Die Anfrage erreicht uns fast immer in derselben Woche wie die Mail vom Grosskunden. Im Anhang ein Lieferantenfragebogen über mehrere Dutzend Positionen, irgendwo im Begleittext der Satz «Wir erwarten von unseren Partnern ein Informationssicherheits-Managementsystem nach ISO 27001». Und am Telefon dann die Frage, die wir gut verstehen: «Was kostet das Zertifikat, und wie schnell geht das?»
Es ist die falsche erste Frage, denn in diesem Moment fehlt etwas Grundlegenderes: Niemand im Unternehmen weiss, wo es steht. Genau dafür gibt es das Security Assessment vor ISO 27001. Erst messen, dann bauen.
Der Reflex, den der Fragebogen auslöst
Was nach so einer Kundenmail typischerweise passiert, läuft in einer erstaunlich stabilen Reihenfolge ab. Zuerst wird ein Projekt aufgesetzt, mit Termin, denn der Kunde hat einen genannt. Dann wird ein ISMS-Tool evaluiert, weil die Anbieter versprechen, die Zertifizierung damit deutlich zu beschleunigen. Und parallel bestellt jemand einen Satz Policy-Vorlagen, damit schnell Dokumente da sind.
Das ist alles nachvollziehbar. Der Druck ist echt, der Termin auch. Aber die Reihenfolge stellt das Projekt auf den Kopf. Ein ISMS beschreibt, wie dein Unternehmen mit seinen Informationsrisiken umgeht. Wer es aufbaut, ohne die eigene Ausgangslage zu kennen, beschreibt ein Unternehmen, das es nicht gibt. Die Vorlagen passen nicht zu euren Abläufen, das Tool verwaltet Kontrollen, die niemand betreibt, und der Auditor merkt beides.
Der Auslöser ist übrigens nicht immer ein Kunde. Seit das Informationssicherheitsgesetz für Betreiber kritischer Infrastrukturen ein ISMS verlangt, kommt derselbe Reflex auch aus der Regulierung. Der Fragebogen heisst dann Gesetz, die Mechanik ist dieselbe. Ob du überhaupt unter diese Pflicht fällst, haben wir im Beitrag zur ISG-ISMS-Pflicht 2026 sortiert.
Das Problem ist dabei fast nie fehlende Motivation. Es ist fehlende Ortskenntnis. Eine Route kannst du erst planen, wenn du den Startpunkt kennst, und der Startpunkt ist bei Informationssicherheit erfahrungsgemäss nie dort, wo das Bauchgefühl ihn vermutet. In beide Richtungen nicht.
Was schon steht, ohne dass es jemand aufgeschrieben hat
Hier kommt der Teil, der die meisten Geschäftsführer überrascht, und zwar positiv. In unserer Erfahrung hat ein Schweizer KMU mit funktionierender IT deutlich mehr Informationssicherheit, als es selbst glaubt. Die Backups laufen und wurden nach dem letzten Serverumzug sogar getestet. Die Mehrfaktor-Authentisierung ist seit der Cyber-Versicherungspolice Pflicht. Der MSP-Vertrag regelt Patching und Störungsbehebung. Beim Austritt von Mitarbeitenden gibt es eine Checkliste, die HR auch benutzt.
Nichts davon heisst ISMS. Vieles davon ist nirgends dokumentiert. Aber es existiert, es funktioniert, und es ist ein erheblicher Teil dessen, was ISO 27001 verlangt.
Ein Assessment macht genau das sichtbar. Es beantwortet die Frage «Was haben wir schon?» bevor irgendjemand die Frage «Was müssen wir kaufen?» stellt. Das verändert das Projekt spürbar: Aus «Wir müssen ein ISMS aufbauen» wird «Wir müssen dokumentieren und schliessen, was fehlt». Das zweite ist kleiner und ehrlicher als das erste.
Die Kehrseite gibt es auch, und die gehört zur gleichen Übung: Manches, worauf sich alle verlassen, hält der Nachfrage nicht stand. Der Notfallplan, der noch die Namen von zwei Ausgetretenen enthält. Das Adminkonto des früheren Lehrlings, das nie deaktiviert wurde. Auch das steht dann auf der Landkarte, und zwar bevor es der Auditor oder jemand Unfreundlicheres findet.
Lücken nach Risiko sortiert, nicht nach Norm-Kapitel
Man kann die Standortbestimmung auch rein formal machen: die Norm nehmen, Kontrolle für Kontrolle abfragen, Häkchen setzen. Das Ergebnis ist eine Gap-Analyse gegen ISO 27001, und sie hat einen eingebauten Fehler: Sie druckt alle Lücken gleich gross.
Auf so einer Liste steht die fehlende Richtlinie zur Bildschirmsperre direkt neben dem fehlenden Berechtigungskonzept für das ERP, in dem eure gesamte Fertigung hängt. Formal sind beides Abweichungen. Für dein Unternehmen liegt dazwischen ein Abgrund.
Ein Security Assessment, wie wir es verstehen, beginnt deshalb nicht bei der Norm, sondern bei eurem Geschäft: Welche Prozesse dürfen nicht stillstehen, welche Daten dürfen nicht abfliessen, und wo seid ihr dafür verwundbar? Erst danach kommt die Norm als Raster darüber. Das Resultat ist dieselbe Liste von Lücken, aber mit einer Rangordnung, die aus eurem Risiko kommt statt aus der Kapitelnummer. Die ersten Massnahmen senken dann Risiko, statt nur den Erfüllungsgrad zu heben.
Zur Abgrenzung: Ein Assessment ist kein Penetration Test. Der Pen-Test prüft technisch, ob jemand reinkommt. Das Assessment prüft, ob dein Unternehmen organisatorisch und technisch so aufgestellt ist, wie es das glaubt. Was wann sinnvoll ist, haben wir im Beitrag Security Assessment vs. Penetration Test auseinandergenommen.
