OHNE ZERTIFIKATSDRUCK

ISMS-Light als Einstieg

Für KMU ohne akuten Zertifikatsdruck: ein schlankes Informationssicherheits-Management auf Basis bewährter Standards — risikobasiert, budgetbewusst und später ausbaubar.

ISO-27001-Lead-Auditoren · 40+ KMU-Mandate · TISAX® & NIS2-Erfahrung · seit 2018

ISMS-Light in 3 Punkten

Schlank starten

Risiken, Zugriffe, Backup, Incident-Prozess, Awareness und Lieferanten-Basics fokussiert aufbauen.

Nachvollziehbar bleiben

Entscheidungen, Massnahmen und Verantwortlichkeiten dokumentieren — ohne Vollprojekt.

Später ausbaubar

Wenn Kundendruck entsteht, kann ISMS-Light Richtung ISO 27001, TISAX® oder NIS2 erweitert werden.

schlank · risikobasiert · budgetbewusst · ausbaubar

WARUM JETZT

Informationssicherheit: von der Kür zur Pflicht.

Der smarte Einstieg in die Resilienz

Externer Druck als Treiber

Versicherer, Kunden und das revDSG fordern nachweisbare Sicherheit. Gleichzeitig nehmen Cyber-Bedrohungen für alle Unternehmen zu.

Vom Reagieren zum Agieren

Statt nur auf Vorfälle zu reagieren, steuern Sie Risiken proaktiv. Ein pragmatisches ISMS macht Ihre Compliance nachvollziehbar – ohne den Aufwand einer Voll-Zertifizierung.

Heute erfüllen, für morgen

Sie erfüllen nicht nur die aktuellen Anforderungen, sondern schaffen auch das Fundament.

ISMS-Light: Pragmatische Sicherheit mit System – Ihr Sprungbrett für Zertifizierungen wie ISO 27001 oder TISAX

IST DAS IHR WEG

ISMS-Light für KMU — passt das zu Ihnen?

Drei Fragen ehrlich beantworten — und Sie wissen, ob ISMS-Light die richtige Stufe für Ihr Unternehmen ist.

KEIN ZERTIFIKATSDRUCK

Strukturiert, nicht zertifiziert

Sie haben (noch) keinen OEM- oder Konzern-Druck zu ISO 27001 oder TISAX — aber Versicherer, revDSG oder Eigeninteresse drängen auf Struktur?

BEGRENZTER AUFWAND

10–15 statt 50 PT

Sie haben nicht 30–50 Personentage internen Aufwand für eine Zertifizierung — aber wollen ein gelebtes Sicherheits-System statt loser Massnahmen?

OPTIONALER UPGRADE

Heute Light, später ISO?

ISO 27001 als spätere Option realistisch — aber jetzt zu früh? Sie wollen die Basis legen, ohne sich auf Zertifizierung festzulegen?

Dreimal Ja? Dann ist ISMS-Light die richtige Stufe — strukturiert, schlank, später ausbaubar.

WAS IST ISMS-LIGHT

Auf einem Standard aufsetzen — selbst entscheiden, was greift.

Das ist gelebtes ISMS in seiner ursprünglichen Form: Anerkannter Standard als Anker, risikobasierte Auswahl der Anforderungen, keine externe Audit-Pflicht.

STANDARD-ANKER

Auf Bewährtem aufsetzen

Anerkannter Standard (ISA, ISO 27001, BSI Grundschutz) als methodische Grundlage. Sie folgen einem System mit nachgewiesenen Vorteilen — kein Selbstgebasteltes.

GELEBT

Wie ein „echtes" ISMS

Risikomanagement, Schulungen, Reviews, kontinuierliche Verbesserung. Die ISMS-Substanz bleibt — ohne formale Audit-Pflicht und Dokumentations-Vollkost.

SELBSTBESTIMMT

Freie Wahl der Anforderungen

Sie entscheiden risikobasiert, welche Anforderungen greifen — und dokumentieren die Auswahl. Schlank, aber methodisch sauber. Keine Vollkost-Vorgabe.

TRADE-OFF : Vorteil: Schlankheit, Schnelligkeit, kein Audit-Druck. Nachteil: Nicht zertifizierbar — Kunden mit Zertifikats-Anforderung akzeptieren es nicht.

ANKER : ISMS-Light orientiert sich an anerkannten Standards (ISA seit V6, ISO 27001, BSI Grundschutz) — bleibt aber bewusst schlank und kann später zu einer Zertifizierung ausgebaut werden.

EINORDNUNG

ISMS-Light vs. ISO 27001 — beide fahren, andere Strecke.

Beides sind vollwertige Sicherheitssysteme. Die Frage ist nicht, was ‚besser‘ ist, sondern was für Ihr Ziel und Ihr Budget passt

INTERNE EFFIZIENZ & COMPLIANCE

ISMS-Light

Der zuverlässige Geschäftswagen für den Alltag.

