Ein Kunde fordert einen Sicherheitsnachweis, die Geschäftsleitung erwartet Transparenz über Cyberrisiken und das IT-Team braucht klare Prioritäten. Spätestens dann stellt sich die Frage: ISO 27001 oder NIST CSF? Beide Frameworks schaffen Orientierung, verfolgen aber unterschiedliche Ziele. Die richtige Wahl hängt weniger von einer allgemeinen Empfehlung ab als von den Anforderungen Ihrer Organisation.

Für Schweizer KMU sowie öffentliche und halböffentliche Organisationen ist vor allem entscheidend, ob ein formeller Nachweis benötigt wird, wie weit die Sicherheitsorganisation bereits entwickelt ist und ob die Anforderungen im Alltag tatsächlich steuerbar bleiben. Ein Framework ist nur dann hilfreich, wenn aus Bewertungen konkrete Massnahmen, verantwortliche Personen und nachvollziehbare Fortschritte entstehen.

ISO 27001 oder NIST CSF: Der grundlegende Unterschied

ISO 27001 ist eine international anerkannte Norm für ein Informationssicherheits-Managementsystem, kurz ISMS. Sie beschreibt, wie eine Organisation Informationssicherheit systematisch aufbaut, betreibt, überwacht und fortlaufend verbessert. Im Zentrum stehen nicht einzelne technische Schutzmassnahmen, sondern ein nachvollziehbarer Managementprozess: Kontext und Geltungsbereich festlegen, Risiken bewerten, Sicherheitsziele definieren, Massnahmen umsetzen, deren Wirksamkeit prüfen und die Leitung einbeziehen.

Die Norm ISO 27001:2022 kann von akkreditierten Stellen zertifiziert werden. Das ist ein wesentlicher Unterschied zum NIST CSF. Eine Zertifizierung signalisiert gegenüber Kunden, Partnern, Behörden oder Ausschreibungsstellen, dass das ISMS regelmässig extern geprüft wird. Sie erfordert jedoch belastbare Nachweise, klar geregelte Verantwortlichkeiten und einen kontinuierlichen Betrieb.

Das NIST Cybersecurity Framework, kurz NIST CSF, ist dagegen ein praxisorientiertes Rahmenwerk zur Steuerung von Cyberrisiken. Es gibt keine NIST-CSF-Zertifizierung. Stattdessen hilft das Framework dabei, den aktuellen Sicherheitsreifegrad zu erfassen, Zielzustände festzulegen und Verbesserungen zu priorisieren. In der aktuellen Version 2.0 gliedert es Cybersecurity in sechs Funktionen: Govern, Identify, Protect, Detect, Respond und Recover.

Damit beantwortet ISO 27001 vor allem die Frage: Wie führen wir Informationssicherheit als Managementsystem revisionssicher? Das NIST CSF beantwortet stärker die Frage: Welche Fähigkeiten benötigen wir, um Cyberrisiken wirksam zu erkennen, zu reduzieren und zu bewältigen?

Wann ISO 27001 die passende Wahl ist

ISO 27001 eignet sich besonders, wenn externe Anforderungen den Ausschlag geben. Das kann der Fall sein, wenn ein wichtiger Kunde eine Zertifizierung verlangt, wenn Ausschreibungen einen anerkannten Nachweis voraussetzen oder wenn die Organisation ihre Governance gegenüber Aufsichtsgremien und Partnern formal dokumentieren muss.

Auch Organisationen mit vielen sensiblen Informationen, komplexen Lieferketten oder mehreren Standorten profitieren von der klaren Struktur. Die Norm zwingt dazu, den Anwendungsbereich sauber zu definieren und Sicherheitsrisiken nicht nur technisch, sondern auch organisatorisch zu betrachten. Dazu gehören beispielsweise Rollen und Berechtigungen, Lieferanten, Business Continuity, Personalprozesse und die Behandlung von Sicherheitsvorfällen.

