Ein wichtiger Kunde hat den unterzeichneten Vertrag soeben mit einem unerwarteten Anhang zurückgeschickt: einem Sicherheitsfragebogen, und einem Satz, der Sophie B. im Hals stecken bleibt — «Auf welches Framework stützen Sie sich?» Als geschäftsführende Partnerin einer Treuhandgesellschaft schützt sie täglich hochsensible Lohn- und Buchhaltungsdaten. Doch diese drei Kürzel, NIST, ISO, CIS, sagen ihr nichts Genaues. Muss sie wirklich wählen? Und wenn ja, welches?
Ein Cybersecurity-Framework wählen, ohne den falschen Berg zu besteigen
Beginnen wir mit dem Wort, das einschüchtert. Ein Cybersecurity-Framework ist weder eine Software noch ein Zertifikat: Es ist eine Landkarte. Eine geordnete Liste bewährter Praktiken, die Ihnen sagt, worauf Sie achten müssen und in welcher Reihenfolge, um Ihr Unternehmen zu schützen. Mehr nicht. Man kann es wie einen Kompass nutzen, ohne je einen offiziellen Stempel anzustreben — und man muss kein IT-Fachmann sein, um davon zu profitieren.
Drei Namen tauchen fast immer auf. Die gute Nachricht: Sie konkurrieren nicht miteinander. Sie beantworten drei verschiedene Bedürfnisse.
NIST CSF 2.0 — der Kompass zum Verstehen
NIST CSF 2.0 (das Cybersecurity Framework der US-Normungsbehörde NIST) ist das pädagogischste der drei. Es ordnet die gesamte Sicherheit in sechs einfache Funktionen: Steuern, Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen. Anders gesagt: wer entscheidet, was Sie besitzen, wie Sie sich schützen, wie Sie ein Problem erkennen, wie Sie reagieren, wie Sie wieder auf die Beine kommen. Es ist freiwillig, flexibel und ohne technisches Vorwissen lesbar. Für Sophie B. ist es das ideale Werkzeug, um offen zu klären: «Wo stehen wir eigentlich?», ohne sich im Detail zu verlieren.
ISO/IEC 27001:2022 — die Sprache der grossen Auftraggeber
ISO/IEC 27001:2022 ist eine internationale Norm, die beschreibt, wie man ein Informationssicherheits-Managementsystem (ISMS) aufbaut — schlicht gesagt eine dauerhafte Organisation zur Steuerung der Sicherheit, nicht nur eine punktuelle Liste von Massnahmen. Ihre Besonderheit: Sie kann zu einer weltweit anerkannten Zertifizierung führen, die von einer unabhängigen Stelle ausgestellt wird. Es ist die Referenz, die grosse Gruppen und Auditoren sprechen. Sie verlangt ein langfristiges Engagement und lässt sich nicht in einer Woche aus dem Boden stampfen. Doch auch ohne das Zertifikat anzustreben, dient sie als nützlicher Massstab: «Decken wir das ab, was diese Norm für wichtig hält?»
CIS Controls — der Werkzeugkasten, der schnell handelt
Die CIS Controls (herausgegeben vom Center for Internet Security, einer gemeinnützigen Organisation) sind die konkretesten der drei. Es ist eine priorisierte Liste von Massnahmen, von der nützlichsten bis zur feinsten, mit — gute Nachricht — einer ersten Gruppe, die für kleine Strukturen gedacht ist. Man beginnt mit den Handlungen, die das Risiko am stärksten senken: wissen, was man besitzt, Zugänge schützen, richtig sichern. Für ein KMU ohne eigenen IT-Fachmann ist das oft der beste Ausgangspunkt, noch bevor von einer Norm oder einem Zertifikat die Rede ist.
Und für ein Dienstleistungs-KMU, ganz konkret?
Eine Treuhandgesellschaft wie die von Sophie B. hat keine interne IT-Abteilung und verarbeitet äusserst sensible Daten. In dieser Lage sieht der realistischste Weg so aus: mit CIS-artigen Prioritätsmassnahmen beginnen, um das Risiko rasch zu senken, NIST CSF 2.0 als Landkarte nutzen, um die Überlegung zu ordnen und Kunden zu antworten, und ISO 27001 als mittelfristiges Ziel behalten — für den Tag, an dem ein Kunde es zur Bedingung macht. Was sich nie ändert: Das Schweizer Recht bleibt die Grundreferenz, welches Framework Sie auch wählen.
Was Sie mitnehmen sollten
Drei Gedanken, wenn Sie in Sophie B.s Lage sind.