PASST ZU

30–200 MA ohne externen Zertifizierungs-Druck
Versicherer / revDSG als Haupttreiber
10–15 PT Budget über 3 Monate
Offen für späteren ISO-Upgrade

EHER NICHT

Wenn OEM, Konzern oder regulierte Branche das Zertifikat fordert.

KUNDEN-NACHWEIS

ISO 27001

Der repräsentative Dienstwagen für das internationale Geschäft.

PASST ZU

Ausschreibungen mit Zertifikats-Pflicht
OEM, Konzern oder Großkunde fordert ISO 27001
Finanzsektor, Gesundheit, KRITIS
30–50 PT Budget über 6 Monate

EHER NICHT

Wenn kein externer Druck — Overhead ohne klaren Mehrwert.

Der Geschäftswagen bringt Sie sicher durch den Alltag – der repräsentative Dienstwagen sichert oder verschafft Ihnen Zugang zu sicherheitsbewuusten Märkten.

NUTZEN

Sicher im Alltag: Drei Vorteile, die sich direkt auszahlen

Was ISMS-Light für Ihr Unternehmen konkret bewirkt — mit indikativen Grössenordnungen aus der Praxis. Werte streuen je nach Reife, Branche und Komplexität.

Versicherung

Bessere Konditionen

Cyber-Versicherer honorieren ein gelebtes ISMS mit deutlich besseren Konditionen. Sie reduzieren nicht nur die Prämie, sondern auch kritische Ausschlüsse.

Prämie −5 bis −20 %

Compliance-Grundlagen

Weniger Angriffsflàche

Sie erfüllen zentrale Pflichten (z.B. revDSG, Kunden-/ NIS2-Vorbereitung) und reduzieren proaktiv Ihre Haftungs- und Angriffsfläche. Das schafft eine solide Compliance-Grundlage.

3–5 Pflichten abgedeckt

Steuerungsfähigkeit

Sie steuern Risiken und Maßnahmen aktiv, statt im Blindflug zu agieren. Das Management kennt den Status, Mitarbeiter ihre Rolle. Das Ergebnis: Weniger Vorfälle, weniger Kosten.

Vorfälle −30 bis −60 %

Die Rendite von ISMS-Light ist kein Zertifikat an der Wand, sondern echtes Geld auf dem Konto.

INHALT

Acht Bausteine für ein KMU-ISMS — pragmatisch verdichtet.

Die Themen, die jedes KMU strukturiert haben sollte. Schlanker als ISO 27001 Annex A — aber strukturell anschlussfähig.

Risiko-Inventur

Was ist schützenswert? Wo brennt es? Eine kompakte Risiko-Übersicht statt formales Risikoregister.

Patches & Schwachstellen

Updates, Vulnerability-Basics, Asset-Inventar. Was nicht aktuell ist, wird verwaltet.

Lieferanten-Basics

NDA, Sicherheits-Anforderungen, Datenschutz-Vertrag (AVV). Externe absichern.

Backup & Wiederanlauf

Was passiert bei Ausfall? Pragmatische BCM-Grundlage — regelmäßig getestet, nicht nur dokumentiert.

Awareness

Phishing-Schulungen, Sensibilisierung, klare Verhaltensregeln für Mitarbeitende.

Incident-Prozess

Vorfall erkennen, melden, dokumentieren. Eskalationspfade definiert — nicht improvisiert.

Zugang & Berechtigungen

Wer darf was? MFA für kritische Systeme, rollenbasierte Rechte, Austritts-Prozess.

Reviews & Verbesserung

Mindestens jährlich: Was hat funktioniert? Wo nachjustieren? Dokumentierte Schleife.

VERHÄLTNIS ZU ISO 27001 : Diese acht Bausteine decken ca. 60–70 % der ISO-27001-Annex-A-Themen ab — ohne den vollen Management-System-Overhead.

STANDARD-ANKER

ISA-Modul Informationssicherheit — fokussiert statt offen.

Das Informationssicherheits-Modul des ISA-Katalogs (seit V6 ohne VDA-Präfix) folgt strukturell ISO 27001 Annex A — branchenneutral nutzbar. Drei Eigenschaften machen es zum fokussierten Einstieg.

ENGERE GUIDANCE

Klare Schutzziele pro Control

Jedes Control hat ein explizites Schutzziel — kein offener Annex-A-Satz. Sie wissen sofort, *wozu* die Massnahme dient. Die „Brauchen wir das?“-Diskussion entfällt.

VORSELEKTION

Muss-Spalte schneidet Diskussion ab

Pro Control sind die Pflicht-Anforderungen ausgewiesen. Das ist der Mindeststandard — nicht verhandelbar, optional steigerbar. Fokus statt Endlos-Auswahl.

SCHNELLER START

Fokussiert aufsetzen, später steigern

Mit Muss-Anforderungen sofort umsetzbar — kein Reifegrad-Diskussions-Marathon vor dem ersten Schritt. Steigerung folgt im Reifegrad-Zyklus, wenn die Basis steht.

