IKT-Minimalstandard: Was er fordert und wie KMU den ersten Schritt machen

Cybersicherheit ist kein Thema mehr, das nur Grossunternehmen betrifft. Mit der verpflichtenden Einführung des IKT-Minimalstandards für Betreiber kritischer Infrastrukturen in der Schweiz stehen auch viele KMU – insbesondere in der Energie- und Industriebranche – vor einer klaren regulatorischen Realität. Wer die Anforderungen nicht erfüllt, riskiert nicht nur einen Cybervorfall, sondern auch rechtliche Konsequenzen und den Verlust wichtiger Geschäftsbeziehungen. Dieser Beitrag erklärt, was der IKT-Minimalstandard konkret bedeutet, wen er betrifft und was Sie als Geschäftsführerin, IT-Leiter oder Verwaltungsrat heute schon tun können.

Was ist der IKT-Minimalstandard – und woher kommt er?

Der IKT-Minimalstandard wurde vom Bundesamt für wirtschaftliche Landesversorgung (BWL) in Zusammenarbeit mit weiteren Bundesstellen entwickelt. Er basiert auf dem NIST Cybersecurity Framework, einem international anerkannten Rahmenwerk für Informationssicherheit, und wurde auf die Schweizer Verhältnisse angepasst.

Das Ziel ist klar: Unternehmen, die für die Gesellschaft wichtige Dienstleistungen erbringen, sollen ein Mindestniveau an IT-Sicherheit nachweisen können. Der Standard beschreibt dabei nicht, welche Technologien eingesetzt werden müssen, sondern welche Fähigkeiten und Prozesse vorhanden sein sollen. Das macht ihn flexibel – aber auch interpretationsbedürftig.

Wen betrifft der IKT-Minimalstandard in der Schweiz?

Direkt verpflichtet sind Betreiber kritischer Infrastrukturen: Energieversorger, Wasserversorgung, Gesundheitswesen, Transport und weitere Sektoren, die für das Funktionieren der Gesellschaft essenziell sind. Für diese Unternehmen ist die Einhaltung des Standards keine Empfehlung – sie ist Pflicht.

Für andere KMU gilt: Der Standard ist zwar nicht gesetzlich vorgeschrieben, aber er wird zunehmend zur faktischen Anforderung. Grossabnehmer in der Industrie verlangen von ihren Lieferanten Nachweise über Informationssicherheit. Versicherungen stellen bei Cyberpolizzen ähnliche Fragen. Und Banken sowie Investoren schauen genauer hin, ob ein Unternehmen seine digitalen Risiken im Griff hat.

Kurz: Wer heute nicht vorbereitet ist, gerät morgen unter Druck – ob durch Regulierung, Kundenforderungen oder einen Vorfall.

Die 5 Bereiche des IKT-Minimalstandards – verständlich erklärt

Der Standard gliedert sich in fünf Funktionsbereiche, die aufeinander aufbauen:

Identifizieren
Bevor Sie irgendetwas schützen können, müssen Sie wissen, was Sie haben. Welche Systeme, Daten und Prozesse sind für Ihr Unternehmen kritisch? Wer hat Zugriff auf welche Informationen? Diese Bestandsaufnahme ist der Ausgangspunkt jeder sinnvollen Sicherheitsstrategie.

Schützen
Hier geht es um technische und organisatorische Massnahmen: Zugriffskontrollen, regelmässige Software-Updates, sichere Passwortrichtlinien, verschlüsselte Kommunikation und die Schulung von Mitarbeitenden. Schutz bedeutet nicht, alles abzuriegeln, sondern die richtigen Türen zu schliessen.

Erkennen
Viele Cyberangriffe bleiben wochenlang unbemerkt. Wer nicht aktiv überwacht, erfährt von einem Einbruch oft erst dann, wenn der Schaden bereits angerichtet ist. Überwachungssysteme, Protokollierung und klare Meldewege sind hier entscheidend.

Reagieren
Was passiert, wenn trotz aller Schutzmassnahmen ein Vorfall eintritt? Ein dokumentierter Notfallplan, klare Verantwortlichkeiten und geübte Abläufe entscheiden darüber, ob ein Unternehmen einen Angriff kontrolliert bewältigt oder im Chaos versinkt.

Wiederherstellen
Nach einem Vorfall zählt jede Stunde. Regelmässige, getestete Datensicherungen und definierte Wiederherstellungsprozesse sind die Grundlage dafür, dass ein Unternehmen nach einem Angriff oder Ausfall schnell wieder arbeitsfähig ist.

Welche Lücken zeigen sich in KMU am häufigsten?

In der Praxis zeigen sich immer wieder dieselben Schwachstellen – nicht weil Unternehmen nachlässig wären, sondern weil IT-Sicherheit im Alltag zwischen Tagesgeschäft, Ressourcenmangel und fehlender Priorisierung untergeht.

