Ein mittelgrosses Schweizer Unternehmen erlebt einen Beinahe-Vorfall: Eine täuschend echte Phishing-Mail führt beinahe zu einer falschen Zahlung, gleichzeitig stellt sich heraus, dass niemand die Cyber-Risiken systematisch verantwortet. Der IT-Dienstleister betreibt Systeme zuverlässig, die Geschäftsleitung entscheidet Investitionen nach Dringlichkeit, und Sicherheitsfragen landen nebenbei beim Head of IT oder CFO. Genau hier setzt CISO as a Service für KMU an. Mehrwert entsteht nicht durch eine weitere Checkliste, sondern durch einen wiederkehrenden Rhythmus aus Risiko-Steuerung, Investitionsbeurteilung, Audit-Begleitung und nachvollziehbarer Verantwortung.
📑 Inhaltsübersicht
Warum viele KMU faktisch keinen CISO haben, aber einen brauchen · CISO as a Service für KMU: warum ein regelmässiger Rhythmus zählt · Risiken steuern, Investitionen beurteilen und Audits wirksam nutzen · Regulatorischer Kontext: nDSG, Meldepflichten und Branchenaufsicht · Die TECHWAY-Position · Häufig gestellte Fragen
Warum viele KMU faktisch keinen CISO haben, aber einen brauchen
In vielen Schweizer KMU ist Informationssicherheit organisatorisch nicht leer, aber unscharf besetzt. Jemand kümmert sich um Benutzerkonten, Backups, Geräte, Cloud-Dienste und Support. Ein IT-Partner sorgt dafür, dass der Betrieb läuft. Was oft fehlt, ist eine klar mandatierte Person, die Cyber-Risiken aus Sicht der Geschäftsleitung beurteilt, Prioritäten setzt, Massnahmen nachverfolgt und Entscheide dokumentiert. Genau diese Lücke ist der eigentliche Ausgangspunkt für einen externen CISO oder vCISO.
Das Bundesamt für Cybersicherheit stellt mit der Seite Schützen Sie Ihr KMU bewusst einfache Einstiegshilfen bereit. Solche Grundlagen sind wertvoll, sie lösen aber das Steuerungsproblem nicht allein. Eine Checkliste sagt, was geprüft werden sollte. Sie entscheidet nicht, welches Risiko akzeptiert wird, welche Massnahme zuerst kommt, welche Investition wirtschaftlich sinnvoll ist und wer im Vorfall mit welcher Befugnis handelt.
Die KMU-Realität ist dabei nicht mangelnder Wille, sondern begrenzte Kapazität. Viele Organisationen haben solide IT, aber keine formalisierte Sicherheitsführung. Der gleiche IT-Verantwortliche, der Lieferanten koordiniert, Supportfälle löst und Projekte vorantreibt, soll zusätzlich Cyber-Risiken bewerten, Management-Reports erstellen und Audits vorbereiten. Das funktioniert in ruhigen Phasen manchmal, aber nicht verlässlich, wenn Bedrohungen, regulatorische Anforderungen und Abhängigkeiten von Cloud- und Outsourcing-Partnern zunehmen.
CISO as a Service ist deshalb nicht als Ersatz für gute IT zu verstehen. Die Rolle ergänzt den Betrieb um eine unabhängige Sicherheitsführung. Sie übersetzt technische Sachverhalte in Geschäftsrisiken, stellt unbequeme Fragen und schafft einen regelmässigen Entscheidungsrahmen. Der rote Faden lautet: Steuerung statt Checkliste.
CISO as a Service für KMU: Punktuell reicht nicht, ein regelmässiger Rhythmus zählt
Ein einmaliges Assessment kann einen guten Ausgangspunkt liefern. Es zeigt Lücken, ordnet Kontrollen ein und schafft Aufmerksamkeit. Danach beginnt aber erst die eigentliche Arbeit. Risiken verändern sich mit neuen Mitarbeitenden, neuen Cloud-Diensten, veränderten Lieferketten, neuen Kundenanforderungen und neuen Angriffsmustern. Wer nur einmal im Jahr eine Liste aktualisiert, steuert nicht, sondern dokumentiert den Rückspiegel.
