- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
ISO/IEC 27001: ISMS, Nachweise und Governance für Schweizer Organisationen
ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie verlangt, dass eine Organisation ihre Informationsrisiken nach festgelegten Kriterien beurteilt, Massnahmen begründet auswählt und deren Wirksamkeit nachvollziehbar überprüft, unter der Verantwortung der obersten Leitung.
Anders als ein Massnahmenkatalog regelt die Norm vor allem Verantwortung und Nachvollziehbarkeit: Wer hat welches Restrisiko akzeptiert? Warum fehlt eine Massnahme? Wann wurde zuletzt geprüft? Ein Zertifikat einer akkreditierten Stelle bestätigt, dass das ISMS diese Fragen für einen festgelegten Geltungsbereich beantwortet. In der Schweiz akkreditiert die Schweizerische Akkreditierungsstelle SAS solche Stellen.
Für private Unternehmen schreibt kein Schweizer Gesetz eine Zertifizierung nach ISO 27001 allgemein vor. Die Norm hilft aber, Anforderungen aus dem Datenschutzgesetz, aus Rundschreiben der FINMA oder aus der Meldepflicht für Cyberangriffe strukturiert umzusetzen und gegenüber Revision, Aufsicht und Kunden zu belegen.
Das Wichtigste in Kürze
- Fassung: ISO/IEC 27001:2022 mit Amd 1:2024. Zertifikate nach der Fassung von 2013 sind seit dem 31. Oktober 2025 ungültig.
- Verantwortung: Risikoeigner genehmigen den Behandlungsplan und akzeptieren die Restrisiken. Die Leitung bewertet das ISMS in geplanten Abständen.
- Nachweis: Die Erklärung zur Anwendbarkeit begründet für jede der 93 Massnahmen aus Anhang A, ob sie gilt.
- Recht: Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Ein ISMS organisiert sie systematisch, ersetzt aber nicht die rechtliche Prüfung.
Stand: November 2026 · Fachlich abgeglichen mit Fedlex (DSG, DSV, ISG), dem FINMA-Rundschreiben 2023/1 und den Angaben des BACS (Quellen am Ende des Artikels)
Was die Norm verlangt und was ein Zertifikat aussagt
Verantwortung der Leitung
Kapitel 5 verlangt, dass die oberste Leitung Führung zeigt: Sie legt die Informationssicherheitspolitik fest, sorgt dafür, dass die Ziele zur Strategie passen, und stellt Ressourcen bereit. Kapitel 9.3 schreibt eine Managementbewertung in geplanten Abständen vor, mit dokumentierten Ergebnissen. Damit wird Informationssicherheit zu einem Thema der Geschäftsleitung und nicht allein der IT.
Risikokriterien und Risikoeigner
Nach 6.1.2 legt die Organisation fest, wie sie Risiken beurteilt und ab wann ein Risiko akzeptabel ist. Nach 6.1.3 wählt sie Massnahmen, erstellt einen Behandlungsplan und lässt diesen von den Risikoeignern genehmigen, ebenso die Restrisiken. Im Audit ist damit prüfbar, wer welche Entscheidung getroffen hat.
Anhang A und Erklärung zur Anwendbarkeit
Anhang A enthält 93 Massnahmen in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34). Die Erklärung zur Anwendbarkeit führt alle auf und begründet Aufnahme und Ausschluss. Sie ist das zentrale Dokument jeder Prüfung und sollte bei jeder Änderung der Risikolage nachgeführt werden.
Ein Zertifikat richtig lesen
- Geltungsbereich: Ein Zertifikat für den Rechenzentrumsbetrieb eines Standorts sagt nichts über Softwareentwicklung oder Support aus.
- Normfassung: Gültig sind nur noch Zertifikate nach ISO/IEC 27001:2022.
- Zertifizierungsstelle: akkreditiert, in der Schweiz durch die SAS.
- Gültigkeit: drei Jahre, mit jährlichen Überwachungsaudits.
- Erklärung zur Anwendbarkeit: Auf Anfrage einsehen, welche Massnahmen ausgeschlossen sind.
Ein Beispiel für einen weiten Geltungsbereich: Die KYBERNA AG ist nach ISO/IEC 27001:2022 zertifiziert, und zwar für das gesamte Unternehmen einschliesslich der Produkte ky2help®, ky4workplace und eAuktion. Die Zertifikate der SQS sind auf der Seite ISO 27001 Zertifikat abrufbar.
