setzen Sie kurzfristige Basismassnahmen um, etwa Mehrfaktor-Authentisierung und getestete Backups.
- Planen Sie danach technische Prüfungen, Incident-Response-Übungen oder einen Penetrationstest nach anerkannten Vorgehensmodellen wie PTES oder OSSTMM.
Wenn intern die Zeit oder das spezialisierte Wissen fehlt, können Sie im Verzeichnis von Cyberprovider geprüfte Schweizer Cybersecurity-Anbieter vergleichen. Achten Sie auf Erfahrung mit Ihrer Branche, nachvollziehbare Leistungen, klare Zuständigkeiten und transparente Preise in CHF.
Häufige Fragen
Ist der IKT-Minimalstandard für jedes Schweizer KMU obligatorisch?
Nein, für die meisten KMU ist er eine Empfehlung. Je nach Branche, Vertrag, Rolle in der kritischen Infrastruktur oder aufsichtsrechtlichem Umfeld können jedoch zusätzliche Pflichten und Erwartungen gelten.
Ist der IKT-Minimalstandard eine Zertifizierung?
Nein. Er ist ein Orientierungs- und Bewertungsrahmen. Unternehmen können ihre Umsetzung dokumentieren, erhalten dadurch aber nicht automatisch eine ISO-27001-Zertifizierung oder eine behördliche Freigabe.
Wie lange dauert die Umsetzung?
Das hängt von Grösse, Komplexität und Ausgangslage ab. Eine erste Bewertung kann kurzfristig erfolgen. Die Umsetzung technischer, organisatorischer und vertraglicher Massnahmen ist meist ein laufendes Programm.
Braucht ein KMU für den Standard einen externen Dienstleister?
Nicht zwingend. Für die erste Selbstbeurteilung reichen oft interne Kenntnisse. Externe Unterstützung ist sinnvoll, wenn unabhängige Prüfungen, Incident Response, MDR, Penetrationstests oder regulatorische Anforderungen betroffen sind.
Reicht der IKT-Minimalstandard für den Schutz personenbezogener Daten?
Nein, er unterstützt die technische und organisatorische Absicherung, ersetzt aber keine vollständige Umsetzung des revDSG. Verantwortlichkeiten, Bearbeitungsverzeichnisse, Aufbewahrung, Betroffenenrechte und Meldeprozesse müssen zusätzlich geprüft werden.
