Vier Rahmenwerke, ein gemeinsames Ziel: Ihr Unternehmen schützen
Mehrere Referenzrahmen strukturieren die Cybersicherheit weltweit. Für ein Schweizer KMU sind vier besonders relevant: die ISO 27001 (zertifizierbare internationale Norm, 93 Kontrollen, 70 000+ zertifizierte Unternehmen), das NIST CSF (freiwilliger amerikanischer Rahmen, 5 Funktionen, kostenlos), der ANSSI-Rahmen (frankophoner Referenzrahmen, 42 Hygienemassnahmen) und der Schweizer IKT-Minimalstandard (vom BWÖL für kritische Infrastrukturen empfohlen).
Jeder hat seine Stärken: internationale Zertifizierung, Flexibilität, frankophoner Pragmatismus oder Schweizer Verankerung. Die nachstehende Tabelle hilft Ihnen, den für Ihre Situation geeigneten Rahmen zu wählen. Bei Bexxo begleiten wir Schweizer KMU seit 2003 bei der Konformitätsumsetzung mit diesen Referenzrahmen.
Vergleichstabelle der 4 Cybersicherheitsnormen
| Kriterium | ISO 27001 | NIST CSF | ANSSI | IKT-Minimalstandard (CH) |
|---|---|---|---|---|
| Typ | Zertifizierbare Norm | Freiwilliger Rahmen | Staatliche Empfehlungen | Schweizerischer Bundesstandard |
| Organisation | ISO / IEC | NIST (USA) | ANSSI (Frankreich) | BWÖL (Schweiz) |
| Struktur | 93 Kontrollen (Anhang A) | 5 Funktionen, 23 Kategorien | 42 Hygienemassnahmen + EBIOS RM | 106 Massnahmen basierend auf NIST |
| Zertifizierung | Ja (Drittprüfung) | Nein (Selbstbewertung) | ANSSI-Sicherheitsvisa | Nein (Selbstbewertung) |
| Geschätzte Kosten | 10 000 – 50 000 CHF | Kostenlos | Kostenlos (öffentliche Leitfäden) | Kostenlos |
| Erneuerung | Alle 3 Jahre | Fortlaufend | Fortlaufend | Fortlaufend |
| Flexibilität | Strenger Rahmen | Sehr anpassbar | Pragmatisch | Sektoriell anpassbar |
| Ideale Zielgruppe | KMU mit Zertifizierungswunsch | KMU am Anfang in Cyber | Frankophone KMU | Kritische Infrastrukturen CH |
| Relevanz Schweiz | Vom nDSG anerkannt | Vom NCSC empfohlen | Frankophoner Referenzrahmen | Vom BWÖL empfohlen |
| Aktuelle Version | ISO 27001:2022 | CSF 2.0 (Feb. 2024) | Hygieneführer v2 (2017) | Version 2023 |
Diese vier Rahmenwerke ergänzen sich. Der Schweizer IKT-Minimalstandard und das NIST CSF sind die besten Ausgangspunkte für ein Schweizer KMU. Die ANSSI-Leitfäden bringen einen im frankophonen Kontext geschätzten Pragmatismus. Die ISO 27001 ist die ideale Wahl, um eine international anerkannte Zertifizierung zu erlangen. Bei Bexxo kombinieren wir diese Referenzrahmen je nach Ihrem Kontext.
Was ist das NIST CSF?
Das NIST Cybersecurity Framework bietet freiwillige Leitlinien zur Verwaltung und Reduzierung von Cybersicherheitsrisiken. Diese Empfehlungen sind an die unterschiedlichen Bedürfnisse von Unternehmen angepasst, unabhängig von ihrer Grösse und Branche. Im Gegensatz zur ISO 27001 sind die NIST-Anforderungen flexibel und darauf ausgelegt, sich mit der Organisation weiterzuentwickeln.
Die 5 Funktionen des NIST CSF
Der Framework Core basiert auf 5 Hauptfunktionen, aufgeteilt in 23 Kategorien:
- Identifizieren — Vermögenswerte, Risiken und Governance der Organisation verstehen
- Schützen — Schutzmassnahmen umsetzen (Zugangskontrolle, Schulung, Verschlüsselung)
- Erkennen — Erkennungsfähigkeiten für Sicherheitsvorfälle einsetzen
- Reagieren — Reaktion auf erkannte Vorfälle planen und ausführen
- Wiederherstellen — Dienste wiederherstellen und aus dem Vorfall lernen
Für wen eignet sich das NIST CSF?
Das NIST CSF richtet sich an jede Organisation, die ihre Cybersicherheitsstrategie ohne grossen Anfangsinvestition strukturieren möchte. Es ist der ideale Ausgangspunkt für Schweizer KMU, die noch keinen formalen Rahmen haben. Das NCSC (Nationales Zentrum für Cybersicherheit) empfiehlt dieses Framework übrigens als Basis für Schweizer Unternehmen.
Was ist die ISO 27001?
Die ISO 27001 ist eine internationale Norm, die bewährte Verfahren für Informationssicherheits-Managementsysteme (ISMS) definiert. Sie ermöglicht Organisationen, ihren Sicherheits- und Datenschutzansatz durch eine von einem akkreditierten Drittprüfer überprüfbare Zertifizierung nachzuweisen. Weltweit sind mehr als 70 000 Unternehmen zertifiziert (ISO Survey 2023).
