IKT-Minimalstandard verstehen: Klartext für Führungskräfte

Der IKT-Minimalstandard ist für Unternehmen der kritischen Infrastruktur kein rein technisches Regelwerk, sondern eine Orientierung für Führungsentscheide. Er hilft ihnen, kritische Geschäftsprozesse zu erkennen, Risiken richtig einzuordnen und die Widerstandsfähigkeit ihres Unternehmens gezielt zu stärken. Für Geschäftsleitung, IT-Leitung und Verwaltungsrat ist er deshalb vor allem eines: eine Grundlage, um Verfügbarkeit, Vertrauen und Handlungsfähigkeit zu sichern.

Warum ist der IKT-Minimalstandard für Führungskräfte relevant?

Unternehmen der kritischen Infrastruktur stehen im Zentrum unseres Alltags. Sie sichern Leistungen, auf die Bevölkerung, Wirtschaft und Staat angewiesen sind, etwa Strom, Wasser, medizinische Versorgung, Transport oder Telekommunikation.

Fällt eine dieser Leistungen aus, hat das weitreichende Folgen. Es geht deshalb nicht nur um IT-Probleme, sondern um betriebliche Stabilität, Vertrauen und Verantwortung.

Genau hier setzt der IKT-Minimalstandard an. Er unterstützt Unternehmen dabei, Informationssicherheit nicht isoliert als Technikthema zu betrachten, sondern als Führungsaufgabe. Für Führungskräfte ist das entscheidend, weil sie nicht jedes technische Detail verstehen müssen, aber sehr wohl wissen sollten, welche Risiken geschäftskritisch sind und welche Prioritäten daraus folgen.

Was ist mit dem IKT-Minimalstandard konkret gemeint?

Viele sehen den IKT-Minimalstandard zuerst als Pflicht oder als Compliance-Vorgabe. Das greift zu kurz. In der Praxis ist er vor allem ein Kompass.

Er hilft, die richtigen Fragen zu stellen:

• Welche Geschäftsprozesse dürfen auf keinen Fall ausfallen?

• Welche Abhängigkeiten bestehen in IT, OT und bei Lieferanten?

• Wo sind die grössten Risiken für Verfügbarkeit und Versorgung?

• Wie verbessern wir unsere Sicherheitsmassnahmen laufend?

Der Wert des Standards liegt also nicht darin, dass ein Dokument abgelegt oder eine Checkliste abgehakt wird. Sein Nutzen entsteht dann, wenn Führungskräfte die dahinterliegenden Prinzipien verstehen und im Unternehmen verankern.

Welche drei Kernbotschaften sollten Führungskräfte verstehen?

1. Welche kritischen Geschäftsprozesse müssen geschützt werden?

Im Zentrum stehen nicht einzelne Systeme, sondern die Prozesse, die für das Funktionieren des Unternehmens und der Versorgung unverzichtbar sind.

Dazu gehören je nach Organisation zum Beispiel:

• die Stromversorgung

• die Trinkwasserqualität

• die Patientenversorgung

Für Führungskräfte lautet die entscheidende Frage deshalb nicht: «Welches System ist technisch am modernsten?» Sondern: «Welche Prozesse dürfen auf keinen Fall ausfallen und wie stellen wir ihre Verfügbarkeit sicher?»

Diese Sicht verändert den Fokus. Informationssicherheit beginnt nicht bei einzelnen Werkzeugen, sondern bei den geschäftskritischen Abläufen. Wer diese schützt, schützt den Kern des Unternehmens.

2. Warum braucht es einen ganzheitlichen, risikobasierten Ansatz?

Ein zweiter zentraler Punkt des IKT-Minimalstandards ist der ganzheitliche Blick auf Risiken. Sicherheit darf nicht nur in der IT-Abteilung stattfinden.

Risiken entstehen ebenso:

• in der OT, also in produktionsnahen oder betrieblichen Steuerungssystemen

• bei Lieferanten und externen Dienstleistern

• durch menschliches Fehlverhalten

Genau hier entstehen in vielen Unternehmen Lücken. In Assessments zeigt sich oft, dass die klassische IT bereits recht gut abgesichert ist, während Produktionsanlagen oder Zulieferer kaum berücksichtigt werden. Für Angreifer sind solche Bereiche besonders interessant, weil dort Schwachstellen oft länger bestehen bleiben.

Ein risikobasierter Ansatz bedeutet deshalb: nicht alles gleichzeitig angehen, sondern dort beginnen, wo ein Ausfall die grösste Wirkung hätte. Das schafft Klarheit und hilft auch KMU mit begrenzten Ressourcen, gezielt vorzugehen.

3. Warum ist kontinuierliche Verbesserung so wichtig?

Der dritte Punkt wird oft unterschätzt: Sicherheit ist kein Zustand, den man einmal erreicht und dann abhaken kann.

KRITIS-Unternehmen sind besonders exponiert. Gleichzeitig entwickeln sich Angreifer laufend weiter. Was heute genügt, kann morgen bereits unzureichend sein.

Der IKT-Minimalstandard betont deshalb die kontinuierliche Verbesserung. Unternehmen müssen regelmässig prüfen, lernen und nachbessern. Nur so steigt ihr Reifegrad nachhaltig.

Für Führungskräfte heisst das: Informationssicherheit braucht Aufmerksamkeit über längere Zeit. Nicht als Daueralarm, sondern als regelmässige Führungsaufgabe mit klaren Prioritäten, Verantwortlichkeiten und Lernschlaufen.