ISO 27001 und Schweizer Vorgaben im Überblick
Die Norm liefert den Rahmen, Gesetze und Rundschreiben setzen die Pflichten. Die Übersicht zeigt, wo ein ISMS ansetzt.
| Vorgabe | Bezug zum ISMS |
|---|---|
| Art. 8 DSG – Datensicherheit | |
| Dem Risiko angemessene technische und organisatorische Massnahmen | Risikoanalyse (6.1.2) und Auswahl aus Anhang A |
| Art. 1 bis 3 DSV | |
| Schutzbedarf bestimmen, Schutzziele, Massnahmen überprüfen | Inventar (5.9), Klassifizierung (5.12), interne Audits (9.2) |
| Art. 74a ff. ISG – Meldepflicht | |
| Betreiber kritischer Infrastrukturen melden Cyberangriffe innert 24 Stunden dem BACS | Vorfallprozess (5.24 bis 5.26) mit Zeitstempel ab Entdeckung |
| FINMA-RS 2023/1 | |
| Operationelle Risiken und Resilienz von Banken, inklusive IKT- und Cyberrisiken | Changes (8.32), Vorfälle, Lieferanten, Kontinuität (5.30) |
Wichtig für die Einordnung: Ein ISO-Zertifikat ist kein Rechtsnachweis. Es belegt, dass ein Managementsystem besteht und wirksam betrieben wird. Ob die konkreten gesetzlichen oder aufsichtsrechtlichen Pflichten erfüllt sind, bleibt eine eigene Prüfung, etwa durch Datenschutzberatung oder Revision.
Datenhaltung und Cloud-Dienste
Massnahme 5.23 verlangt Prozesse für Beschaffung, Nutzung, Verwaltung und Beendigung von Cloud-Diensten. Für Schweizer Organisationen gehört dazu die Frage, wo die Daten liegen und wer darauf zugreifen kann. ky2help® lässt sich On-Premises betreiben oder als SaaS mit einer eigenen, getrennten Instanz im Rechenzentrum in der Schweiz oder in Deutschland. Mehr zu den Betriebsvarianten unter Cloud oder On-Premises.
Nachweisführung: vom Ticket zur Audit-Stichprobe
Zertifizierungsstelle und interne Revision prüfen anhand von Stichproben. Drei Abläufe eignen sich besonders, um die Wirksamkeit des ISMS zu zeigen, weil sie täglich Belege erzeugen.
Änderungen mit Vier-Augen-Prinzip
Massnahme 8.32 verlangt festgelegte Verfahren für Änderungen, 5.3 die Trennung unvereinbarer Aufgaben. Angenommen, eine Privatbank in Zürich ändert eine Regel im Zahlungsverkehrssystem: Der Fachbereich beantragt, die IT bewertet Risiko und Auswirkungen, eine zweite Person gibt frei, erst dann wird umgesetzt und kontrolliert. Wer beantragt, gibt nicht selbst frei. Ein belastbares Change Management hält jeden Schritt mit Person und Zeitpunkt fest.
Berechtigungen und Rezertifizierung
Nach 5.18 sind Zugangsrechte in regelmässigen Abständen zu überprüfen, privilegierte Rechte nach 8.2 besonders eng zu steuern. Die Rezertifizierung funktioniert verlässlich, wenn sie als geplanter Ablauf läuft: Die Vorgesetzten erhalten eine Liste ihrer Mitarbeitenden mit deren Rechten, bestätigen oder entziehen, und offene Rückmeldungen werden eskaliert. ky2help® unterstützt solche Abläufe mit flexiblen Genehmigungsprozessen und zeitgesteuerten Wiedervorlagen.
Sicherheitsvorfälle
Die Massnahmen 5.24 bis 5.28 reichen von der Vorbereitung über die Bewertung und Reaktion bis zur Auswertung und Sicherung von Beweisen. Für Betreiber kritischer Infrastrukturen kommt die Frist von 24 Stunden für die Meldung ans BACS hinzu, gerechnet ab der Entdeckung. Ein Vorfallticket mit Zeitstempeln zeigt, wann ein Ereignis erkannt, bewertet und gemeldet wurde.
Aus der Praxis
Das Personalamt des Kantons Thurgau, zuständig für rund 6'000 Mitarbeitende, bildet seine HR-Prozesse mit ky2help® ab, inklusive Self-Service-Portalen. Laut Referenz sind sämtliche Aktivitäten lückenlos nachvollziehbar, dokumentiert und archiviert.
Prüfpunkte für Geschäftsleitung und Verwaltungsrat
Ein ISMS scheitert selten an der Technik, häufiger an unklaren Entscheidungen. Fünf Fragen helfen, den Stand einzuschätzen:
- Deckt der Geltungsbereich die kritischen Geschäftsprozesse ab? Ein ISMS, das nur die Infrastruktur umfasst, lässt Fachanwendungen und Dienstleister aussen vor.
