3 Erkenntnisse aus einem ISMS-Audit, die jedes KMU kennen sollte

Wer ein ISMS-Audit durchführt, erwartet Bestätigungen. Was er bekommt, sind Spiegel. Das jährliche ISMS-Zwischenaudit hat mir wieder gezeigt, dass Informationssicherheit kein Zustand ist, den man einmal erreicht – sondern ein Prozess, den man konsequent pflegt. Drei Erkenntnisse aus diesem Audit halte ich für besonders wertvoll, weil sie nicht nur dieses Unternehmen betreffen, sondern viele KMU in der Schweiz.

Warum ein ISMS-Audit mehr ist als eine Pflichtübung

Ein ISMS-Audit prüft, ob das Informationssicherheits-Managementsystem – kurz ISMS – im Alltag wirklich funktioniert. Es geht nicht darum, Dokumente vorzuzeigen, sondern darum, ehrlich hinzuschauen: Wo klaffen Anspruch und Wirklichkeit auseinander? Genau diese Frage macht Audits wertvoll – und manchmal unbequem.

Erkenntnis 1: Lieferantenmanagement ist kein Nebenschauplatz

Viele Unternehmen behandeln alle Lieferanten gleich. Dieselben Vertragsklauseln, dieselben Anforderungen – unabhängig davon, ob es sich um eine Reinigungsfirma, einen OT-Softwareanbieter oder einen Büromateriallieferanten handelt. Das klingt effizient, ist aber ein Risiko.

Denn die Sicherheitsrelevanz dieser Lieferanten unterscheidet sich fundamental. Ein Anbieter, der Zugriff auf Steuerungssysteme hat, trägt ein anderes Risikopotenzial als jemand, der Kugelschreiber liefert. Wer das nicht differenziert, übersieht echte Schwachstellen.

Was hilft:

• Lieferanten nach Risikokategorien einteilen

• Sicherheitsanforderungen je Kategorie definieren

• Verträge mit klaren Sicherheitsstandards versehen

• Lieferantenbeziehungen regelmässig überprüfen

Im konkreten Fall wurden die Prozesse entsprechend überarbeitet: Risikobewertungen für alle Lieferanten, spezifische Anforderungen pro Kategorie und regelmässige Audits zur Überprüfung. Der Aufwand ist überschaubar – der Nutzen erheblich.

Erkenntnis 2: Ein ISMS gehört nicht der IT-Abteilung

«Das ist ein IT-Thema» – diesen Satz höre ich oft. Und er ist falsch. Informationssicherheit betrifft jeden Bereich eines Unternehmens: Einkauf, Produktion, HR, Finanzen. Wer das ISMS in der IT-Abteilung parkiert, schafft blinde Flecken überall sonst.

Die Herausforderung: Wenn andere Bereiche nicht einbezogen werden, entstehen Sicherheitslücken genau dort, wo niemand hinschaut. Ein Mitarbeitender im Aussendienst, der sensible Kundendaten auf einem privaten Gerät speichert, ist kein IT-Problem – er ist ein Organisationsproblem.

Ein ganzheitlicher Ansatz bedeutet: Informationssicherheit wird Teil der Unternehmenskultur. Alle Mitarbeitenden verstehen ihre Verantwortung – nicht weil sie müssen, sondern weil sie wissen, warum es wichtig ist.

Deshalb wurden Schulungs- und Kommunikationsmassnahmen ausgebaut: regelmässige, praxisnahe Trainings für alle Bereiche – kein Frontalunterricht, sondern Szenarien aus dem Alltag.

Erkenntnis 3: Ohne Asset-Inventar fliegt man blind

Wer nicht weiss, welche Informationswerte er hat, kann sie nicht schützen. So einfach ist das. Ein vollständiges Asset-Inventar ist die Grundlage für jedes sinnvolle Risikomanagement und gleichzeitig einer der häufigsten Schwachpunkte in KMU.

Das Problem: Ohne Inventar weiss man nicht, welche Daten vorhanden sind, wo sie gespeichert werden und wer Zugriff hat. Sicherheitsmassnahmen werden dann nach Bauchgefühl umgesetzt und nicht nach tatsächlichem Risiko.

Was ein gutes Asset-Inventar enthält:

• Alle Informationswerte (Daten, Dokumente, Systeme)

• Klassifizierung nach Schutzbedarf

• Zuordnung zu Systemen, Anwendungen und Infrastrukturen

• Verantwortlichkeiten und Zugriffsrechte

Das Asset-Inventar wurde in einem zentralen Tool erfasst und wird seither regelmässig überprüft. Nur so bleibt es aktuell und damit nützlich.

Praxisbeispiel: Ein Industriebetrieb mit 80 Mitarbeitenden

Ein produzierendes KMU führt erstmals ein ISMS-Audit durch. Die Ergebnisse: Lieferanten werden nicht nach Risiko unterschieden, die IT-Abteilung trägt die gesamte Sicherheitsverantwortung allein, und ein vollständiges Asset-Inventar existiert nicht.

Der erste Schritt: Eine einfache Lieferantenliste mit Risikokategorien. Dann ein kurzes Informationsgespräch mit allen Abteilungsleitenden – nicht über Technik, sondern über Verantwortung. Und schliesslich eine strukturierte Erfassung der wichtigsten Informationswerte.

Drei Massnahmen, die keine grossen Investitionen erfordern – aber die Sicherheitslage spürbar verbessern.

Starten Sie mit dem, was Sie heute wissen

Ein ISMS-Audit muss kein grosses Projekt sein. Fangen Sie mit einer einfachen Frage an: Wissen Sie, welche Informationen Sie schützen müssen und wer dafür verantwortlich ist? Wenn die Antwort unklar ist, ist das der richtige Startpunkt.

Bereit für Ihren nächsten Schritt?

Ich begleite KMU beim Aufbau und der Weiterentwicklung ihres ISMS – pragmatisch, verständlich und auf ihre Situation zugeschnitten. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo Sie heute stehen.

Häufige Fragen zum ISMS-Audit

Was ist ein ISMS-Audit und wozu dient es?
Ein ISMS-Audit prüft, ob das Informationssicherheits-Managementsystem eines Unternehmens in der Praxis funktioniert. Es zeigt auf, wo Prozesse lückenhaft sind, und gibt konkrete Hinweise zur Verbesserung.

Müssen KMU ein ISMS haben?
Nicht jedes KMU ist gesetzlich verpflichtet. Unternehmen der kritischen Infrastruktur – etwa Energieversorger – unterliegen dem IKT-Minimalstandard und müssen entsprechende Anforderungen erfüllen. Für andere KMU ist ein ISMS freiwillig, aber sinnvoll.

Wie oft sollte ein ISMS-Audit stattfinden?
Mindestens einmal jährlich. Viele Unternehmen führen zusätzlich Zwischenaudits durch, um Veränderungen – etwa neue Lieferanten oder Systeme – zeitnah zu berücksichtigen.

Was kostet ein ISMS-Audit für ein KMU?
Das hängt von der Grösse und dem Reifegrad des Unternehmens ab. Ein erster Schritt ist oft eine Gap-Analyse, die zeigt, wo die grössten Lücken liegen und was als nächstes sinnvoll ist.