Ein ISMS kannst du nicht abonnieren. Du kannst Vorlagen abonnieren. Eine Compliance-Plattform. Einen externen Informationssicherheitsbeauftragten mit Stundenkontingent. Alles legitim, manches davon sehr sinnvoll. Aber das Managementsystem selbst, also der Teil, der im Namen ISMS as a Service drinsteckt, entsteht erst, wenn deine Organisation Entscheidungen trifft, dokumentiert und danach handelt. Genau dieser Teil steht in keinem Angebot, das wir bisher gesehen haben.
Das ist kein Wortklauben. Der Unterschied zwischen einem ISMS, das deiner Organisation gehört, und einem, das dein Dienstleister für dich verwaltet, entscheidet darüber, ob du in zwei Jahren ein funktionierendes Sicherheitsprogramm hast oder einen Ordner mit Logo.
Warum das Angebot gerade jetzt so gut klingt
Der Druck ist real. Enterprise-Kunden schicken Security-Fragebögen, bevor sie überhaupt mit dir reden. Ausschreibungen verlangen ISO 27001 als Eintrittskarte. Dazu kommt der stille Filter: Manche Deals verlierst du, ohne je davon zu erfahren, weil der Einkauf dich ohne Zertifikat aussortiert, bevor ein Gespräch stattfindet. Und wer unter das Informationssicherheitsgesetz fällt, muss bis Ende 2026 ein ISMS stehen haben. Wen das betrifft, haben wir im Beitrag zur ISG-ISMS-Pflicht eingeordnet, es sind weniger Firmen, als die Werbung suggeriert.
In diese Lage hinein kommt ein Angebot, das ungefähr so klingt: Wir bauen euer ISMS auf, wir betreiben es, wir begleiten euch durchs Zertifizierungsaudit. Aufwand auf eurer Seite: ein paar Workshops und die Unterschriften.
Dass dieses Angebot gut klingt, ist kein Zufall. Es verspricht die Trennung von zwei Dingen, die du gerade dringend getrennt haben willst: das Zertifikat, das du für den Umsatz brauchst, und die Arbeit, für die du keine Kapazität hast. Nur ist ein ISMS genau die Verbindung dieser beiden Dinge. Ein Zertifikat bescheinigt, dass deine Organisation Informationssicherheit managt. Wenn sie das nicht tut, bescheinigt es etwas, das nicht existiert.
Volle Transparenz: ODCUS baut ISMS mit Kunden auf, das ist eine unserer drei Dienstleistungen. Lies diesen Text also mit dieser Brille. Wir haben ein Interesse daran, dass du den Aufbau ernst nimmst. Wir haben aber kein Abo zu verteidigen, das dir verspricht, den Betrieb abzunehmen.
Was du kaufen kannst
Damit das nicht als Abrechnung mit einer ganzen Branche daherkommt: Ein grosser Teil von ISMS as a Service ist ehrliche, nützliche Arbeit. Vier Dinge kannst du einkaufen.
Methode. Wer schon viele ISMS aufgebaut hat, weiss, welche Reihenfolge funktioniert, welche Dokumente ein Auditor überhaupt liest und welche Controls für ein KMU überdimensioniert sind. Diese Erfahrung spart Monate und verhindert das teuerste Muster überhaupt: ein System, das für einen Konzern gedacht ist und ein KMU erstickt. Wie so ein rechtsdimensioniertes System aussieht, haben wir im Beitrag zum pragmatischen ISMS-Aufbau beschrieben.
Vorlagen und Struktur. Niemand muss eine Informationssicherheits-Policy vom leeren Blatt schreiben. Gute Vorlagen sind ein fairer Teil des Preises, solange sie an deine Organisation angepasst werden und nicht umgekehrt. Dasselbe gilt für Compliance-Plattformen: nützlich als Ablage und Erinnerungsmaschine, solange niemand das Dashboard mit dem Managementsystem verwechselt.
Die Rolle des externen Informationssicherheitsbeauftragten. Für viele KMU ist das die richtige Konstruktion: Intern fehlt die Erfahrung, eine Vollzeitstelle gibt das Budget nicht her, also kommt die Fachverantwortung von aussen. Das funktioniert, solange klar bleibt, dass der externe Beauftragte vorbereitet, prüft und empfiehlt, während die Entscheide im Haus fallen.
Tempo und Audit-Erfahrung. Jemand, der den Zertifizierungsprozess kennt, nimmt dir Umwege ab und verhandelt mit der Zertifizierungsstelle auf Augenhöhe. Auch das ist Geld wert. Was das Ganze kosten darf, hängt stark vom Zuschnitt ab; eine nüchterne Einordnung findest du in unserem Beitrag zu den ISO-27001-Kosten für KMU.
Alle vier Leistungen haben etwas gemeinsam: Sie machen den Aufbau schneller und besser. Keine davon ersetzt, was danach kommt.
Was du nicht kaufen kannst
Drei Dinge lassen sich nicht auslagern, egal was im Vertrag steht.
Die Risikoentscheide. Ein ISMS lebt von der Frage, welche Risiken du behandelst und welche du bewusst akzeptierst. Diese Entscheide kann kein Dienstleister für dich treffen, weil er die Konsequenzen nicht trägt. Wenn in deinem Risikoregister Entscheidungen stehen, die deine Geschäftsleitung nie diskutiert hat, hast du eine Fiktion von einem Managementsystem, unterschrieben von Leuten, die nicht wissen, was sie akzeptiert haben.
Das Management-Commitment. Die Norm verlangt es, aber der eigentliche Grund ist praktischer: Ein Auditor merkt in der ersten Stunde, ob die Geschäftsleitung ihr eigenes ISMS kennt. Er braucht dafür keine Fangfragen, die normalen reichen: Was waren eure grössten Risiken dieses Jahr? Was habt ihr entschieden? Wer nur auf den Berater zeigen kann, hat die Antwort schon gegeben.
