Bis Ende 2026 brauchst du ein ISMS, sonst drohen Bussen. Der Satz macht gerade die Runde, in Newslettern, in Verkaufsgesprächen, in dem einen LinkedIn-Post, den dir jemand weitergeleitet hat. Für die meisten Schweizer KMU stimmt er nicht.
Informationssicherheit ist deshalb nicht unwichtig, im Gegenteil. Der Punkt liegt woanders. Die ISG ISMS-Pflicht bis 2026 bindet eine klar umrissene Gruppe, und die meisten mittelständischen Betriebe gehören schlicht nicht dazu. Wer das nicht auseinanderhält, kauft am Ende ein Zertifikat gegen ein Datum, das ihn gar nicht betrifft.
Schauen wir also nüchtern hin. Wen bindet die Frist wirklich, wo trifft dich das Informationssicherheitsgesetz trotzdem, und welcher Teil davon hat echte Zähne.
Wen die ISG ISMS-Pflicht wirklich bindet
Das Informationssicherheitsgesetz und seine vier Ausführungsverordnungen sind seit dem 1. Januar 2024 in Kraft. Das Gesetz richtet sich in erster Linie an den Bund: an die verpflichteten Behörden und Organisationen, in bestimmten Konstellationen an kantonale Stellen, und an privatrechtliche Unternehmen, die den Bund bei der Erfüllung seiner Aufgaben unterstützen.
Für diese Gruppe läuft eine gestaffelte Umsetzung. Der Klassifizierungskatalog musste bis Ende 2024 stehen, die Schutzbedarfsanalyse und die IT-Klassifizierung bis Ende 2025, und das vollständige ISMS bis zum 31. Dezember 2026 (Übersicht zum ISG bei activeMind). Als Grundlage dafür ist der internationale Standard ISO 27001:2022 ausdrücklich zugelassen.
Lies den Halbsatz, auf den es ankommt, noch einmal: verpflichtete Behörden und Organisationen, plus Firmen, die den Bund unterstützen. Wenn du Maschinen baust, eine Treuhand führst oder eine Softwarefirma mit Schweizer Kunden betreibst und mit dem Bund nichts am Hut hast, dann bindet dich diese Frist nicht. Das Gesetz macht aus dir kein Pflichtsubjekt, nur weil das Jahr 2026 näherrückt.
Der Halbsatz sorgt für die meiste Verwirrung, also lohnt sich ein zweiter Blick. Den Bund bei seinen Aufgaben unterstützen heisst konkret: mit klassifizierten Informationen des Bundes umgehen oder Systeme betreiben, die für seine Aufgabenerfüllung wesentlich sind. Ein Amt beliefern, ihm Bürostühle verkaufen oder eine Website bauen fällt in aller Regel nicht darunter. Genau deshalb ist der Kreis der direkt verpflichteten Firmen deutlich kleiner, als das Wort Bund im ersten Moment vermuten lässt. Im Zweifel klärst du das an deinem konkreten Vertrag, nicht am Bauchgefühl.
Wo dich das Gesetz trotzdem erreicht
Jetzt die unbequeme Seite. Nicht direkt betroffen heisst nicht unberührt.
Der erste Weg führt über den Vertrag. Verpflichtete Stellen müssen sicherstellen, dass auch ihre Dienstleister die Anforderungen einhalten. Wenn du an den Bund oder an einen Betreiber kritischer Infrastruktur lieferst, reicht diese Firma die Pflicht per Vertragsklausel an dich weiter. Aus dem Gesetz, das dich formal nicht adressiert, wird so eine handfeste Vertragsbedingung. Die erfüllst du, oder du verlierst den Auftrag.