- Ein Framework ist keine Prüfung, sondern eine Landkarte. Keines der drei «zertifiziert», dass Sie sicher sind. Sie zeigen den Weg; gehen müssen Sie ihn selbst. Cyber Passport formuliert es genauso: Wir strukturieren eine Selbsteinschätzung, wir vergeben kein Label.
- Sie müssen nicht ein für alle Mal «das richtige» wählen. Die drei lassen sich sehr gut kombinieren: CIS, um schnell zu handeln, NIST CSF, um zu ordnen und über «Posture» zu sprechen, ISO 27001 für den Tag, an dem ein Kunde es verlangt. Viele Schweizer KMU beginnen mit CIS-Massnahmen und behalten die ISO als Horizont.
- In der Schweiz ist das erste Framework weder amerikanisch noch ISO: Es ist das Gesetz. Das revDSG (das revidierte Datenschutzgesetz, in Kraft seit September 2023) erwartet eine Sicherheit, die den Daten «angemessen» ist, die Sie halten. Für eine Treuhandgesellschaft ist das Kompass Nummer eins. Die EU-DSGVO kommt nur hinzu, wenn Sie Daten von Personen in der Europäischen Union verarbeiten.
Schritte für diese Woche
1. Fragen Sie «warum», bevor Sie «welches» fragen
Bevor Sie Kürzel vergleichen, schreiben Sie in einem Satz auf, warum die Frage überhaupt aufkommt. Ein Kunde, der Sie prüft? Eine revDSG-Sorge um die Daten, die Sie aufbewahren? Schlicht der Wunsch, ruhig zu schlafen? Die Antwort weist Ihnen den Rahmen weit besser als eine Vergleichstabelle. Ein «einen Kunden beruhigen»-Bedürfnis neigt zum ISO-27001-Vokabular; ein «Ordnung schaffen»-Bedürfnis neigt zu NIST CSF; ein «sofort handeln»-Bedürfnis neigt zu CIS.
2. Machen Sie einen ersten Durchgang durch die wichtigsten Massnahmen
Ohne einen vollständigen Aktionsplan auszurollen, gönnen Sie sich eine halbe Stunde, um die Grundlagen im Geiste abzuhaken, im Sinne der ersten CIS-Massnahmen. Wissen Sie, welche Werkzeuge und Konten bei Ihnen tatsächlich bestehen? Ist die Zwei-Faktor-Authentifizierung (ein zweiter Nachweis zusätzlich zum Passwort, etwa ein Code aufs Telefon) überall dort aktiv, wo es zählt? Wurden Ihre Sicherungen bereits durch eine Wiederherstellung getestet? Es sind auch die Schritte, die das BACS (das Bundesamt für Cybersicherheit, die Schweizer Referenz für KMU) hervorhebt: mit dem Konkreten beginnen statt mit der Theorie. Drei solide «Ja» sind mehr wert als eine zur Schau gestellte Norm.
3. Lernen Sie, dieselbe Sprache wie Ihre Kunden zu sprechen
Wenn ein Auftraggeber nach «Ihrem Framework» fragt, will er vor allem beruhigt werden. Notieren Sie in seinen eigenen Worten, was Sie bereits tun: Zugangskontrolle, Schutz der Arbeitsplätze, Umgang mit Vorfällen. NIST CSF 2.0 liefert dafür ein kostenloses, lesbares Vokabular; ISO 27001 dient als Massstab, um zu prüfen, dass nichts Wichtiges fehlt. Sie brauchen kein Zertifikat, um ehrlich zu antworten — Sie brauchen ein klares Bild davon, wo Sie stehen.
Wo stehen Sie wirklich?
Ein Cybersecurity-Framework zu wählen ist weniger eine Frage des «welches» als des «wo stehe ich, und welchen Anforderungen gegenüber?». Genau das leistet eine Selbsteinschätzung über mehrere Frameworks: Sie betrachtet Ihre Organisation durch mehrere Rahmen zugleich — das revDSG, ISO 27001, NIST CSF — und zeigt Ihnen Frage für Frage, was solide ist und was noch auf Vertrauen beruht.
Cyber Passport zertifiziert nichts und verspricht keine Konformität: Die Plattform erstellt eine strukturierte Selbsteinschätzung, teilbar mit einem Kunden oder einem Auditor, die diese drei einschüchternden Buchstaben in konkrete Entscheidungen übersetzt. Der zugehörige Blueprint hilft Ihnen anschliessend zu priorisieren — was, wer, welcher Aufwand — ohne Fachjargon.
Das ist oft der wahre erste Schritt, und der beruhigendste: Es geht nicht darum, auf Anhieb den richtigen Berg zu wählen, sondern zu wissen, auf welchem Hang Sie bereits stehen und welcher Weg am schnellsten hinaufführt. Das Framework folgt dann fast von selbst.
