IKT-Minimalstandard: Vom Pflichtprogramm zum Wettbewerbsvorteil

Der IKT-Minimalstandard ist für viele Organisationen mehr als eine Pflicht. Richtig umgesetzt schafft er eine klare Struktur für Informationssicherheit und hilft, Risiken im Betrieb systematisch zu steuern. Für Geschäftsführung, IT-Leitung und Verwaltungsrat ist entscheidend, dass Cybersecurity nicht isoliert in der IT bleibt, sondern als Führungsaufgabe verstanden wird.

Warum löst der IKT-Minimalstandard in vielen Organisationen Unsicherheit aus?

In den letzten Monaten habe ich viele Gespräche mit CEOs, CIOs und weiteren Führungskräften geführt. Was dabei auffällt: Viele wissen, dass der IKT-Minimalstandard verbindlich ist, aber nicht, wie sie das Thema praktisch angehen sollen.

Genau dort beginnt das Problem. Wenn unklar ist, wer führt, wer entscheidet und wer umsetzt, entstehen Sicherheitslücken. Verantwortlichkeiten bleiben offen, Prioritäten werden nicht sauber gesetzt und im Management hält sich die Annahme, Cybersecurity sei nur eine Aufgabe der IT.

Für KMU ist das besonders heikel. Die Anforderungen sind da, die Ressourcen oft knapp und der Alltag lässt wenig Raum für zusätzliche Themen. Umso wichtiger ist ein Ansatz, der Klarheit schafft, statt noch mehr Komplexität zu erzeugen.

Wer muss beim IKT-Minimalstandard die Verantwortung tragen?

Die wichtigste Erfahrung aus der Praxis ist einfach: Ohne klaren Verantwortlichen in der Geschäftsleitung scheitert die Umsetzung oft schon am Anfang.

Der IKT-Minimalstandard lässt sich nicht nachhaltig erfüllen, wenn niemand auf C-Level die Koordination übernimmt. Es braucht eine Person, die das Thema vorantreibt, intern nachfasst und dafür sorgt, dass Entscheidungen getroffen werden. Ich nenne diese Rolle bewusst den «Kümmerer».

Je nach Organisation kann diese Aufgabe beim CFO, CIO oder im Bereich Legal liegen, wenn kein CISO vorhanden ist. Entscheidend ist nicht primär der Titel, sondern die Verankerung in der Führung. Nur so wird aus einer formalen Vorgabe eine echte Führungsaufgabe.

Für die Geschäftsleitung bedeutet das: Cybersecurity ist nicht nur Technik, sondern auch Governance, Risikomanagement und Verantwortung. Für den Verwaltungsrat heisst das: Er braucht Klarheit darüber, wer das Thema führt und wie der Fortschritt sichtbar gemacht wird.

Wie setzen Sie den IKT-Minimalstandard Schritt für Schritt um?

Ein praxistauglicher Weg muss systematisch sein. Nicht alles gleichzeitig, sondern strukturiert und nachvollziehbar. Folgende Schritte haben sich dabei bewährt:

• Anforderungen identifizieren: Erfassen Sie alle relevanten Gesetze, Normen und vertraglichen Vorgaben. Führen Sie dazu ein vollständiges und gepflegtes Verzeichnis.

• Interne Richtlinien definieren: Legen Sie klare Regeln für die Compliance fest. Ergänzen Sie diese mit Überwachungs- und Reporting-Prozessen.

• Mitarbeitende schulen und sensibilisieren: Verankern Sie Sicherheit im Alltag. Regelmässige Schulungen helfen, dass Vorgaben nicht nur auf Papier bestehen.

• Risiken überwachen und steuern: Bewerten Sie Risiken regelmässig und schaffen Sie ein Frühwarnsystem, damit Entwicklungen früh sichtbar werden.

• Richtlinien laufend aktualisieren: Passen Sie bestehende Vorgaben an neue Anforderungen an. Informationssicherheit ist kein einmaliges Projekt.

• Massnahmen dokumentieren und kommunizieren: Halten Sie Fortschritte, Entscheide und umgesetzte Massnahmen nachvollziehbar fest und informieren Sie Management und relevante Stakeholder.

Diese Reihenfolge schafft Orientierung. Sie verbindet Compliance mit Sicherheitsorganisation, Risikomanagement und Sicherheitskultur, ohne das Thema unnötig aufzublähen.

Warum bringt der IKT-Minimalstandard mehr als nur Compliance?

Wer den IKT-Minimalstandard sauber umsetzt, erfüllt nicht nur eine regulatorische Anforderung. Die eigentliche Wirkung geht weiter.