Der Betrieb. Ein ISMS besteht zum kleineren Teil aus Dokumenten und zum grösseren aus Routinen: Zugriffe entziehen, wenn jemand geht. Lieferanten prüfen, bevor sie Daten bekommen. Vorfälle melden, auch die peinlichen. Diese Routinen laufen in deinen Abteilungen. Ein Dienstleister kann sie entwerfen und trainieren. Ausführen müssen sie deine Leute.
In unserer Erfahrung zeigt sich der Unterschied selten im Zertifizierungsaudit. Das lässt sich mit einem gut gebauten Papier-ISMS und einem eingespielten Berater bestehen. Er zeigt sich im Jahr danach, und das Muster ist immer dasselbe.
Das Überwachungsaudit steht an. Der Berater von damals ist nicht mehr im Mandat oder wird für zwei Tage teuer zurückgeholt. Der Auditor interessiert sich dafür, was seit dem Zertifikat passiert ist: das durchgeführte interne Audit, die behandelten Vorfälle, das Management-Review mit Traktanden und Beschlüssen. Und jetzt sitzt da eine Geschäftsleitung, die ihr eigenes Managementsystem zum zweiten Mal im Leben aufschlägt. Was folgt, ist eine Woche Archäologie in einem Ordner, den jemand anderes gebaut hat, und ein Massnahmenplan, der beim nächsten Mal genau gleich aussieht.
Der andere Ort, an dem es sichtbar wird, ist der erste Ernstfall. Die Meldekette steht im Handbuch, sauber, mit Eskalationsstufen. Nur kennt sie niemand, weil sie nie geübt wurde. Für Betreiber kritischer Infrastrukturen ist das seit April 2025 keine Stilfrage mehr: Cyberangriffe müssen innert 24 Stunden dem BACS gemeldet werden, seit Oktober 2025 mit Bussenandrohung. Ein Prozess, den nur der externe Berater kennt, hält diese Frist nicht. Der Berater liest deine Alerts nicht um drei Uhr morgens.
Die drei Fragen vor der Unterschrift
Wenn ein Angebot für ISMS as a Service auf deinem Tisch liegt, brauchst du keine Marktstudie. Drei Fragen reichen.
Erstens: Wer bei uns trifft die Risikoentscheide, mit Namen und Rolle? Läuft die Antwort des Anbieters darauf hinaus, dass er das übernimmt, ist das Angebot ehrlicherweise eine Dokumentenlieferung. Auch die kann ihren Preis wert sein, nur solltest du wissen, was du kaufst.
Zweitens: Welche Prozesse betreibt nach dem Aufbau wer intern, und wie viele Stunden pro Monat kostet das? Ein seriöser Anbieter hat darauf eine konkrete Antwort, inklusive der unbequemen Stundenzahl. Lautet die Antwort sinngemäss «praktisch kein Aufwand», beschreibt sie ein ISMS, das nicht betrieben wird. Zur Orientierung: Hinter einem lebenden ISMS stecken wiederkehrende Aufgaben wie das interne Audit, das Management-Review, die Pflege des Risikoregisters und die Nachverfolgung von Massnahmen. Einiges davon kannst du extern vergeben. Aber jemand im Haus muss diese Aufgaben einfordern und die Ergebnisse verstehen.
Drittens: Was passiert im Überwachungsaudit ein Jahr nach Vertragsende? Die Frage klingt hypothetisch, ist aber der schärfste Test. Sie zwingt den Anbieter zu sagen, was von seinem System übrig bleibt, wenn er nicht mehr da ist. Die guten Anbieter antworten mit einem Übergabeplan: welche Rollen bis wann intern besetzt sind, welches Wissen wie übergeben wird.
Daran erkennst du übrigens auch ein gutes externes Mandat: Es baut sich planmässig selbst ab. Wissen wandert nach innen, Rollen werden übergeben, und extern bleibt am Ende nur, was du bewusst extern haben willst, etwa den unabhängigen Blick fürs interne Audit.
Ein Nebensignal, das mehr verrät als jede Referenzliste: das Preismodell. Ein reines Abo ohne definiertes Ende hat ein eingebautes Interesse daran, dass du abhängig bleibst. Ein Projektpreis für den Aufbau plus ein klar umrissenes, kleineres Mandat für den Betrieb zeigt dagegen, dass der Anbieter die Übergabe einplant. Das ist kein Beweis für Qualität, aber ein brauchbarer Hinweis darauf, wessen Problem hier dauerhaft gelöst werden soll: deines oder das seiner Auslastung.
Abonnieren oder aufbauen?
ISMS as a Service ist kein Etikettenschwindel, nur ein unpräziser Name für etwas Nützliches: Erfahrung, Methode und eine externe Rolle, die du dir als Vollzeitstelle nicht leisten könntest. Kauf das ruhig ein. Aber kauf es als das, was es ist: Hilfe beim Aufbau und Betrieb eines Systems, das deiner Organisation gehört und von ihr gelebt wird.
Wenn du gerade ein solches Angebot prüfst oder wissen willst, wie viel ISMS dein Unternehmen überhaupt braucht, sprich mit uns. Ein Erstgespräch ist unverbindlich, und manchmal ist das Ergebnis: weniger, als der Anbieter dir verkaufen will.
Und falls bei dir schon ein ISMS as a Service läuft, eine Frage zum Schluss: Wüsste deine Geschäftsleitung ohne den Berater im Raum, welche drei Risiken sie dieses Jahr akzeptiert hat?