Der zweite Weg ist der Markt, und der ist oft schneller als jedes Gesetz. Grosse Kunden schicken Security-Fragebögen, bevor sie einen Rahmenvertrag unterschreiben. Da steht dann die Frage nach dem ISMS, nach ISO 27001, nach deinem Umgang mit Vorfällen. Ob dich das Informationssicherheitsgesetz bindet, interessiert deinen Kunden nicht. Ihn interessiert, ob er dich in seine Lieferkette lassen kann, ohne sich selbst ein Problem einzukaufen. Über dieses Muster haben wir im Beitrag zur NIS2-Umsetzung für Schweizer Unternehmen geschrieben. Compliance wandert die Lieferkette hinunter, unabhängig davon, wer im Gesetzestext steht.
Das ist der Punkt, an dem Informationssicherheit vom Kostenposten zum Verkaufsargument wird. Nicht weil ein Gesetz es verlangt, sondern weil ein Auftrag daran hängt.
Die Meldepflicht ist der Teil mit Zähnen
Ein Teil des ISG-Pakets hat sehr wohl scharfe Kanten, und der geht in der Frist-Diskussion oft unter: die Meldepflicht bei Cyberangriffen.
Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen einen Cyberangriff innerhalb von 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden, die vollständige Meldung folgt innerhalb von 14 Tagen (BACS zur Meldepflicht). Seit dem 1. Oktober 2025 ist die Verletzung dieser Pflicht sanktionierbar, mit Bussen bis zu CHF 100'000. Wichtig für die Einordnung: Die Busse fällt nicht automatisch für eine verpasste Meldung, sondern erst, wenn das BACS eine entsprechende Verfügung erlässt und diese missachtet wird.
Wer zählt als Betreiber kritischer Infrastruktur? Energie- und Trinkwasserversorger, Transportunternehmen, Spitäler, Rechenzentren und Cloud-Anbieter, dazu kantonale und kommunale Verwaltungen. Wenn du in einer dieser Kategorien steckst, ist die Meldepflicht keine graue Theorie, sondern ein Prozess, den du vor dem Ernstfall einmal durchgespielt haben solltest. Wenn nicht, betrifft dich diese konkrete Pflicht nicht, auch wenn eine freiwillige Meldung im Ernstfall trotzdem sinnvoll sein kann.
Auch wenn dich die Pflicht nicht trifft, lohnt sich der Blick auf den Mechanismus. Wer weiss, an wen er im Ernstfall meldet und welche Informationen dann gebraucht werden, verliert in den ersten Stunden weniger Zeit. Und die ersten Stunden nach einem Vorfall entscheiden oft mehr als jedes Tool, das vorher im Einsatz war.
Konform, zertifiziert, sicher: drei verschiedene Dinge
Ein zweiter Denkfehler steckt in der Sprache selbst. ISG-Konformität, ISO-27001-Zertifikat und tatsächliche Sicherheit werden gern in einen Topf geworfen, sind aber drei verschiedene Dinge.
Das Gesetz verlangt von den verpflichteten Stellen ein ISMS, das die Anforderungen des ISG erfüllt. Es verlangt kein externes Zertifikat an der Wand. ISO 27001:2022 ist ein anerkannter Weg, dieses Managementsystem aufzubauen, aber die Zertifizierung ist eine geschäftliche Entscheidung, kein gesetzlicher Zwang. Manche Betriebe brauchen die Struktur eines ISMS und nie das Zertifikat, andere brauchen genau das Zertifikat, weil ein Kunde es sehen will.
Und keines von beidem macht dich automatisch sicher. Ein sauber geführtes Managementsystem hilft, die richtigen Dinge zu tun und sie zu belegen. Es ersetzt aber nicht das Nachdenken darüber, was in deinem Betrieb tatsächlich schützenswert ist. Wer diese drei Ebenen auseinanderhält, kauft am Ende das, was er braucht, und nicht das, was gut klingt.
Der teure Reflex: zertifizieren, weil ein Datum im Raum steht
Hier passiert der Denkfehler, den wir immer wieder sehen. Ein Datum steht im Raum, ein Anbieter ruft an, und auf einmal läuft ein ISO-27001-Projekt, das niemand sauber begründet hat.