Der Nutzen liegt in der Verbindlichkeit. Ein ISO-27001-ISMS schafft einen festen Rhythmus aus Risikoanalyse, internen Audits, Managementbewertung und Verbesserungsmassnahmen. Für die Geschäftsleitung entstehen nachvollziehbare Entscheidungsgrundlagen. Für operative Teams wird klarer, welche Kontrollen gelten und welche Nachweise erforderlich sind.

Der Aufwand darf dabei nicht unterschätzt werden. ISO 27001 ist keine Vorlage, die einmal ausgefüllt wird. Wer eine Zertifizierung anstrebt, muss Prozesse leben, Dokumentation aktuell halten und nachweisen können, dass beschlossene Massnahmen wirksam sind. Eine schlanke Umsetzung ist möglich, aber sie braucht einen klaren Scope und eine realistische Planung.

Wann das NIST CSF besser passt

Das NIST CSF ist häufig der pragmatischere Einstieg, wenn eine Organisation ihre Cyber- und Informationssicherheit zunächst transparent bewerten und gezielt verbessern will. Es ist besonders geeignet, wenn kein Zertifikat verlangt wird, aber Risiken strukturiert priorisiert werden sollen.

Die sechs Funktionen machen die Diskussion auch ausserhalb der IT verständlich. Unter Govern fallen beispielsweise Verantwortlichkeiten, Vorgaben und Risikostrategie. Identify umfasst das Wissen über Systeme, Daten, Abhängigkeiten und Risiken. Protect, Detect, Respond und Recover richten den Blick darauf, wie Angriffe verhindert, erkannt, behandelt und nach einem Vorfall bewältigt werden.

Für KMU ist diese Perspektive wertvoll, weil sie nicht bei einer langen Liste technischer Anforderungen stehen bleibt. Ein fehlendes Backup-Konzept, unklare Zuständigkeiten im Incident Response oder nicht verwaltete Lieferantenrisiken werden als konkrete Lücken sichtbar. Daraus lassen sich Massnahmen ableiten, die zur Grösse, zum Geschäftsmodell und zu den verfügbaren Ressourcen passen.

In der Schweiz ist das NIST CSF zudem relevant, weil der IKT-Minimalstandard und weitere branchenspezifische Vorgaben inhaltlich stark an einem risikobasierten, NIST-orientierten Vorgehen ausgerichtet sein können. Organisationen erhalten damit eine solide Grundlage, um ihre Sicherheitslage gegenüber internen und externen Anspruchsgruppen verständlich darzustellen.

Die Entscheidung hängt an vier Fragen

Die erste Frage lautet: Benötigen Sie einen zertifizierbaren Nachweis? Wenn Kunden, Verträge oder regulatorische Erwartungen ausdrücklich ISO 27001 verlangen, ist die Richtung klar. Ein NIST-CSF-Assessment kann die Umsetzung vorbereiten, ersetzt die Zertifizierung aber nicht.

Zweitens: Geht es primär um den Aufbau eines Managementsystems oder um die schnelle Transparenz über Cyberrisiken? ISO 27001 legt den stärkeren Fokus auf die dauerhafte Führung eines ISMS. Das NIST CSF erleichtert den Einstieg über eine Standortbestimmung und eine priorisierte Roadmap.

Drittens: Wie reif sind Ihre bestehenden Prozesse? Organisationen mit etabliertem Risiko- und Qualitätsmanagement können ISO 27001 oft gut integrieren. Wenn Verantwortlichkeiten, Inventare und Sicherheitsprozesse noch uneinheitlich sind, kann ein NIST-orientierter Reifegradcheck zuerst die dringendsten Lücken sichtbar machen.

Viertens: Welche Nachweise braucht das Management? Eine technische Massnahmenliste reicht selten aus. Die Geschäftsleitung braucht einen verständlichen Überblick über Risiken, Fortschritt, Restlücken und Entscheidungen. Beide Frameworks können dies unterstützen, sofern Assessments, Massnahmen und Risiken konsequent miteinander verknüpft werden.