Die häufigsten Lücken:

• Keine aktuelle Übersicht der IT-Systeme, Zugriffsrechte und Verantwortlichkeiten

• Datensicherungen vorhanden, aber nie auf Wiederherstellbarkeit getestet

• Kein definierter Ansprechpartner für den Ernstfall

• Mitarbeitende wissen nicht, wie und wo sie einen Sicherheitsvorfall melden sollen

• Fehlende Dokumentation, die bei einem Audit oder einer Versicherungsanfrage vorgelegt werden könnte

Diese Lücken sind behebbar – aber nur, wenn man weiss, wo man steht.

Praxisbeispiel: Vom Ist-Zustand zur Handlungsfähigkeit

Ein Unternehmen mit rund 80 Mitarbeitenden stand vor der Frage, ob es die Anforderungen des IKT-Minimalstandards erfüllt. Die IT wurde von einem kleinen Team betreut, das primär mit dem Betrieb der Systeme ausgelastet war. Eine strukturierte Sicherheitsstrategie fehlte.

Im Rahmen eines Gap-Assessments wurden die fünf Bereiche des Standards systematisch überprüft. Das Ergebnis: In den Bereichen «Identifizieren» und «Wiederherstellen» bestanden die grössten Lücken. Es gab keine vollständige Inventarliste der IT- und OT-Systeme, und die Datensicherungsprozesse waren zwar vorhanden, aber nie getestet worden.

Innerhalb von drei Monaten wurden die kritischsten Massnahmen umgesetzt: eine Systemübersicht erstellt, Sicherungstests durchgeführt und ein einfacher Notfallplan dokumentiert. Das Unternehmen war damit nicht zertifiziert – aber handlungsfähig und nachweisbar auf dem richtigen Weg.

Was Sie heute konkret tun können

Der erste Schritt muss kein grosses Projekt sein. Drei Massnahmen, die Sie sofort angehen können:

1. Bestandsaufnahme: Listen Sie Ihre kritischen IT-Systeme und Zugriffsrechte auf. Wer hat Zugriff auf was – und warum?

2. Sicherungstest: Prüfen Sie, ob Ihre Datensicherungen aktuell sind und ob Sie im Ernstfall tatsächlich darauf zurückgreifen können.

3. Verantwortlichkeit klären: Bestimmen Sie eine Person, die im Ernstfall die Koordination übernimmt, und kommunizieren Sie das intern.

Diese drei Schritte kosten keine grossen Ressourcen, aber sie schaffen Klarheit. Und Klarheit ist der Anfang jeder wirksamen Sicherheitsstrategie.

Der IKT-Minimalstandard als Orientierungsrahmen

Der IKT-Minimalstandard ist kein bürokratisches Hindernis. Er ist ein strukturierter Rahmen, der Ihnen hilft, die richtigen Fragen zu stellen und die richtigen Prioritäten zu setzen. Wer heute damit beginnt, ist morgen besser aufgestellt – regulatorisch, operativ und gegenüber Kunden und Partnern.

Der erste Schritt ist eine ehrliche Bestandsaufnahme. Alles andere baut darauf auf.

Jetzt handeln: IKT-Minimalstandard-Check anfragen

Möchten Sie wissen, wo Ihr Unternehmen beim IKT-Minimalstandard steht? Ich biete einen strukturierten Check an, der Ihnen in kurzer Zeit einen klaren Überblick gibt – ohne Fachjargon, ohne unnötigen Aufwand.

Jetzt IKT-Minimalstandard-Check anfragen

Häufig gestellte Fragen zum IKT-Minimalstandard

Ist der IKT-Minimalstandard für alle Schweizer Unternehmen verpflichtend?
Nein. Direkt verpflichtet sind Betreiber kritischer Infrastrukturen wie Energieversorger oder Gesundheitseinrichtungen. Für andere KMU ist er zwar nicht gesetzlich vorgeschrieben, wird aber zunehmend zur faktischen Anforderung – etwa durch Kundenforderungen, Versicherungen oder Banken.

Was ist der Unterschied zwischen dem IKT-Minimalstandard und ISO 27001?
Der IKT-Minimalstandard ist ein schlanker Einstiegsrahmen, der auf dem NIST Cybersecurity Framework basiert und auf Schweizer Verhältnisse zugeschnitten ist. ISO 27001 ist ein internationaler Zertifizierungsstandard mit höheren Anforderungen an Dokumentation und Prozesse. Beide ergänzen sich – der IKT-Minimalstandard ist oft der sinnvolle erste Schritt.

Wie lange dauert es, die Anforderungen des IKT-Minimalstandards zu erfüllen?
Das hängt vom Ausgangszustand ab. Erfahrungsgemäss können die kritischsten Lücken in einem KMU innerhalb von drei bis sechs Monaten geschlossen werden – vorausgesetzt, es gibt klare Prioritäten und eine strukturierte Vorgehensweise.

Was passiert, wenn ein Unternehmen die Anforderungen nicht erfüllt?
Für verpflichtete Betreiber kritischer Infrastrukturen drohen rechtliche Konsequenzen. Für andere KMU sind die Risiken eher indirekt: Verlust von Aufträgen, Probleme bei Versicherungsabschlüssen oder ein schlechtes Bild bei Audits durch Grossabnehmer.