In unserer Erfahrung läuft das oft nach demselben Muster ab. Jemand liest von der Frist, ein Berater bestätigt die Dringlichkeit, und drei Wochen später steht ein grösseres Zertifizierungsprojekt im Budget. Erst als jemand fragt, welche gesetzliche Grundlage das Projekt eigentlich auslöst, wird es still im Raum. Der Betrieb liefert weder an den Bund noch an eine kritische Infrastruktur. Die Frist, die das Projekt begründet hat, galt für ihn nie. Was blieb, war ein realer Kundenwunsch nach mehr Sicherheit, den man auch schlanker und ohne Zertifikat hätte bedienen können.
Ein ISMS ist ein gutes Werkzeug. Aber es ist ein Werkzeug, kein Selbstzweck. Es nach einem Stichtag zu bauen, der dich rechtlich gar nicht bindet, ist genau die Art von Überregulierung, die Geld verbrennt, ohne den Schutz zu erhöhen. Du zahlst für ein Zertifikat an der Wand, und die eigentliche Frage, wie sicher dein Betrieb wirklich ist, bleibt offen.
Die nüchterne Reihenfolge ist umgekehrt. Zuerst klären, ob und wo dich eine Pflicht trifft, direkt oder über einen Kunden. Dann den Schutzbedarf bestimmen, ehrlich, entlang dessen, was dein Geschäft wirklich trägt. Und erst dann entscheiden, ob ein vollständiges ISMS, ein schlankeres Grundgerüst oder ein paar gezielte Massnahmen die richtige Antwort sind. In den meisten Mandaten ist die richtige Antwort nicht mehr, sondern passend. Wie so ein pragmatischer Aufbau aussieht, ohne dass du daran verzweifelst, haben wir in diesem Beitrag beschrieben.
Und wenn du im Verwaltungsrat oder in der Geschäftsleitung sitzt: Der Schutz, der im Ernstfall zählt, ist selten das teuerste Tool, sondern die dokumentierte Sorgfalt. Ein Zertifikat, das du unter Termindruck erworben hast, ersetzt sie nicht.
Was du diese Woche tun kannst
Du musst dafür kein Compliance-Team aufbauen. Drei Fragen genügen, um aus der Panik herauszukommen und in eine Entscheidung zu.
Erstens: Unterstützt dein Unternehmen den Bund bei seinen Aufgaben, oder betreibst du selbst kritische Infrastruktur? Wenn ja, ist die Frist real, und du solltest den Stand deiner Umsetzung kennen. Wenn nein, bist du nicht direkt gebunden.
Zweitens: Liefert ihr an den Bund oder an einen Betreiber kritischer Infrastruktur? Dann schau in eure Verträge, bevor es dein Kunde tut. Die Anforderung kommt per Klausel, nicht per Gesetzesblatt.
Drittens: Was fragen eure grössten Kunden im Einkauf? Wenn im letzten Fragebogen ein ISMS oder ISO 27001 auftauchte, ist das dein echter Treiber, nicht das Jahr 2026. Dann lohnt sich der Aufbau, aber aus einem Geschäftsgrund, den du benennen kannst.
Wenn du nach diesen drei Fragen nicht sicher bist, in welcher Gruppe du steckst, ist das der eigentliche Befund. Nicht die Frist ist das Problem, sondern die Unklarheit über den eigenen Geltungsbereich. Genau da setzen wir an: einmal strukturiert klären, was dich bindet, was dich indirekt trifft und was du getrost weglassen kannst. Kein Alarmismus, keine neue Tool-Liste. Wenn du das für deinen Betrieb sauber wissen willst, sprich mit uns in einem unverbindlichen Erstgespräch.
Bleibt die Frage, die sich vor jedem ISMS-Projekt lohnt. Baust du gerade etwas, weil dein Geschäft es braucht, oder weil ein Datum im Raum steht?