CISO as a Service schafft wiederkehrende Sicherheitsführung, nicht nur eine Momentaufnahme
Kontinuität ist der Unterschied zwischen Liste und Steuerung
Ein externer CISO sollte in einem wiederkehrenden, mehrmals monatlichen Rhythmus eingebunden sein, nicht nur vor Audits oder nach Vorfällen. In dieser Kadenz werden Risiken überprüft, Massnahmen priorisiert, offene Punkte mit Verantwortlichen nachverfolgt und Entscheide managementtauglich dokumentiert. Das klingt unspektakulär, ist aber der Kern wirksamer Sicherheitsführung.
Der NIST Cybersecurity Framework 2.0 Small Business Quick-Start Guide stellt Governance ausdrücklich an den Anfang. Für KMU ist das relevant, weil es Cybersecurity nicht als Sammlung technischer Einzelmassnahmen versteht, sondern als Führungsaufgabe: Erwartungen festlegen, Risiken verstehen, Zuständigkeiten klären, Massnahmen überwachen und die Organisation nach Vorfällen wieder handlungsfähig machen.
Risiken erkennen und steuern statt nur auflisten
Ein guter CISO as a Service beginnt nicht mit einem Tool-Katalog, sondern mit dem Geschäftsmodell. Welche Systeme sind für Umsatz, Produktion, Kundenbetreuung oder Liquidität kritisch? Welche Daten sind besonders schützenswert? Welche Ausfälle wären verkraftbar, welche nicht? Aus diesen Fragen entsteht ein Risiko-Bild, das die Geschäftsleitung verstehen und entscheiden kann. Dazu gehören ein einfacher Risikoappetit, klare Verantwortliche, nachvollziehbare Massnahmen und ein regelmässiges Review der Wirksamkeit.
IT- und Technik-Investitionen fundiert beurteilen
Viele KMU beziehen IT-Leistungen von einem oder mehreren externen Dienstleistern. Das ist sinnvoll und oft effizient. Gleichzeitig entsteht ein Interessenkonflikt, wenn derselbe Anbieter Sicherheitsbedarf analysiert, Produkte empfiehlt, implementiert und anschliessend die Wirksamkeit seiner eigenen Massnahmen beurteilt. Ein externer CISO schafft hier eine unabhängige Zweitmeinung. Er fragt, ob eine Investition in EDR oder XDR, SIEM, MFA und IAM, Backup-Resilienz oder Sensibilisierung tatsächlich zum Risiko passt, oder ob eine weniger sichtbare organisatorische Massnahme dringlicher wäre.
Risiken steuern, Investitionen beurteilen und Audits wirksam nutzen
Die zentrale Leistung eines externen CISO liegt in der Übersetzung. Technische Befunde werden zu priorisierten Geschäftsrisiken. Anbieterangebote werden zu nachvollziehbaren Investitionsentscheiden. Audit-Ergebnisse werden zu einem Massnahmenplan, der nicht in einer Ablage verschwindet. Diese Übersetzung braucht Nähe zur Geschäftsleitung, aber auch genügend Distanz zum Tagesbetrieb.
Checklisten-CISO oder wirksame Sicherheitsführung?
Ein Checklisten-CISO produziert lange Tabellen, aber keine Entscheide. Ein wirksamer CISO as a Service priorisiert wenige Massnahmen, benennt Verantwortliche, klärt Abhängigkeiten und zeigt der Geschäftsleitung, welches Restrisiko nach Umsetzung verbleibt. Der Unterschied ist nicht akademisch. Er entscheidet darüber, ob Geld in Kontrollen fliesst, die den Betrieb wirklich robuster machen.
