Executive Summary – die Entscheidungsgrundlage in einer Minute
Kurz gesagt: ISO 27001 wird als Informationssicherheitsmanagementsystem bezeichnet, kurz ISMS, lohnt sich spätestens dann, wenn Informationssicherheit im Vertrieb, in Ausschreibungen oder in Lieferketten nicht mehr erklärt, sondern formal nachgewiesen werden muss.
- Zielgruppe: Schweizer KMU mit 20–500 Mitarbeitenden, für die ein belastbarer Sicherheitsnachweis Marktzugang oder Ausschreibungen beeinflusst.
- Motivation: meist gezwungen, manchmal gebrannt, selten überzeugt. Mehr dazu https://wollconsulting.ch/services/
- Nutzen: leitet sich direkt aus der Motivation ab – Aufträge sichern, Sicherheitsfragebögen reduzieren, Sales-Zyklen verkürzen, Sorgfalt belegen odr Risiken besser steuern.
- Investition: überwiegend Personalressourcen; die belastbare Abschätzung liefert die unternehmensspezifische Standortbestimmung / Gap-Analyse.
- Initialaufwand: der Grossteil ist einmaliger Aufwand – einmal den Berg erklimmen. Oben angekommen läuft das ISMS mit moderatem Jahresaufwand weiter.
- Challenge: Es steht und fällt mit der Verfügbarkeit Ihrer ohnehin knappen Spezialisten – insbesondere in der IT.
• Strategie: enger, ehrlicher Scope; straff geführtes Managementprojekt; externe Expertise dort einsetzen, wo sie Lernkurve und Nacharbeitsrisiko senkt.
1. Der Nutzen – was es bringt
Das Zertifikat an der Wand ist nicht der Nutzen. Wertvoll sind die Effekte im Geschäft:
- Marktzugang: formaler Nachweis für Ausschreibungen, Grosskunden und Lieferketten – Zugang zu Aufträgen, die ohne Nachweis gar nicht zustande kommen.
- Vertrieb: weniger individuelle Sicherheitsfragebögen, weniger Rückfragen und dadurch kürzere Sales-Zyklen.
- Governance: klare Zuständigkeiten, dokumentierte Sorgfalt und nachvollziehbare Steuerung von Informationssicherheitsrisiken – relevant mit Blick auf revDSG und, bei EU-Bezug, NIS2.
Der Nutzen bemisst sich an der Alternative: Schon ein gesicherter Grossauftrag, eine verkürzte Sicherheitsprüfung oder ein verhinderter Vorfall kann die Ersteinführung wertmässig übersteigen.
2. Die Kosten – was KMU wirklich bindet
Bei einer ISO 27001-Erstzertifizierung im KMU-Umfeld entsteht der grösste Kostenblock durch die gebundene interne Arbeitszeit. Externer Cash-out fällt primär für Beratung und Zertifizierungsstelle an; wirtschaftlich entscheidend ist also der gesamte Personaleinsatz. In der Regel braucht es keine spezielle Compliance-Software; die Umsetzung erfolgt pragmatisch mit vorhandenen Tools. Ob zusätzliche technische Massnahmen nötig sind, hängt vom Ausgangszustand ab.
Das Zertifikat läuft in einem dreijährigen Zyklus mit jährlichen Überwachungsaudits; die Ersteinführung bleibt der grösste Aufwandstreiber.
2.1 Wo die Arbeit anfällt
ISO 27001 ist kein reines Dokumentationsprojekt, sondern ein Umsetzungs- und Nachweisprojekt. Grob verteilt sich die Last als Erfahrungswert auf Setup (~7 %), Design (~22 %), Umsetzung und Nachweise (~60 %) sowie internes und externes Audit (~11 %). Wer den Scope zu gross wählt, verlängert vor allem die Umsetzungs- und Nachweisphase.
Annex A umfasst 93 Controls; der Aufwand entsteht nicht durch das Abhaken der Liste, sondern durch die Entscheidung, welche Controls relevant sind, wie sie umgesetzt werden und wie ihre Wirksamkeit belegt wird.
Die Top-Aufwandstreiber sind:
- Scope: Je breiter der Geltungsbereich, desto mehr Controls, Nachweise und Schnittstellen. Ein bewusst eng geschnittener, aber ehrlicher Scope ist der stärkste Hebel.
- Reifegrad: Was bereits etabliert und dokumentiert ist, muss nicht neu gebaut, sondern nur belegt werden. Der Startpunkt entscheidet über einen Grossteil des Aufwands. Wir unterscheiden in vier Reifegrade R0, R1, R2 und R3 = reif.
- Komplexität: Schutzbedarf der Daten (Vertraulichkeit, Integrität, Verfügbarkeit – CIA), heterogene IT sowie regulatorische Zusatzanforderungen wie revDSG, NIS2, Kunden- und Konzernvorgaben erhöhen Abstimmungs- und Nachweisaufwand.
- Menge / Vielzahl: Zahl der Systeme, Lieferanten, Standorte und Mitarbeitenden treibt Inventarisierung, Risikoanalyse, Lieferantenprüfung und Schulung.