Zum Ablauf, weil da oft falsche Bilder im Kopf sind: Eine Standortbestimmung dieser Art ist kein monatelanges Projekt, und sie installiert nichts in euren Systemen. Sie besteht zum grössten Teil aus Gesprächen mit den Leuten, die die Arbeit machen, aus einem Blick in Konfigurationen, Verträge und die vorhandene Dokumentation, und aus dem Abgleich mit dem, was euer Geschäft braucht. Am Ende steht ein Bericht, mit dem Geschäftsleitung und IT dasselbe Bild vor sich haben, mit einer priorisierten Liste statt einem Normzitat pro Zeile.
Der Geltungsbereich: der grösste Hebel, die früheste Entscheidung
Es gibt eine Entscheidung im ganzen ISO-27001-Projekt, die mehr über Aufwand und Kosten bestimmt als jede andere: der Geltungsbereich. Zertifizierst du das ganze Unternehmen oder den Teil, der für deine Kunden relevant ist? Wir haben im Beitrag zu den Kosten von ISO 27001 beschrieben, warum der Geltungsbereich der eigentliche Kostenhebel ist.
Nur: Diese Entscheidung fällt ganz am Anfang, und sie setzt genau das Wissen voraus, das ein Assessment liefert. Welche Systeme und Teams hängen an der Leistung, die der Grosskunde bezieht? Wo verlaufen die Grenzen sauber, wo würde ein zu enger Schnitt künstlich wirken? Wer den Geltungsbereich aus dem Bauch festlegt, zertifiziert entweder zu viel und bezahlt jahrelang dafür, oder zu wenig und fällt beim Kunden durch, der das Zertifikat genau liest.
Mit einer sauberen Bestandsaufnahme wird der Geltungsbereich von einer Wette zu einer Entscheidung. Das allein spart in vielen Projekten mehr, als das Assessment kostet.
Wie du das Ergebnis liest, ohne einkaufen zu gehen
Ein Wort zur Wirkung solcher Berichte, denn hier entscheidet sich, ob die Übung etwas bringt. Ein Assessment-Bericht mit dreissig Findings löst bei vielen Empfängern denselben Reflex aus wie der Kundenfragebogen am Anfang: das Bedürfnis, schnell etwas zu beschaffen, damit die Liste kürzer wird.
Dabei lohnt sich ein zweiter Blick auf die Art der Lücken. In unserer Erfahrung ist die Mehrheit davon organisatorisch: unklare Verantwortlichkeiten, fehlende Regelungen, nie getestete Abläufe, Wissen, das nur in einem Kopf existiert. Solche Lücken schliesst kein Produkt. Sie kosten Arbeitszeit und Entscheidungen, aber selten neue Lizenzen. Ein Bericht, der vor allem Beschaffungen auslöst, wurde falsch gelesen, oder er wurde von jemandem geschrieben, der dir etwas verkaufen will.
Und ja, manchmal steht am Ende ein Kauf. Wenn ein relevantes Risiko offen ist und kein vorhandenes Werkzeug es abdeckt, ist Beschaffen die richtige Antwort. Als letzte Antwort, nach der Prüfung des Bestands. Nicht als erste. Wie ein ISMS aussieht, das mit dem Vorhandenen arbeitet statt gegen es, steht im Beitrag über den pragmatischen ISMS-Aufbau.
Wann du dir die Übung sparen kannst
Der Vollständigkeit halber: Es gibt Fälle, in denen ein separates Assessment wenig bringt. Wenn ihr in den letzten zwölf Monaten eine saubere Bestandsaufnahme gemacht habt und sie noch stimmt, arbeitet damit. Wenn eure Muttergesellschaft ein zertifiziertes ISMS betreibt und euer Standort darin aufgehen soll, stellt sich eine andere Frage, nämlich die nach der Integration.
Und wenn der Kunde gar kein Zertifikat verlangt, sondern nur einen ausgefüllten Fragebogen, reicht manchmal genau das: den Fragebogen ehrlich ausfüllen und die zwei, drei unangenehmen Antworten mit einem Massnahmenplan versehen. Auch das haben wir schon empfohlen, obwohl es für uns das kleinere Mandat ist. Ein Assessment ist ein Werkzeug, kein Ritual.
Erst die Landkarte, dann die Route
Zurück zur Firma mit dem Fragebogen. Die Antwort an den Grosskunden, die in unserer Erfahrung trägt, ist nicht das eilige Versprechen «Zertifikat bis nächsten Sommer». Es ist ein Plan mit Substanz: Hier stehen wir, belegt durch eine externe Standortbestimmung. Das ist unser Geltungsbereich, so schliessen wir die relevanten Lücken, in dieser Reihenfolge, bis dann. Ein Einkäufer, der Lieferanten bewertet, kann mit so einer Antwort arbeiten. Mit einem Versprechen ohne Unterbau kann er das nicht.
Die Reihenfolge kostet am Anfang ein paar Wochen. Sie spart sie mehrfach wieder ein, weil das Projekt danach auf Fakten läuft statt auf Annahmen, und weil niemand Kontrollen baut, die es schon gibt, oder Dinge zertifiziert, die kein Kunde verlangt hat.
Wenn bei dir gerade so ein Fragebogen auf dem Tisch liegt und du wissen willst, wo ihr steht, bevor jemand ein Projekt aufsetzt: Genau solche Standortbestimmungen machen wir. Ein Erstgespräch ist unverbindlich.
Uns interessiert dabei übrigens immer dieselbe Sache zuerst: Was läuft bei euch schon rund, ohne dass es je jemand aufgeschrieben hat?
