ISO 27001 Zertifizierung Schweiz: Kosten, Dauer und Ablauf 2026

01 Was Sie mit ISO 27001 gewinnen

Die ISO/IEC 27001 beschreibt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS). Die aktuelle Fassung, ISO/IEC 27001:2022, ersetzt seit Oktober 2022 die Version von 2013. Weltweit existieren über 70'000 gültige Zertifizierungen, ein Plus von 20 Prozent gegenüber 2021 [ ISO Survey 2024 ] . In der Schweiz sind es mehr als 1'850 aktive Zertifikate [ SAS 2025 ] , und die Kurve zeigt nach oben.

Für Schweizer Unternehmen zahlt sich die Zertifizierung an vier Stellen aus. Sie erfüllen die nDSG-Pflicht zu angemessenen technischen und organisatorischen Massnahmen (Art. 8) mit einem anerkannten Rahmen statt mit Stückwerk. Sie gewinnen Aufträge, denn 68 Prozent der Schweizer Grossunternehmen verlangen von Lieferanten eine ISO 27001 oder einen gleichwertigen Nachweis [ BFS 2024 ] . Sie stärken das Vertrauen von Kunden, Partnern und Investoren, gerade in Finanzdienstleistung, Gesundheitswesen und öffentlicher Verwaltung. Und Sie halten ein Zertifikat in der Hand, das grenzüberschreitend verstanden wird.

02 Der Ablauf Schritt für Schritt

Am Ende halten Sie ein Zertifikat mit drei Jahren Gültigkeit. Der Weg dahin ist ein strukturierter Prozess, der je nach Grösse und Reifegrad 6 bis 18 Monate dauert. Die SQS und andere in der Schweiz akkreditierte Zertifizierungsstellen folgen diesem bewährten Ablauf.

03 Die Rolle des Penetrationstests

Ein Penetrationstest liefert Ihnen den Nachweis, an dem sich das ganze Audit entscheidet. Die ISO 27001 schreibt ihn nicht wörtlich vor. In der Praxis erwarten Auditoren akkreditierter Stellen wie der SQS den Pentest-Bericht trotzdem, weil er belegt, dass Ihre Kontrollen wirken. Annex A, Kontrolle A.8.8 verlangt, dass Sie technische Schwachstellen zeitnah erkennen, bewerten und beheben.

Ein professioneller Penetrationstest geht über automatisierte Scans hinaus. Er prüft die tatsächliche Widerstandsfähigkeit Ihrer Systeme unter realistischen Angriffsbedingungen. Nebenbei stützt er mehrere weitere Kontrollen und erspart Ihnen im Audit die Nachfragen.

04 ISO 27001 vs. SOC 2 vs. nDSG

Welcher Nachweis bringt Ihnen am meisten? Die Antwort hängt an Branche, Kundschaft und Regulierung. Für die meisten Schweizer Firmen ist die ISO 27001 der richtige Ausgangspunkt, weil sie die nDSG-Anforderungen mit abdeckt und international verstanden wird. Der direkte Vergleich zeigt, wo die Grenzen verlaufen.

Firmen mit überwiegend US-amerikanischer Kundschaft nehmen ergänzend einen SOC 2 Report dazu. In jedem Fall bildet ein Penetrationstest die Grundlage für den Nachweis technischer Wirksamkeit, unabhängig vom gewählten Rahmen. Wer die ISO 27001 als Fundament nutzt, baut die nDSG-spezifischen Pflichten darauf auf statt daneben.

05 Kosten in der Schweiz

Die Gesamtkosten hängen an Unternehmensgrösse, IT-Komplexität und dem Reifegrad Ihrer bestehenden Prozesse. Für ein Schweizer KMU mit 50 bis 250 Mitarbeitenden gelten die folgenden Richtwerte. Sie zeigen, wo das Budget hingeht und was Sie dafür bekommen.

Die Summe klingt nach viel, bis man die Gegenrechnung macht. Eine Datenpanne kostet ein Unternehmen in der Schweiz im Schnitt CHF 4,2 Millionen [ IBM 2025 ] , dazu drohen unter dem nDSG persönliche Bussen bis CHF 250'000. Gemessen daran ist die Zertifizierung die günstige Seite der Rechnung, und der Schutz Ihrer persönlichen Haftung ist im Preis inbegriffen.

06 Stolperfallen und Checkliste

Aus Dutzenden Zertifizierungsprojekten mit Schweizer Firmen kennen wir die Fehler, die immer wieder Zeit und Geld kosten. Sie fallen nicht beim Einkauf auf. Sie fallen im Audit auf, wenn es teuer wird.

Als CREST-zertifiziertes Team begleiten wir den technischen Teil Ihrer Zertifizierung: technische Gap-Analyse gegen Annex A, ein CREST-akkreditierter Penetrationstest mit auditgerechter Zuordnung der Findings, auf Wunsch Red Teaming für die gesamte Abwehrkette, eine Bedrohungsanalyse als Basis der geforderten Risikobewertung sowie Nachtests, die die behobenen Lücken validieren. RTP Robin ist das Dashboard, in dem ein Test ein Jahr unbegrenzter Nachtests kauft: Ihre Operatoren wiederholen den Angriff, sobald sich Ihre Angriffsfläche ändert, und ein Mensch prüft jeden Befund, bevor er Sie erreicht.

Sie wollen wissen, ob Ihre technischen Kontrollen ein Stage 2 Audit bestehen? Ein kostenloses Erst-Audit von Red Team Partners zeigt Ihnen die exponierte Angriffsfläche, den wahrscheinlichsten Weg hinein und eine priorisierte Fix-Liste, geschrieben für Ihre Technik und Ihren Vorstand. Enterprise-grade. Nicht enterprise-priced.