- Sind Risikoakzeptanzen dokumentiert? Mit Risikoeigner, Begründung und Ablaufdatum. Ausnahmen ohne Frist werden zum Dauerzustand.
- Ist die Erklärung zur Anwendbarkeit aktuell? Neue Cloud-Dienste, Auslagerungen oder Reorganisationen müssen sich darin widerspiegeln.
- Sind Lieferanten und Cloud-Dienste bewertet? Einschliesslich Datenort, Zugriffsmöglichkeiten des Anbieters und Ausstiegsszenario.
- Wird die Wirksamkeit gemessen? Kapitel 9.1 verlangt festzulegen, was überwacht und gemessen wird. Mögliche Kennzahlen: Anteil der Changes ohne dokumentierte Freigabe, Zeit bis zum Entzug von Rechten nach einem Austritt, Anzahl offener Korrekturmassnahmen.
ISMS und IT Service Management verbinden
ISO/IEC 20000-1 für das IT Service Management und ISO/IEC 27001 nutzen dieselbe Harmonisierte Struktur. Führung, Dokumentation, internes Audit und Managementbewertung lassen sich deshalb gemeinsam betreiben, ISO/IEC 27013 beschreibt die integrierte Einführung. Im Werkzeug zeigt sich das an den Prozessen: Zu den 13 von PeopleCert akkreditierten ITIL®-Practices von ky2help® gehören Information Security Management, Change Enablement, Service Configuration Management und Supplier Management. Für regulierte Häuser lohnt sich zudem ein Blick auf die Lösung für Finanzdienstleister und Banken.
Häufige Fragen
Ist ISO 27001 in der Schweiz Pflicht?
Für private Unternehmen gibt es keine allgemeine gesetzliche Pflicht. Eine Zertifizierung wird aber oft vertraglich verlangt, etwa von Kunden, in Ausschreibungen oder bei Auslagerungen. Für regulierte Branchen hilft ein ISMS, aufsichtsrechtliche Anforderungen strukturiert umzusetzen.
Erfüllt ein ISO-27001-Zertifikat das Datenschutzgesetz?
Nicht automatisch. Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit, und ein ISMS ist ein systematischer Weg, sie zu organisieren. Datenschutzpflichten wie Informationspflichten oder Datenschutz-Folgenabschätzungen deckt die Norm nicht ab, sie bleiben eine eigene Prüfung.
Welche Rolle spielt ISO 27001 für Banken unter FINMA-Aufsicht?
Das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» regelt unter anderem den Umgang mit IKT- und Cyberrisiken. Es schreibt keine ISO-Zertifizierung vor. Ein ISMS nach ISO 27001 kann die geforderten Strukturen wie Change-, Vorfall- und Lieferantenprozesse ordnen, die Beurteilung bleibt Sache der Prüfgesellschaft und der Aufsicht.
Wie prüft man das ISO-27001-Zertifikat eines Anbieters?
Vier Angaben sind entscheidend: der Geltungsbereich, die Normfassung 2022, eine akkreditierte Zertifizierungsstelle und das Gültigkeitsdatum. Zusätzlich lohnt es sich, die Erklärung zur Anwendbarkeit anzufragen, um ausgeschlossene Massnahmen zu sehen.
Was hat die Meldepflicht ans BACS mit dem ISMS zu tun?
Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innert 24 Stunden nach der Entdeckung dem BACS melden. Ein Vorfallprozess nach den Massnahmen 5.24 bis 5.26 sorgt dafür, dass Entdeckung, Bewertung und Meldung mit Zeitpunkt dokumentiert sind.
Wo liegen die Daten, wenn ky2help® als SaaS betrieben wird?
Im SaaS-Betrieb läuft ky2help® auf einer eigenen, von anderen Kunden getrennten Instanz im Rechenzentrum, wahlweise in der Schweiz oder in Deutschland. Alternativ lässt sich ky2help® On-Premises auf der eigenen Infrastruktur betreiben.
Quellen und weiterführende Artikel
Quellen
- Fedlex: Bundesgesetz über den Datenschutz (DSG)
- Fedlex: Datenschutzverordnung (DSV)
- Fedlex: Informationssicherheitsgesetz (ISG)
- BACS: Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
- FINMA: Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken»
- Kiwa (Zertifizierungsstelle): Anpassungen der ISO/IEC 27001:2022 und Übergangsfrist
- KYBERNA: ISO/IEC 27001-Zertifikat der KYBERNA AG
Weiterlesen im Glossar und bei KYBERNA
- ISO 27001 aus Sicht der IT-Sicherheitsberatung (Glossar Cloud & IT Services)
- Change Management und CMDB
- DSGVO und MFA
- Branche Finanzdienstleistungen und Banken
- Referenz Libera AG und weitere ky2help® Referenzen
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