Erstens: Reifegrad statt Momentaufnahme. Ein Reifegrad-Assessment ist nur nützlich, wenn es wiederholt wird und eine Entwicklung sichtbar macht. Die vom Schweizerischen Versicherungsverband vorgestellte revidierte Cybersecurity-Check-Systematik für KMU betont Organisation, Prozesse und externe Partner als relevante Bereiche. Genau dort zeigt sich, ob ein Unternehmen Sicherheit tatsächlich führt oder nur technische Massnahmen sammelt.
Zweitens: Audit-Begleitung mit Wirkung. Audits und Assessments sind keine Prüfrituale. Richtig genutzt, schaffen sie Management-Transparenz. Ein externer CISO bereitet Nachweise vor, erklärt Abweichungen, bewertet Feststellungen nach Risiko und sorgt dafür, dass Massnahmen nicht nur beschlossen, sondern nachverfolgt werden. Das gilt für interne Reviews ebenso wie für Kunden-Assessments, Versicherungsfragen oder ISO/IEC-27001-orientierte Programme.
Drittens: Lieferantensteuerung. KMU sind auf IT-Partner angewiesen. Das Ziel ist nicht Misstrauen, sondern klare Rollen. Der IT-Dienstleister betreibt und implementiert. Der CISO as a Service beurteilt Sicherheitsziele, Risiken, Prioritäten und Nachweise im Auftrag der Geschäftsleitung. Diese Trennung verbessert Entscheidungen und schützt auch den IT-Partner vor unklaren Erwartungen.
Wer bereits über ISO/IEC 27001 nachdenkt, sollte CISO as a Service nicht als Parallelstruktur verstehen, sondern als pragmatischen Einstieg in ein schlankes Sicherheitsprogramm. Wie ISO 27001 für kleinere Organisationen sinnvoll eingeordnet werden kann, haben wir im Beitrag ISO 27001 für KMU in der Schweiz beschrieben. Entscheidend bleibt auch dort: Die Norm schafft Orientierung, aber die Steuerung muss gelebt werden.
Regulatorischer Kontext: nDSG, Meldepflichten und Branchenaufsicht
KMU brauchen keine Konzern-Compliance, aber sie brauchen eine realistische regulatorische Einordnung. Das revidierte Datenschutzgesetz verlangt angemessene technische und organisatorische Massnahmen. Je nach Datenbearbeitung können ein Bearbeitungsverzeichnis, Datenschutz-Folgenabschätzungen und klare Prozesse für Datenschutzvorfälle relevant werden. Hinzu kommen branchenspezifische Anforderungen, Kundenanforderungen aus Lieferketten und, bei Finanzbezug, aufsichtsrechtliche Erwartungen an Outsourcing, Informationssicherheit und operationelle Resilienz.
nDSG: Für viele KMU ist das Datenschutzrecht der wichtigste Schweizer Rechtsanker. Art. 12 zum Bearbeitungsverzeichnis und Art. 22 zur Datenschutz-Folgenabschätzung werden nicht in jedem Fall gleich intensiv greifen. Entscheidend ist, dass die Geschäftsleitung weiss, welche Personendaten bearbeitet werden, welche Risiken für Betroffene entstehen und welche technischen und organisatorischen Massnahmen angemessen sind.
Melde- und Vorfallprozesse: Die direkte 24-Stunden-Meldepflicht an das NCSC betrifft Betreiber kritischer Infrastrukturen. Dennoch ist der Gedanke auch für KMU ausserhalb dieses Kreises wichtig: Wer im Vorfall zuerst Rollen, Entscheidungswege und Kommunikationslinien klären muss, verliert Zeit. Ein Notfallplan ist nur dann wirksam, wenn er bekannt, getestet und aktualisiert ist.
NIS-2-Spillover: Schweizer KMU sind nicht automatisch direkt von NIS-2 erfasst. Indirekt können Anforderungen aber über EU-Kunden, Tochtergesellschaften, Lieferverträge oder Sicherheitsfragebögen wirken. Ein externer CISO hilft, solche Anforderungen zu sortieren, ohne unnötige Bürokratie aufzubauen.