2.2 Aufwand und Kosten in zwei Cases
Durch das Zusammenspiel dieser Treiber resultiert ein sehr breites Aufwandsband; jede Zahl ohne Bewertung von Scope, Reifegrad und Komplexität wäre geraten. Dienstleister (20–50 MA) liegen meist am unteren Ende, während der Aufwand bei komplexeren KMU stark ansteigt.
Für eine Budgetierungsgrundlage Ihrer internen und externen Aufwände liefert unser Standort-Check / Gap-Analyse eine unternehmensspezifische Kostenschätzung.
Zur Orientierung zwei Erfahrungswerte – ein kleiner Dienstleister sowie, als Referenzfall aus der Mitte des Zielsegments, ein KMU mit rund 200 Mitarbeitenden (R1-Ausgangslage, max. 2 Standorte):
Case 1 – Dienstleister (20–50 MA)
Kleine Dienstleister liegen deutlich unter dem 200-MA-Referenzfall – weniger Assets, Schnittstellen, Lieferanten und Nachweisobjekte –, aber klar über einer reinen Pro-Kopf-Rechnung: Die Managementsystem-Basis bleibt auch bei kleinen Firmen bestehen. Richtwerte für die Umsetzung in Eigenregie (kurz DIY, Do It Yourself, ohne Berater) bis zum Erstzertifizierungsaudit, R1 als üblicher Startpunkt:
Interne Aufwände in Eigenregie (DIY)
| Startreifegrad | Ausgangslage | Aufwand bis Audit | vs. Greenfield |
|---|---|---|---|
| R0 – Greenfield | nichts etabliert – von Grund auf | ~125–215 PT | 100 % |
| R1 | vorhanden, aber undokumentiert | ~80–140 PT | ~65 % |
| R2 | dokumentiert, teilweise wirksam | ~40–75 PT | ~35 % |
Die Reifegrade R0–R3 sind ein internes Orientierungsmodell zur Aufwandsschätzung, keine formale ISO-Bewertungsskala. Die PT-Werte sind Erfahrungs- bzw. Annäherungswerte aus eigenen Mandaten, kein offizieller ISO-Benchmark. ISO/IEC 27006-1 normiert die Auditzeit der Zertifizierungsstelle, nicht den internen Umsetzungsaufwand.
Ein 20-MA-Dienstleister liegt im unteren Bereich: R0 ~125–160 PT, R1 ~80–105 PT, R2 ~40–55 PT.
Mit externer Begleitung sinkt der interne Aufwand typischerweise um rund ein Drittel; dazu kommen grob 10–30 externe PT. Die Zertifizierungsstelle für Stage 1 und Stage 2 wird separat offeriert – für kleine Dienstleister zusammen häufig 1,5–5,5 Audit-PT, je nach Grösse, Scope und Komplexität.
Nach dem Zertifikat fällt nur ein Bruchteil an: Der laufende Betrieb – internes Audit, Management-Review, Evidenz- und Risikopflege – liegt bei kleinen Dienstleistern erfahrungsgemäss bei rund 4–10 PT pro Jahr, dazu das jährliche Überwachungsaudit. Die grosse Zahl oben ist Initialaufwand, kein Jahresbudget.
Case 2 – KMU mit ~200 MA, komplexe Struktur
Interne Aufwände in Eigenregie (DIY)
| Startreifegrad | Ausgangslage | Aufwand bis Audit | vs. Greenfield |
|---|---|---|---|
| R0 – Greenfield | nichts etabliert – von Grund auf | ~300–380 PT | 100 % |
| R1 | vorhanden, aber undokumentiert | ~210–250 PT | ~65 % |
| R2 | dokumentiert, teilweise wirksam | ~100–120 PT | ~35 % |
Die Reifegrade R0–R3 sind bereits oben in Case 1 definiert. Auch hier ist der obige Wert Initialaufwand: Der laufende Betrieb liegt im Referenzfall bei rund 10–20 PT pro Jahr, plus jährliches Überwachungsaudit.
Die Aufrechterhaltung ist damit deutlich schlanker als die Ersteinführung.
Dieselben Zahlen in CHF
Bei rund CHF 700 pro PT (interner Vollkostensatz, Modellannahme), rein kalkulatorisch und ohne Cash-out:
- Case 1 (20–50 MA): R1-Korridor ~80–140 PT ≈ CHF 56’000–98’000; über alle Reifegrade grob CHF 28’000 bis 150’000.
- Case 2 (~200 MA): Referenzfall R1 ~230 PT ≈ CHF 161’000; Spanne CHF 77’000 (R2) bis CHF 238’000 (Greenfield).
Externe Beratung und die Zertifizierungsstelle (Stage 1 und Stage 2) sind Cash-out und werden separat offeriert.
2.3 Was sich mit einem Berater verändert – und rechnet er sich?
Ein Berater kann Methodik, Struktur und Steuerung übernehmen; Entscheide, gelebte Massnahmen und Evidenz bleiben bei Ihnen. Ein vollständiges Outsourcing ist deshalb nicht machbar.