Die 93 Kontrollen der ISO 27001:2022
Die Version 2022 der ISO 27001 definiert 93 Kontrollen, die in Anhang A in 4 Kategorien aufgeteilt sind:
- Organisatorische Kontrollen (37) — Richtlinien, Rollen, Asset-Management, Lieferantenbeziehungen
- Personenbezogene Kontrollen (8) — Personalauswahl, Sensibilisierung, Schulung
- Physische Kontrollen (14) — Sicherheitsperimeter, Geräte, Überwachung
- Technologische Kontrollen (34) — Authentifizierung, Verschlüsselung, Protokollierung, sichere Entwicklung
Kosten und Zertifizierungsprozess ISO 27001
Die Kosten einer ISO 27001-Zertifizierung für ein Schweizer KMU liegen zwischen 10 000 und 50 000 CHF, abhängig von der Grösse der Organisation und der Komplexität ihres Geltungsbereichs. Der Prozess umfasst: Gap-Analyse, ISMS-Einführung, internes Audit und anschliessend Zertifizierungsaudit durch eine akkreditierte Stelle. Bei Bexxo begleiten wir KMU in jedem Schritt dieses Prozesses, von der Erstanalyse bis zur Zertifizierungserlangung.
Der ANSSI-Rahmen (Frankreich)
Die ANSSI (Nationale Agentur für die Sicherheit der Informationssysteme) ist die französische Behörde für Cybersicherheit. Ihr IT-Hygieneführer definiert 42 wesentliche Massnahmen zu Sensibilisierung, Authentifizierung, Endgerätesicherheit, Netzwerksicherheit und Vorfallsmanagement. Kostenlos veröffentlicht, ist er die pragmatischste Referenz für frankophone KMU.
Die 42 IT-Hygienemassnahmen
Die 42 ANSSI-Massnahmen decken 10 Bereiche ab:
- Sensibilisierung — Benutzer schulen und in die Verantwortung nehmen
- Authentifizierung — Passwortrichtlinien und MFA
- Arbeitsstationen — Updates, Verschlüsselung, Antivirusprogramme
- Netzwerk — Segmentierung, Firewall, Überwachung
- Mobiles Arbeiten — VPN, Sicherung des Homeoffice
- Administration — Privilegierte Konten, Protokollierung
- Aufrechterhaltung des Sicherheitszustands — Überwachung, Patches
- Überwachung — Erkennung von Vorfällen, Warnmeldungen
- Vorfallsmanagement — Reaktionspläne, Kommunikation
- Betriebskontinuität — Backups, BCP/BRP
EBIOS Risk Manager
Die ANSSI bietet auch EBIOS Risk Manager an, eine Risikoanalysemethode in 5 Workshops, die von französischen Behörden und zahlreichen frankophonen Unternehmen übernommen wurde. Sie ermöglicht die Identifikation der realistischsten Bedrohungsszenarien und die Priorisierung von Sicherheitsmassnahmen. Vergleichbar mit der Risikobewertung des NIST wird EBIOS besonders für seine methodische Strenge im frankophonen Kontext geschätzt.
Der Schweizer IKT-Minimalstandard
Der IKT-Minimalstandard ist ein Rahmenwerk, das vom Bundesamt für wirtschaftliche Landesversorgung (BWÖL) in Zusammenarbeit mit dem NCSC entwickelt wurde. Basierend auf dem NIST CSF definiert er 106 Massnahmen, die rund um die 5 NIST-Funktionen organisiert und an den Schweizer Kontext angepasst sind. Er wird für Betreiber kritischer Infrastrukturen empfohlen, ist aber auf jedes Schweizer KMU anwendbar.
Warum der IKT-Standard für Schweizer KMU relevant ist
Der IKT-Minimalstandard bietet mehrere Vorteile für Schweizer KMU:
- Kostenlos und öffentlich — auf der Website des BWÖL auf Deutsch, Französisch und Italienisch verfügbar
- An den Schweizer Kontext angepasst — integriert die nDSG-Anforderungen und NCSC-Empfehlungen
- NIST-kompatibel — gleiche Struktur mit 5 Funktionen, was einen Übergang zum NIST CSF oder zur ISO 27001 erleichtert
- Selbstbewertung — beinhaltet ein Excel-Bewertungstool zur Messung der eigenen Reife
Welchen Rahmen wählen für Ihr KMU?
Sie beginnen mit der Cybersicherheit? Starten Sie mit dem Schweizer IKT-Minimalstandard (kostenlos, an den lokalen Kontext angepasst) oder dem ANSSI-Leitfaden (42 pragmatische Massnahmen). Diese beiden Rahmenwerke geben Ihnen eine solide Grundlage ohne Anfangsinvestition.
Möchten Sie Ihre Strategie strukturieren? Das NIST CSF bietet ein flexibles Framework mit messbaren Reifeniveaus (Score 0-4). Das NCSC empfiehlt es für Schweizer KMU.
Streben Sie eine Zertifizierung an? Die ISO 27001 ist das einzige durch einen Drittprüfer zertifizierbare Rahmenwerk. Dies ist ein starker Wettbewerbsvorteil für KMU, die sensible Daten verarbeiten oder mit grossen Unternehmen zusammenarbeiten. Bei Bexxo empfehlen wir oft einen schrittweisen Ansatz: IKT-Minimalstandard → NIST CSF → ISO 27001.