Was bedeutet das für Geschäftsleitung, IT-Leitung und Verwaltungsrat?

Für die Geschäftsleitung bedeutet der IKT-Minimalstandard, dass Informationssicherheit Teil der Unternehmensstrategie sein muss. Es geht um Resilienz, nicht nur um Technik.

Für die IT-Leitung schafft er eine bessere Grundlage, um Massnahmen zu priorisieren und intern zu begründen. Statt mit Einzellösungen zu kämpfen, entsteht ein strukturierter Rahmen für Sicherheitsmassnahmen und Risikomanagement.

Für den Verwaltungsrat liefert er eine verständliche Orientierung für Aufsicht und Governance. Wer die Grundprinzipien kennt, kann die richtigen Fragen stellen, Risiken besser einordnen und seine Verantwortung fundierter wahrnehmen.

Damit wird der IKT-Minimalstandard zu einer gemeinsamen Sprache zwischen Management, IT und Aufsicht. Genau das ist in der Praxis oft der entscheidende Unterschied.

Wie zeigt sich der Nutzen des IKT-Minimalstandards im KMU-Alltag?

Ein realistisches Beispiel aus dem KMU-Alltag: Ein regionaler Energieversorger beschäftigt sich mit dem IKT-Minimalstandard, weil regulatorischer Druck zunimmt. Anfangs wird das Thema als Pflichtübung betrachtet. Die IT sammelt Anforderungen, erstellt Listen und versucht, einzelne technische Massnahmen umzusetzen.

Erst als die Geschäftsleitung die Grundprinzipien versteht, verändert sich die Herangehensweise. Statt nur Systeme zu betrachten, rückt die Frage nach den kritischen Prozessen in den Mittelpunkt: Welche Leistungen müssen auch im Störungsfall verfügbar bleiben? Wo bestehen Abhängigkeiten zur OT? Welche Rolle spielen externe Partner?

Mit dieser Perspektive werden Prioritäten klarer. Sicherheitsmassnahmen orientieren sich nicht mehr nur an Einzelthemen, sondern an der betrieblichen Wirkung. Das Unternehmen gewinnt eine belastbarere Entscheidungsgrundlage und kann Vorfälle besser beherrschen.

Genau darin liegt der praktische Wert: Der IKT-Minimalstandard hilft nicht nur beim Nachweis von Compliance, sondern bei der Stärkung der Resilienz im Alltag.

Warum scheitern manche Unternehmen trotz Checklisten?

In meiner Arbeit mit KRITIS-Unternehmen sehe ich immer wieder denselben Unterschied.

Dort, wo die Geschäftsleitung die Prinzipien des IKT-Minimalstandards versteht, wird Informationssicherheit Teil der Unternehmensstrategie. Entscheidungen werden klarer, Risiken besser priorisiert und Krisen beherrschbarer.

Dort, wo der Standard nur als Pflichtübung abgearbeitet wird, entstehen zwar Checklisten und Dokumente, aber keine echte Widerstandsfähigkeit.

Das Problem ist also selten ein Mangel an Papier. Das Problem ist fehlendes gemeinsames Verständnis darüber, was wirklich geschützt werden muss und warum.

Mein Experten-Tipp

Der IKT-Minimalstandard ist kein technisches Randthema, sondern eine Orientierung für Führungskräfte in der kritischen Infrastruktur. Wenn sie die kritischen Prozesse schützen, Risiken ganzheitlich betrachten und Sicherheit kontinuierlich weiterentwickeln, schaffen sie die Basis für Resilienz und Vertrauen.

Mein Rat: Beginnen sie mit einer einfachen Führungsfrage im nächsten Austausch mit IT oder Betrieb: Welche drei Prozesse dürfen bei uns auf keinen Fall ausfallen?

Wenn sie den IKT-Minimalstandard in ihrem Unternehmen nicht nur erfüllen, sondern als Führungsinstrument nutzen möchten, lohnt sich ein nüchterner Blick auf ihre kritischen Prozesse, Risiken und Prioritäten. Genau dabei unterstütze ich sie mit verständlicher, praxisnaher Management-Beratung.

Häufig gestellte Fragen

Was ist der IKT-Minimalstandard in einfachen Worten?
Der IKT-Minimalstandard ist eine Orientierung für Unternehmen, um Informationssicherheit strukturiert und risikobasiert anzugehen. Für Führungskräfte zeigt er, was geschützt werden muss und wo Prioritäten liegen.

Für wen ist der IKT-Minimalstandard besonders relevant?
Besonders relevant ist er für Unternehmen der kritischen Infrastruktur, etwa in Energie, Versorgung, Gesundheit, Transport oder Telekommunikation. Wichtig ist er dabei nicht nur für die IT, sondern auch für Geschäftsleitung und Verwaltungsrat.

Reicht es, wenn die IT den IKT-Minimalstandard umsetzt?
Nein. Der Standard betrifft nicht nur technische Systeme, sondern kritische Geschäftsprozesse, Risiken in der OT, externe Abhängigkeiten und Führungsentscheide. Ohne Unterstützung der Führung bleibt die Wirkung begrenzt.

Was ist der wichtigste erste Schritt?
Der wichtigste erste Schritt ist, die geschäftskritischen Prozesse klar zu benennen. Erst wenn klar ist, was auf keinen Fall ausfallen darf, lassen sich sinnvolle Sicherheitsmassnahmen priorisieren.