Ein Berater reduziert nicht den Umfang der Norm, aber verkürzt den Weg zum Audit: weniger Leerlauf, weniger Fehlinterpretationen, weniger Nacharbeit. Struktur, Methode und Nachweislogik müssen nicht neu erfunden werden.
Was ein Berater konkret einbringt:
- Sachlich: Struktur – Projektsteuerung, ISMS-Architektur, Vorlagen, Termin- und Auditfahrplan.
- Fachlich: Know-how – Normauslegung, SoA-/Control-Auswahl, Risiko- und Nachweismethodik, Auditerwartung.
- Inhaltlich: Umsetzung – Übersetzung der Norm in Ihre Prozesse, Aufbau von Assets, Risiken und Nachweisen; frühes Aufdecken von Lücken.
- Operativ: Entlastung – internes Audit und Vorbereitung des Management Reviews – je nach Auftrag und Rollenmodell.
Oder kurz: Der Berater liefert Struktur, Wissen und Entlastung – die Gesamtverantwortung für das ISMS bleibt bei der Geschäftsleitung.
Rechnet sich das? Der Vergleich für den Referenzfall (~200 MA):
| Variante | Interner Aufwand | Interne Kosten* | Externe Beratung |
|---|---|---|---|
| Eigenregie (DIY) | ~230 PT | ~CHF 161’000 | – |
| Mit Berater | ~150 PT | ~CHF 105’000 | ~20–40 PT |
*Interne Kosten kalkulatorisch bei CHF 700 pro PT, kein Cash-out. Extern = Cash-out nach Offerte. Die rund 80 eingesparten internen PT entsprechen rund CHF 56’000.
In der Vollkostenbetrachtung liegt eine Begleitung oft nahe am Alleingang: Die intern vermiedenen Tage kompensieren einen grossen Teil des externen Beraterhonorars. Hinzu kommen Kapazitätsgewinn, ein früheres Zertifikat sowie geringeres Audit- und Nacharbeitsrisiko. Eigenregie lohnt sich nur mit freien und qualifizierten Ressourcen; fehlt eines von beidem, zahlen Sie versteckt: Opportunitätskosten, Lernkurve, Zeitverzug und Auditrisiko.
Was nicht delegierbar bleibt Stage 2 prüft gelebte Massnahmen, Evidenz aus dem Betrieb und Entscheide der Geschäftsleitung. Deshalb bleibt der interne Anteil bewusst spürbar. Die Zertifizierungsentscheidung trifft ausschliesslich die unabhängige Zertifizierungsstelle. |
2.4 Was die Einführungszeit treibt
Aufwand und Dauer sind zweierlei: PT lassen sich teilweise parallelisieren, Monate nicht beliebig. Massnahmen müssen abgeschlossen sein, Betriebsnachweise müssen vorliegen und nach angemessener Zeit auf Wirksamkeit geprüft werden.
Projektdauer ab Kick-off: 4–8 Monate (Unsere Erfahrung)
Typische Einführungszeit-Treiber sind:
- Beschränkte Kapazität: 1–2-Stunden-Häppchen und ständiges Context Switching fressen knappe Kapazität.
- Akzeptanz und Priorität: Ohne sichtbare Priorisierung der Geschäftsleitung bleiben Aufgaben hinter dem Tagesgeschäft zurück.
- Arbeitslast und Nachweise: Richtlinien, Freigaben, Umsetzung und Evidenz wachsen mit Scope und Komplexität.
- Wirkdauer: Reifezeit vor Stage 2 lässt sich weder mit Budget noch mit mehr Personal vollständig beschleunigen
- Lohnt sich ein ISMS?
Die Frage, ob es sich lohnt, ist in der Executive Summary bereits beantwortet: in den meisten Fällen ja, sobald ein belastbarer Nachweis verlangt wird. Offen bleibt die Frage, ob sich ein Berater lohnt – und die lässt sich seriös nicht pauschal beantworten, sondern sinnvoll erst in einem oder nach einem Gespräch mit einem Berater, der Ihre Ausgangslage kennt.
Ihr nächster Schritt
- Quick-Check (10 Min): Scope, Reifegrad sowie grobe PT- und Dauerspanne – eine erste firmenspezifische Indikation.
- Erstgespräch: In 30 Minuten zu belastbarer Aufwands-/Dauerspanne und den nächsten Schritten.
- Standortbestimmung: firmenspezifische Analyse von Scope, Reifegrad und Aufwand als Entscheidungsgrundlage.
+41 76 272 68 47 · kontakt@wollconsulting.ch
Drei Takeaways für die Geschäftsleitung
Erst Scope und Treiber klären, dann Aufwand schätzen. ISO 27001 scheitert selten an der Norm, sondern an Kapazität, Entscheidungen und Nachweisen. Externe Begleitung lohnt sich, wenn sie interne Lernkurve und Nacharbeitsrisiko senkt.
Über WollConsulting
WollConsulting begleitet Schweizer KMU bei ISO 27001, TISAX® und ISMS-Light – pragmatisch, planbar und auditsicher. Der Fokus: klare Scopes, gelebte Nachweise und Managementsysteme, die im Alltag funktionieren.
