IKT-Minimalstandard: So setzen Führungskräfte ihn wirksam um

Unternehmen, die ihre IT-Sicherheit auf klare Grundlagen stellen wollen, kommen am IKT-Minimalstandard nicht vorbei. Er gibt Führungskräften einen strukturierten Rahmen, um Daten zu schützen, Risiken zu minimieren und regulatorische Anforderungen zu erfüllen. Gerade für Geschäftsführer, IT-Leiter und Verwaltungsräte in KMU ist er ein konkretes Werkzeug – kein bürokratisches Hindernis.

Was ist der IKT-Minimalstandard – und warum ist er für KMU relevant?

Der IKT-Minimalstandard ist ein Rahmenwerk des Bundes, das Unternehmen – insbesondere in kritischen Infrastrukturen wie Energie oder Industrie – dabei unterstützt, ihre Informationssicherheit systematisch aufzubauen. Er definiert, welche Mindestanforderungen an Prozesse, Schutzmassnahmen und Verantwortlichkeiten erfüllt sein müssen.

Ich habe in meiner Arbeit als CISO immer wieder erlebt, wie fehlende Vorgaben und unklare Prozesse direkt zu Sicherheitsvorfällen geführt haben. Nicht weil die Technik versagt hat – sondern weil niemand wusste, was zu tun ist. Genau hier setzt der IKT-Minimalstandard an.

Es geht nicht darum, die Nutzung von IT-Mitteln zu erschweren. Es geht darum, sie in einem gesicherten Umfeld weiterzuentwickeln – und das Unternehmen dabei handlungsfähig zu halten.

In 5 Schritten zu einer starken Informationssicherheit

Schritt 1: Ziele und Risiken verstehen

Der erste Schritt ist der wichtigste: Verstehen, was schützenswert ist. Das bedeutet, kritische Geschäftsprozesse zu identifizieren, sensible Daten zu lokalisieren und mögliche Bedrohungen realistisch einzuschätzen.

Es geht dabei nicht darum, Angst zu schüren. Es geht darum, ein klares Bild der eigenen Verwundbarkeit zu bekommen – als Grundlage für alle weiteren Entscheidungen.

Schritt 2: Gesetze, Vorschriften und Standards einhalten

Regulatorische Vorgaben wie der IKT-Minimalstandard oder ISO 27001 sind kein Selbstzweck. Sie helfen Unternehmen, resilienter gegen Cyberangriffe zu werden. Ich arbeite eng mit der Geschäftsleitung zusammen, um sicherzustellen, dass diese Vorgaben einen echten Mehrwert schaffen – und nicht nur Papier produzieren.

Schritt 3: Informationssicherheitsvorgaben entwickeln

Vorgaben müssen klar, präzise und für alle Mitarbeitenden verständlich sein. Kein Fachjargon, keine endlosen Checklisten – sondern einfache, handlungsorientierte Regeln, die im Alltag funktionieren.

Schritt 4: Kommunikation und Umsetzung sicherstellen

Eine Vorgabe, die niemand kennt, nützt nichts. Mitarbeitende müssen nicht nur wissen, was sie tun sollen – sondern auch warum. Wer den Sinn hinter einer Massnahme versteht, hält sie auch ein.

Schritt 5: Regelmässig aktualisieren und verbessern

Die Bedrohungslandschaft verändert sich laufend. Was heute ausreicht, kann morgen schon veraltet sein. Vorgaben müssen deshalb regelmässig überprüft und angepasst werden – mindestens einmal jährlich oder nach einem relevanten Vorfall.

Sicherheitskultur: Mehr als das Abhaken von Checklisten

Klar definierte Vorgaben sind ein wichtiger Schritt. Aber das eigentliche Ziel ist eine Sicherheitskultur, in der sicheres Verhalten zum Alltag gehört – nicht zur Ausnahme.

Als CISO erlebe ich regelmässig, dass Unternehmen mit guten Absichten starten, aber an der Umsetzung scheitern. Nicht weil die Massnahmen falsch sind, sondern weil sie nicht gelebt werden. Sicherheit entsteht durch Verhalten – und Verhalten entsteht durch Klarheit, Konsequenz und Vorbildwirkung der Führung.

Wenn Vorgaben richtig umgesetzt werden, sind sie kein Kostenfaktor. Sie sind die Basis für eine sichere digitale Transformation.

Praxisbeispiel: Energieversorger

Ein mittelgrosser Energieversorger mit rund 80 Mitarbeitenden stand vor der Herausforderung, den IKT-Minimalstandard umzusetzen – ohne eigenes Sicherheitsteam und mit begrenzten Ressourcen.

Im ersten Schritt haben wir gemeinsam die kritischen Prozesse und Systeme identifiziert: Welche Systeme sind für den Betrieb unverzichtbar? Welche Daten sind besonders schützenswert? Daraus entstand ein priorisierter Massnahmenplan, der realistisch umsetzbar war.

In einem zweiten Schritt wurden einfache, verständliche Sicherheitsvorgaben entwickelt und mit allen Mitarbeitenden kommuniziert. Nicht als Schulung mit Folien – sondern als kurze, direkte Erklärungen im Arbeitsalltag.

Das Ergebnis: Das Unternehmen erfüllte die regulatorischen Anforderungen, die Mitarbeitenden wussten, was von ihnen erwartet wird – und die Geschäftsleitung hatte erstmals einen klaren Überblick über die eigene Risikolage.

Jetzt den ersten Schritt machen

Starten Sie mit einer ehrlichen Bestandsaufnahme: Welche Prozesse und Daten sind in Ihrem Unternehmen besonders kritisch? Welche Vorgaben fehlen noch? Diese Fragen kosten nichts – aber ihre Beantwortung kann viel verhindern.

Bereit, Ihre Informationssicherheit auf ein solides Fundament zu stellen?

Ich unterstütze Führungskräfte in KMU dabei, den IKT-Minimalstandard verständlich und wirksam umzusetzen – ohne unnötige Komplexität. Nehmen Sie Kontakt auf und erfahren Sie, wo Ihr Unternehmen heute steht.

Jetzt unverbindlich Kontakt aufnehmen

Häufig gestellte Fragen

Was ist der IKT-Minimalstandard?
Der IKT-Minimalstandard ist ein Rahmenwerk des Bundes, das Mindestanforderungen an die Informationssicherheit definiert. Er richtet sich vor allem an Unternehmen der kritischen Infrastruktur, ist aber auch für andere KMU ein nützlicher Leitfaden.

Ist der IKT-Minimalstandard für mein Unternehmen verpflichtend?
Für Unternehmen der kritischen Infrastruktur – etwa Energieversorger – ist er verpflichtend. Für andere KMU gilt er als anerkannte Orientierungshilfe, die zunehmend auch von Kunden und Partnern erwartet wird.

Wie lange dauert die Umsetzung des IKT-Minimalstandards?
Das hängt vom Ausgangszustand ab. Mit einem klaren Massnahmenplan und externer Unterstützung können erste sichtbare Fortschritte innerhalb weniger Wochen erzielt werden. Eine vollständige Umsetzung ist ein kontinuierlicher Prozess.

Was kostet es, den IKT-Minimalstandard umzusetzen?
Die Kosten variieren je nach Unternehmensgrösse und Ausgangslage. Entscheidend ist eine Priorisierung nach Risiko – so werden Ressourcen dort eingesetzt, wo sie den grössten Nutzen bringen.