ISO 27001 und NIST CSF kombinieren statt gegeneinander stellen

In der Praxis ist die Entscheidung nicht immer ein Entweder-oder. Viele Organisationen nutzen das NIST CSF, um ihren Ist-Zustand effizient zu erfassen und Verbesserungen zu priorisieren. ISO 27001 bildet anschliessend den Rahmen, um Verantwortlichkeiten, Nachweise und kontinuierliche Verbesserung verbindlich zu verankern.

Diese Kombination funktioniert, wenn die Anforderungen nicht in getrennten Excel-Dateien und Einzelprojekten verschwinden. Ein Assessment sollte Lücken aufzeigen, die Lücken sollten zu konkreten Massnahmen führen, und offene Massnahmen müssen im Risikoregister sowie in Management-Reports sichtbar bleiben. So entsteht ein Steuerungskreislauf statt einer einmaligen Bestandsaufnahme.

Eine digitale ISMS-Plattform wie SCMC kann dabei unterschiedliche Frameworks in einem gemeinsamen Prozess abbilden. Teams bewerten Anforderungen, dokumentieren Belege, weisen Massnahmen zu und verfolgen Risiken zentral. Das reduziert Medienbrüche und schafft eine revisionssichere Grundlage, ohne dass jede Bewertung in einem separaten Beratungsprojekt endet.

Mit einem klaren Scope beginnen

Unabhängig vom gewählten Framework sollte der erste Schritt nicht die vollständige Kontrolle jeder möglichen Anforderung sein. Legen Sie fest, welche Gesellschaft, Standorte, Prozesse, Systeme und Informationen betrachtet werden. Ein zu breit gefasster Start verzögert Ergebnisse und überfordert die Beteiligten. Ein sinnvoller Scope schafft dagegen schnell nutzbare Erkenntnisse.

Massnahmen nach Risiko und Wirkung priorisieren

Nicht jede Lücke hat die gleiche Bedeutung. Fehlende Mehrfaktor-Authentifizierung für privilegierte Konten, ungetestete Wiederherstellungsprozesse oder nicht geregelte Meldewege bei Sicherheitsvorfällen verdienen in der Regel mehr Aufmerksamkeit als formale Optimierungen mit geringer Risikowirkung. Priorisieren Sie nachvollziehbar nach Eintrittswahrscheinlichkeit, Auswirkung, Aufwand und Verantwortlichkeit.

Nachweise von Anfang an mitführen

Sicherheitsarbeit wird erst dann belastbar, wenn sie belegbar ist. Protokolle, Richtlinien, Testresultate, Freigaben und Schulungsnachweise gehören nicht ans Ende eines Projekts. Werden sie direkt an Anforderungen und Massnahmen hinterlegt, bleiben sie aktuell und sind bei Audits oder Kundenanfragen schnell verfügbar.

Häufige Fehlannahmen vermeiden

Ein verbreiteter Fehler ist die Annahme, ISO 27001 sei automatisch besser, weil die Norm zertifizierbar ist. Eine Zertifizierung kann wirtschaftlich sinnvoll sein, löst aber keine Sicherheitsprobleme, wenn Risiken nur formal behandelt werden. Umgekehrt ist das NIST CSF nicht weniger anspruchsvoll, nur weil es keine Zertifizierung vorsieht. Ein ehrliches Assessment kann erhebliche organisatorische und technische Lücken aufdecken.

Ebenso problematisch ist der Versuch, alle Anforderungen gleichzeitig umzusetzen. Sicherheit wird wirksam, wenn die Organisation einen realistischen Zielzustand definiert, Verantwortlichkeiten klar verteilt und Fortschritte regelmässig überprüft. Das Framework ist dabei das Orientierungssystem, nicht das eigentliche Ergebnis.

Wählen Sie deshalb nicht das bekannteste Framework, sondern den Rahmen, der Ihre Sicherheitsziele, