Worum es geht
In vielen Schweizer KMU lebt das Informationssicherheits-Managementsystem (ISMS) in Excel-Listen, Word-Vorlagen und verstreuten SharePoint-Ordnern. Das funktioniert, solange niemand genau nachfragt. Spätestens wenn der Verwaltungsrat einen aktuellen Risikostatus will, ein Auditor Nachweise verlangt oder ein Cybervorfall innert Stunden gemeldet werden muss, zeigt sich, wie viel Handarbeit hinter jeder Antwort steckt. GRC as a Service setzt genau dort an: Governance, Risk und Compliance werden auf einer Plattform geführt, betrieben und gepflegt, ohne dass Sie dafür ein eigenes Team aufbauen müssen.
Warum das Excel-ISMS an Grenzen stösst
Tabellen sind schnell erstellt, aber schwer aktuell zu halten. Typische Symptome kennen viele IT- und Sicherheitsverantwortliche aus dem Alltag:
- Kein eindeutiger Stand: Es kursieren mehrere Versionen derselben Risikoliste, und niemand weiss sicher, welche gilt.
- Verantwortlichkeiten verschwimmen: Massnahmen haben zwar einen Namen in einer Spalte, aber keine Fristen, keine Erinnerungen und keinen sichtbaren Fortschritt.
- Nachweise fehlen im entscheidenden Moment: Protokolle, Freigaben und Screenshots liegen in Mailboxen oder persönlichen Ordnern. Vor dem Audit beginnt die Suche.
- Mehrfacharbeit über Frameworks hinweg: Wer ISO 27001, NIS2-Anforderungen von EU-Kunden und das Schweizer Datenschutzgesetz parallel abdecken will, pflegt dieselbe Kontrolle oft in drei Dokumenten.
Das Problem ist selten fehlendes Wissen. Es fehlt ein System, das Kontrollen, Risiken, Massnahmen und Nachweise miteinander verbindet und den aktuellen Erfüllungsgrad jederzeit zeigt.
Was Regulierung und Kunden heute verlangen
Die Anforderungen an Tempo und Nachvollziehbarkeit steigen. Drei Beispiele zeigen, warum ein «Wir haben das irgendwo dokumentiert» nicht mehr reicht:
Meldepflicht für Cyberangriffe in der Schweiz
Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen Cyberangriffe innert 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Fehlende Angaben können innert 14 Tagen ergänzt werden. Seit dem 1. Oktober 2025 kann eine unterlassene Meldung mit einer Busse von bis zu CHF 100’000 geahndet werden. Ob Ihr Unternehmen unter die Meldepflicht fällt, sollten Sie anhand des Informationssicherheitsgesetzes (ISG) und der Cybersicherheitsverordnung prüfen. Wer meldepflichtig ist, braucht einen eingeübten Incident-Prozess mit klaren Rollen und einer sauberen Dokumentation.
NIS2 bei Geschäftsbeziehungen in die EU
Die EU-Richtlinie NIS2 verpflichtet die Leitungsorgane betroffener Einrichtungen, die Risikomanagementmassnahmen zu billigen, deren Umsetzung zu überwachen und an Schulungen teilzunehmen. Schweizer Unternehmen sind nicht direkt Adressaten. Wer aber Tochtergesellschaften in der EU hat oder EU-Kunden in regulierten Sektoren beliefert, erhält diese Anforderungen häufig über Verträge und Lieferantenfragebogen. Prüfen Sie, welche Ihrer Gesellschaften und Kundenbeziehungen betroffen sind.
Audits und Lieferantenbewertungen
Ob Zertifizierungsaudit nach ISO 27001 oder Sicherheitsfragebogen eines Grosskunden: Gefragt sind Belege, nicht Absichtserklärungen. Wer Nachweise strukturiert und aktuell führt, beantwortet solche Anfragen in Stunden statt in Wochen.
Was GRC as a Service konkret bedeutet
GRC as a Service kombiniert eine GRC-Plattform mit dem laufenden Betrieb durch Spezialisten. Sie erhalten nicht nur Software, sondern ein gepflegtes System, in dem Ihre Organisation arbeitet. Die wichtigsten Bausteine:
- Governance: Richtlinien, Rollen und Verantwortlichkeiten werden zentral verwaltet, inklusive Review-Zyklen und Kenntnisnahme durch Mitarbeitende.
- Risk Management: Risiken werden einheitlich bewertet, mit Massnahmen verknüpft und über die Zeit verfolgt.
- Compliance Tracking: Anforderungen aus Standards wie ISO 27001, NIS2 oder dem Datenschutzrecht werden auf gemeinsame Kontrollen abgebildet. Eine Kontrolle wird einmal gepflegt und zählt für mehrere Frameworks.
- Incident Management: Sicherheitsvorfälle werden strukturiert erfasst, bewertet und mit Fristen versehen. Das unterstützt auch Meldeprozesse.
- Audit-Readiness: Nachweise liegen dort, wo die Kontrolle beschrieben ist, und lassen sich für Audits oder Kundenanfragen gezielt zusammenstellen.
Zusätzlich können KI-Agenten Routinearbeit übernehmen, etwa Dokumente auf Vollständigkeit prüfen oder Mitarbeitenden Fragen zu internen Richtlinien beantworten. Entscheidend ist dabei, dass die fachliche Verantwortung bei Menschen bleibt: Die KI bereitet vor, freigegeben wird durch die zuständige Person.
So gelingt der Umstieg
Der Wechsel von Tabellen auf eine Plattform muss kein Grossprojekt sein. Bewährt hat sich ein schrittweises Vorgehen:
- Scope festlegen: Starten Sie mit einem Framework und einem klar abgegrenzten Bereich, zum Beispiel ISO 27001 für die Kern-IT.
- Bestand übernehmen: Bestehende Risiken, Richtlinien und Massnahmen werden importiert und bereinigt, statt neu erfunden.
- Verantwortliche benennen: Jede Kontrolle und jedes Risiko erhält eine Eigentümerin oder einen Eigentümer mit Fristen.
- Rhythmus etablieren: Monatliche Statusberichte und ein jährlicher Management-Review machen den Fortschritt sichtbar.
- Ausbauen: Weitere Frameworks, Lieferantenbewertungen oder Business-Continuity-Themen kommen hinzu, sobald die Basis steht.
Woran erkennen Sie, dass sich der Umstieg lohnt? Achten Sie auf messbare Veränderungen im Alltag: Wie lange dauert es, einen Sicherheitsfragebogen eines Kunden zu beantworten? Wie viele Massnahmen sind überfällig, und wer weiss davon? Wie schnell liegt ein aktueller Risikobericht für die Geschäftsleitung vor? Wenn diese Fragen ohne Suchaktion beantwortet werden können, arbeitet Ihr ISMS für Sie und nicht umgekehrt. Gleichzeitig wird Informationssicherheit für die Geschäftsleitung nachvollziehbar, weil Entscheidungen, Risiken und offene Punkte an einem Ort sichtbar sind.
Tipps und Tricks
- Eine Liste, eine Wahrheit: Erklären Sie ab sofort genau eine Risikoliste für verbindlich und archivieren Sie alle Kopien.
- Nachweis direkt ablegen: Legen Sie bei jeder umgesetzten Massnahme sofort einen Beleg ab, etwa einen Screenshot, ein Protokoll oder eine Freigabe-Mail.
- Meldepflicht prüfen: Klären Sie anhand der Unterlagen des BACS, ob Ihr Unternehmen meldepflichtig ist, und halten Sie das Ergebnis schriftlich fest.
- Incident-Kontakte aktuell halten: Führen Sie eine kurze Liste mit Rollen, Stellvertretungen und Erreichbarkeiten für den Ernstfall und testen Sie sie halbjährlich.
- Kontrollen bündeln: Prüfen Sie, welche Ihrer Anforderungen aus ISO 27001, Kundenverträgen und Datenschutz dieselbe Massnahme betreffen, und pflegen Sie diese nur einmal.
So unterstützt Cyberopex
Mit GRC as a Service betreibt Cyberopex für Sie eine GRC-Plattform auf Basis von Eramba mit Hosting in der Schweiz. Wir übernehmen Einrichtung, Datenübernahme und laufende Pflege und begleiten Ihr Team bei Risikobewertungen, Audits und Management-Reviews. Optional ergänzen KI-Agenten die Plattform bei Routinearbeiten. So bleibt Ihr ISMS aktuell, ohne dass Sie zusätzliche Stellen schaffen müssen.