Branchenaufsicht: Für Unternehmen mit Finanz-, Gesundheits-, Industrie- oder kritischem Infrastruktursbezug können zusätzliche Erwartungen entstehen. Auch hier gilt: Nicht jede Vorgabe verlangt ein grosses Sicherheitsprogramm. Aber sie verlangt klare Zuständigkeiten, Nachweise und eine plausible Steuerung der wichtigsten Risiken.
Die europäische Perspektive bestätigt den Befund. ENISA beschreibt in seinem Bericht Cybersecurity for SMEs: Challenges and Recommendations, dass fehlende Cyber-Kompetenzen, begrenzte Budgets und unklare Verantwortlichkeiten typische Hürden kleiner und mittlerer Unternehmen sind. Die Schlussfolgerung ist nicht, KMU mit komplexen Governance-Modellen zu überfordern. Die Schlussfolgerung ist, Verantwortung einfach, wiederkehrend und nachweisbar zu organisieren.
Die TECHWAY-Position
Als unabhängiger Schweizer Cybersecurity-Berater sehen wir CISO as a Service für KMU als Führungsfunktion, nicht als ausgelagerte Checklistenstelle. Der externe CISO muss nahe genug an Geschäftsleitung, Verwaltungsrat und IT sein, um Entscheidungen zu ermöglichen. Gleichzeitig muss er unabhängig genug bleiben, um Investitionen, Dienstleisterleistungen und Prioritäten kritisch einzuordnen.
Der Mehrwert entsteht im wiederkehrenden Rhythmus. In regelmässigen Steuerungsterminen werden Risiken aktualisiert, Massnahmen überprüft, neue Projekte beurteilt, Vorfälle ausgewertet und Management-Reports erstellt. So wird aus Informationssicherheit ein geführtes Programm. Ohne diese Kontinuität bleibt CISO as a Service ein Etikett für punktuelle Beratung.
Vier Kriterien für einen wertstiftenden CISO as a Service:
1) Management-taugliche Risiko-Steuerung: Die Geschäftsleitung erhält keine technischen Rohbefunde, sondern priorisierte Risiken, Entscheidungsoptionen und eine klare Aussage zum Restrisiko. Damit wird Verantwortung tragbar und dokumentierbar.
2) Unabhängigkeit vom IT-Lieferanten: Der externe CISO verkauft keine Werkzeuge als Selbstzweck. Er beurteilt, ob vorgeschlagene Massnahmen zum Risiko, zur Unternehmensgrösse, zum Budgetrahmen und zur betrieblichen Realität passen.
3) Nachweisbare Reifegradentwicklung: Ein Reifegrad-Assessment ist der Startpunkt, nicht das Ziel. Entscheidend ist, ob sich Kontrollen, Prozesse, Schulungen, Vorfallfähigkeit und Lieferantensteuerung über die Zeit messbar verbessern.
4) Audit- und Assessment-Fähigkeit: Der CISO as a Service sorgt dafür, dass Nachweise vorhanden, verständlich und belastbar sind. Dazu gehören Policies, Risikoentscheide, Massnahmenstatus, Protokolle, Lieferantenbewertungen und Vorfallübungen.
Schlussfolgerung
CISO as a Service für KMU ist dann sinnvoll, wenn die Rolle kontinuierlich wirkt. Ein externer CISO ersetzt weder Geschäftsleitung noch IT-Dienstleister. Er schafft den fehlenden Steuerungsrahmen zwischen beiden: Risiken werden verständlich, Investitionen vergleichbar, Audits nutzbar und regulatorische Anforderungen handhabbar.
Die wichtigste Abgrenzung bleibt einfach: Eine Checkliste zeigt, was man tun könnte. Steuerung entscheidet, was man warum tut, wer es verantwortet, bis wann es umgesetzt wird und welches Restrisiko akzeptiert bleibt. Für KMU ohne eigene CISO-Rolle liegt genau darin der praktische Nutzen eines vCISO.
