IKT-Minimalstandard für kritische Infrastrukturen: Was Unternehmen jetzt wissen müssen

Die Digitalisierung bringt enorme Chancen – aber auch neue Risiken. Für Unternehmen der kritischen Infrastruktur ist der IKT-Minimalstandard heute kein optionales Thema mehr, sondern eine verbindliche Anforderung. Wer Energie liefert, Gesundheitsversorgung sicherstellt oder Transportwege betreibt, trägt Verantwortung – nicht nur für den eigenen Betrieb, sondern für die gesamte Gesellschaft. Ein Cyberangriff auf diese Systeme kann Folgen haben, die weit über das betroffene Unternehmen hinausgehen.

Was ist der IKT-Minimalstandard – und warum gilt er gerade jetzt?

Der IKT-Minimalstandard wurde vom Bundesamt für wirtschaftliche Landesversorgung (BWL) entwickelt. Er legt Mindestanforderungen an die IT-Sicherheit von Organisationen fest – insbesondere für Betreiber kritischer Infrastrukturen wie Energieversorger, Gesundheitseinrichtungen oder Transportunternehmen.

Der Standard ist kein bürokratisches Regelwerk. Er ist ein praxisorientiertes Rahmenwerk, das Unternehmen dabei unterstützt, ihre IT-Systeme widerstandsfähiger zu machen und gezielt gegen Cyberangriffe zu schützen.

Warum jetzt? Weil die Bedrohungslage zunimmt. Angreifer nutzen gezielt die Schwachstellen vernetzter Systeme – und kritische Infrastrukturen stehen dabei besonders im Fokus.

Warum kritische Infrastrukturen besonders gefährdet sind

Energieversorgung, Gesundheitswesen, Transportwesen: Diese Systeme sind das Rückgrat unserer modernen Gesellschaft. Ein Ausfall – ob durch einen technischen Fehler oder einen gezielten Angriff – hat unmittelbare Folgen für die Bevölkerung, die Wirtschaft und die nationale Sicherheit.

Gleichzeitig arbeiten viele dieser Organisationen noch mit älteren IT-Systemen, langen Updatezyklen und einer gewachsenen Infrastruktur, die ursprünglich nicht für eine vernetzte Welt ausgelegt wurde. Das macht sie besonders verwundbar.

Was der IKT-Minimalstandard konkret regelt

Der Standard setzt dort an, wo Ausfälle am wenigsten verkraftbar sind: bei den IT-Systemen, die für das Funktionieren kritischer Infrastrukturen entscheidend sind. Drei Kernpunkte sind dabei besonders relevant:

• Schutz der kritischen Systeme: Der Standard definiert konkrete Massnahmen – von der Absicherung der Netzwerke bis zur Schulung der Mitarbeitenden. Ziel ist es, die Grundversorgung der Bevölkerung auch im Angriffsfall sicherzustellen.

• Risikobasierter Ansatz: Nicht jedes Unternehmen hat dieselben Bedrohungen oder Schutzbedürfnisse. Der Standard erlaubt es, das Schutzniveau an die eigene Situation anzupassen und Ressourcen gezielt einzusetzen.

• Hilfe zur Selbsthilfe: Der IKT-Minimalstandard richtet sich primär an Betreiber kritischer Infrastrukturen, ist aber grundsätzlich für alle Unternehmen anwendbar. Er bietet eine klare Handlungsanleitung zur Verbesserung der eigenen IT-Resilienz – unabhängig von Grösse oder Branche.

IKT-Minimalstandard und die Schweizer Cybersicherheitsstrategie

Der IKT-Minimalstandard ist kein isoliertes Instrument. Er ist ein zentrales Element der nationalen Cybersicherheitsstrategie der Schweiz und ergänzt andere Anforderungen wie die ISO 27001 oder die Meldepflicht bei Cybervorfällen.

Für Geschäftsführer, IT-Leiter und Verwaltungsräte bedeutet das: Die Frage ist nicht mehr, ob man sich mit dem Thema befassen muss – sondern wie man es strukturiert und effizient angeht.

Praxisbeispiel Energieversorger

Ein regionaler Energieversorger mit rund 80 Mitarbeitenden weiss, dass er dem IKT-Minimalstandard unterliegt. Intern fehlen jedoch die Ressourcen und das Fachwissen, um den eigenen Reifegrad zu beurteilen. Die IT läuft «neben dem Tagesgeschäft» – ein dediziertes Sicherheitsteam gibt es nicht.

In einem ersten Schritt wird eine Gap-Analyse durchgeführt: Wo steht das Unternehmen heute? Welche Anforderungen des IKT-Minimalstandards sind bereits erfüllt, wo bestehen Lücken? Auf dieser Grundlage entsteht ein priorisierter Massnahmenplan – realistisch, umsetzbar und auf die vorhandenen Ressourcen abgestimmt.

Das Ergebnis: Der Energieversorger weiss, wo er steht, was als nächstes zu tun ist – und kann gegenüber Behörden und Partnern nachweisen, dass er seine Schutzverantwortung ernst nimmt.

Jetzt handeln, bevor der Ernstfall eintritt

Der IKT-Minimalstandard ist kein Hindernis – er ist eine Orientierungshilfe. Wer ihn konsequent umsetzt, schützt nicht nur seine IT-Systeme, sondern stärkt das Vertrauen von Kunden, Partnern und Behörden.

Ein konkreter erster Schritt: Führen Sie eine Gap-Analyse durch. Prüfen Sie, welche Anforderungen des IKT-Minimalstandards in Ihrem Unternehmen bereits erfüllt sind – und wo Handlungsbedarf besteht. Das dauert keine Monate, sondern kann strukturiert und effizient angegangen werden.

Bereit für den nächsten Schritt?

In den kommenden Wochen erläutere ich in einer Serie von Blog-Beiträgen einzelne Themen des IKT-Minimalstandards detaillierter. Möchten Sie wissen, wo Ihr Unternehmen heute steht? Ich begleite Sie mit einem strukturierten Assessment – pragmatisch, verständlich und auf Ihre Situation zugeschnitten.

Nehmen Sie Kontakt auf – ich freue mich auf das Gespräch.

Häufige Fragen zum IKT-Minimalstandard

Für wen gilt der IKT-Minimalstandard?
Der Standard gilt verpflichtend für Betreiber kritischer Infrastrukturen in der Schweiz – etwa Energieversorger, Gesundheitseinrichtungen oder Transportunternehmen. Grundsätzlich können ihn aber alle Unternehmen als Orientierungsrahmen nutzen.

Was passiert, wenn ein Unternehmen den Standard nicht umsetzt?
Neben regulatorischen Konsequenzen steigt das operative Risiko erheblich. Ein Cyberangriff auf unzureichend geschützte Systeme kann zu Betriebsunterbrüchen, Reputationsschäden und Haftungsfragen führen.

Wie aufwendig ist die Umsetzung des IKT-Minimalstandards?
Das hängt vom aktuellen Reifegrad des Unternehmens ab. Der risikobasierte Ansatz des Standards erlaubt es, Prioritäten zu setzen und schrittweise vorzugehen – auch mit begrenzten internen Ressourcen.

Gibt es Überschneidungen mit ISO 27001?
Ja. Der IKT-Minimalstandard und ISO 27001 ergänzen sich. Wer bereits ein ISMS nach ISO 27001 betreibt, hat viele Anforderungen des IKT-Minimalstandards bereits abgedeckt.