Erstens entsteht ein Mindestmass an Sicherheit, das Angriffe erschwert. Schon diese Basis ist für viele Organisationen ein wichtiger Fortschritt, weil sie Schwachstellen reduziert und Abläufe robuster macht.

Zweitens sinkt das Risiko von Bussgeldern und Reputationsschäden. Wenn Anforderungen nicht nur formal vorhanden, sondern im Betrieb verankert sind, steigt die Nachweisbarkeit und die Organisation wird belastbarer.

Drittens wächst das Vertrauen. Kunden, Partner und Aufsichtsbehörden achten darauf, ob eine Organisation ihre Informationssicherheit ernst nimmt. Wer hier strukturiert vorgeht, wirkt verlässlicher und professioneller.

Genau an diesem Punkt wird aus Pflichtprogramm ein echter Vorteil. Nicht, weil Sicherheit als Marketing-Schlagwort dient, sondern weil gut geführte Organisationen Risiken besser steuern und glaubwürdiger auftreten.

Was bedeutet das für Geschäftsleitung und Verwaltungsrat konkret?

Für die Geschäftsleitung heisst es, Verantwortung sichtbar zu übernehmen. Sie muss festlegen, wer intern führt, welche Prioritäten gelten und wie über Fortschritte berichtet wird.

Für die IT-Leitung bedeutet es, das Thema nicht allein tragen zu müssen. Wenn die Führungsverantwortung klar geregelt ist, wird aus einem isolierten IT-Thema ein gemeinsames Unternehmensvorhaben.

Für den Verwaltungsrat ist wichtig, dass er keine technischen Details bewerten muss, sondern klare Antworten auf Führungsfragen erhält: Wer ist verantwortlich? Welche Risiken sind bekannt? Welche Massnahmen laufen? Wo bestehen noch Lücken?

Der IKT-Minimalstandard schafft genau dann Nutzen, wenn diese drei Ebenen zusammenspielen.

Wie sieht das im KMU-Alltag aus?

Ein typisches Beispiel: Ein regionales KMU im regulierten Umfeld weiss, dass der IKT-Minimalstandard erfüllt werden muss. Die IT arbeitet engagiert, ist aber mit dem Tagesgeschäft ausgelastet. Die Geschäftsleitung geht davon aus, dass das Thema bereits «irgendwo in der IT» läuft. Dokumentation, Reporting und klare Zuständigkeiten fehlen.

Erst als intern eine Person aus der Geschäftsleitung die Rolle des «Kümmerers» übernimmt, kommt Bewegung ins Thema. Gemeinsam werden die Anforderungen erfasst, interne Richtlinien festgelegt und ein einfacher Reporting-Rhythmus aufgebaut. Gleichzeitig werden Mitarbeitende sensibilisiert und Risiken regelmässig überprüft.

Das Resultat ist nicht Perfektion auf Knopfdruck. Aber die Organisation gewinnt Struktur, Überblick und Verbindlichkeit. Genau das macht den Unterschied zwischen formaler Pflicht und wirksamer Umsetzung.

Mein Experten-Tipp

Der IKT-Minimalstandard ist kein Selbstzweck. Er zwingt Organisationen dazu, Cybersecurity ernst zu nehmen, und bietet gleichzeitig die Chance, Prozesse zu professionalisieren und Vertrauen aufzubauen.

Der erste konkrete Schritt ist einfach: Klären Sie noch diese Woche, wer in Ihrer Organisation die Rolle des «Kümmerers» übernimmt.

Wenn Sie den IKT-Minimalstandard nicht nur formal erfüllen, sondern praxistauglich in Ihrer Organisation verankern wollen, lohnt sich ein klarer Blick auf Verantwortlichkeiten, Prioritäten und nächste Schritte.

Häufig gestellte Fragen

Was ist der IKT-Minimalstandard in einfachen Worten?
Der IKT-Minimalstandard ist ein verbindlicher Rahmen, der Organisationen hilft, ihre Informations- und Cybersicherheit strukturiert umzusetzen und nachweisbar zu steuern.

Warum reicht es nicht, wenn nur die IT sich darum kümmert?
Weil es nicht nur um Technik geht. Es geht auch um Verantwortung, Governance, Risikomanagement und Entscheidungen, die in die Geschäftsleitung gehören.

Wer sollte die Rolle des «Kümmerers» übernehmen?
Das hängt von der Organisation ab. Häufig liegt diese Rolle beim CFO, CIO oder Legal, wenn kein CISO vorhanden ist. Entscheidend ist die Verankerung im C-Level.

Was ist der grösste Nutzen einer sauberen Umsetzung?
Neben Compliance gewinnen Sie mehr Sicherheit, klarere Prozesse und mehr Vertrauen bei Kunden, Partnern und Aufsichtsbehörden.