Unverbindliches Gespräch zu CISO as a Service
Sie möchten klären, ob ein externer CISO für Ihr KMU sinnvoll ist, oder ob zunächst ein Reifegrad-Assessment genügt? TECHWAY unterstützt Schweizer Unternehmen beim Aufbau eines pragmatischen Sicherheitsprogramms, bei Management-Reporting, Audit-Vorbereitung und der unabhängigen Beurteilung von Cyber-Investitionen.
🎯 Key Take-Aways für Entscheider
Zusammenfassung für Geschäftsleitung, Verwaltungsrat, CFO und IT-Leitung:
✓ CISO as a Service ist Steuerung: Der Wert liegt in wiederkehrenden Risikoentscheiden, nicht im Abarbeiten zusätzlicher Checklisten.
✓ Kontinuität zählt: Risiken, Lieferanten, Systeme und Anforderungen verändern sich laufend. Ein Einmal-Assessment veraltet schnell.
✓ Unabhängigkeit schützt Entscheidungen: Ein externer CISO liefert eine Zweitmeinung zu IT-Angeboten, Sicherheitsinvestitionen und Prioritäten.
✓ Nachweise sind Selbstschutz: Dokumentierte Entscheide, Massnahmenstatus und Vorfallprozesse helfen Geschäftsleitung und Verwaltungsrat, Sorgfalt plausibel zu belegen.
✓ KMU brauchen keine Konzern-Bürokratie: Ein schlankes Sicherheitsprogramm mit klaren Rollen, Reifegrad-Entwicklung und Management-Reporting genügt oft als tragfähiger Start.
Häufig gestellte Fragen: FAQ zu CISO as a Service für KMU
Was macht ein CISO as a Service konkret?
Ein CISO as a Service übernimmt die Sicherheitsführung im Auftrag der Geschäftsleitung. Dazu gehören Risikoanalyse, Priorisierung von Massnahmen, Management-Reporting, Audit- und Assessment-Begleitung, Vorfallvorbereitung, Lieferantensteuerung und die unabhängige Beurteilung von Cyber-Investitionen. Er ersetzt nicht den IT-Betrieb, sondern steuert Informationssicherheit aus Risiko- und Führungssicht.
Braucht ein KMU ohne Regulierung überhaupt einen externen CISO?
Nicht jedes KMU braucht eine formale CISO-Rolle im Konzernverständnis. Viele KMU brauchen aber jemanden, der Cyber-Risiken regelmässig beurteilt, Zuständigkeiten klärt, Massnahmen nachverfolgt und Entscheide dokumentiert. Ein externer CISO ist besonders sinnvoll, wenn IT ausgelagert ist, Kunden Sicherheitsnachweise verlangen oder die Geschäftsleitung Cyber-Risiken nicht mehr nebenbei steuern kann.
Wie regelmässig sollte ein externer CISO eingebunden sein?
Der Nutzen entsteht durch einen wiederkehrenden, mehrmals monatlichen Rhythmus statt durch punktuelle Einsätze. In diesem Rhythmus werden Risiken aktualisiert, Massnahmen geprüft, neue Projekte beurteilt und Management-Entscheide vorbereitet. Der konkrete Aufwand hängt von Ausgangslage, Branche, Datenbearbeitung, Lieferantenstruktur und Ziel-Reifegrad ab.
Worin unterscheidet sich ein CISO as a Service vom bestehenden IT-Dienstleister?
Der IT-Dienstleister betreibt Systeme, setzt technische Massnahmen um und sorgt für den laufenden IT-Betrieb. Ein CISO as a Service beurteilt unabhängig, welche Risiken bestehen, welche Massnahmen Priorität haben, welche Investitionen sinnvoll sind und welche Nachweise die Geschäftsleitung benötigt. Diese Rollentrennung reduziert Interessenkonflikte und verbessert die Qualität von Entscheidungen.