BEISPIELE : Authentifizierung: „MFA für privilegierte Konten“ statt „angemessene Authentifizierung“. Backup: „3-2-1-Regel mit getestetem Restore“ statt „angemessene Datensicherung“.

WICHTIG : ISMS-Light nutzt das Modul Informationssicherheit als Vorlage. Das offizielle TISAX®-Label setzt eine externe Prüfung (AL2/AL3) plus ggf. Zusatzmodule voraus.

WEG ZUM ISMS-LIGHT

Drei Phasen — typisch 3 Monate, 10–15 PT intern.

Von der ersten Risikoinventur zum gelebten ISMS-Light. Schlanker Pfad — kein Audit-Stress, dafür schnell wirksam.

PHASE

Standortbestimmung

Schützenswerte Assets erfassen
Risiko-Inventur (10–15 Top-Risiken)
ISA-AL1 Self-Check als Gap-Analyse
Priorisierte Massnahmen-Liste

3–4 Wochen

PHASE

Aufbau

Kernmassnahmen umsetzen (MFA, Backup, Notfall-Reaktion)
Pragmatische Dokumentation (10–15 Seiten)
Awareness-Kick-off mit Mitarbeitenden
Verantwortlichkeiten und Reviews etablieren

4–6 Wochen

PHASE

Heute Light, später ISO?

Vierteljährliche Status-Reviews
Incident-Erfassung im Alltag
Jährliche Risiko-Aktualisierung
Bei Bedarf: Upgrade-Pfad ISO 27001

laufend

INVESTITION

Intern 10–15 Personentage über 3 Monate · Externe Begleitung 3–5 Tage · typisch CHF 12'000–25'000 bei KMU bis 100 Mitarbeitenden — abhängig von Reife und Komplexität.

WENN ZERTIFIZIERUNG KOMMT

ISMS-Light ist keine Sackgasse — sondern Stufe 1.

Wenn später Zertifizierung gewünscht oder gefordert wird, baut ISO 27001 auf den ISMS-Light-Bausteinen auf. Keine Doppelarbeit, klarer Pfad.

STUFE 1

ISMS-Light

Was Sie bereits aufgebaut haben

Risiko-Inventur und Massnahmen-Logik
Zugang, Backup, Patches, Incidents — gelebt
Awareness und Lieferanten-Basics
Dokumentation und Review-Zyklus
Geschäftsleitung kennt Sicherheits-Status

STUFE 2

ISO 27001

Was zusätzlich kommt

Formales Management-System (Norm-Kap. 4–10)
Anwendbarkeits-Erklärung (Statement of Applicability)
Alle 93 Sicherheits-Massnahmen bewertet — auch ausgeschlossene
Internes Audit und Management-Review
Externes Audit durch akkreditierte Zertifizierungsstelle

ÜBERGANG

Typisch 3–4 Monate. Die ISMS-Light-Basis bleibt — ergänzt um formale Dokumentation und externes Audit. Keine Doppelarbeit.

HÄUFIGE FRAGEN

FAQ: Kosten, Dauer, Abgrenzung — kompakt beantwortet.

Sechs Fragen, die im Erstgespräch zu ISMS-Light immer wieder auftauchen — kompakt beantwortet, ohne Beratungsfloskeln.

Was ist der Unterschied zwischen ISMS-Light und ISO 27001?

ISMS-Light hat die Substanz (Risiken, Massnahmen, Reviews) — ohne formales Management-System, SoA und Audit-Druck. Schlanker, schneller, nicht zertifizierbar.

Kann ich später auf ISO 27001 wechseln?

Ja, ohne Doppelarbeit. ISMS-Light-Bausteine bleiben. Ergänzt werden formale Dokumentation und externes Audit. Übergang typisch 3–4 Monate.

Akzeptieren Versicherer ein ISMS-Light?

Die meisten Cyber-Versicherer akzeptieren strukturierte ISMS als Risiko-Nachweis — auch ohne Zertifikat. Konditionen und Ausschlüsse fallen typisch günstiger aus.

Wie viele Personentage brauche ich intern?

Typisch 10–15 Personentage bei KMU bis 100 Mitarbeitenden über 3 Monate. Verteilt auf Geschäftsleitung, IT-Verantwortliche und Schlüssel-Personen aus den Fachbereichen.

Was kostet ISMS-Light mit externer Begleitung?

Typisch CHF 12’000–25’000 bei KMU bis 100 Mitarbeitenden — abhängig von Reife und Komplexität. Faktor 4–6 günstiger als ISO 27001 mit Zertifizierung.

Brauche ich für ISMS-Light einen externen Auditor?

Nein. ISMS-Light ist nicht zertifizierungspflichtig. Wer Validierung wünscht, kann freiwillig eine TISAX-AL1-Self-Assessment durchführen — branchenneutral nutzbar.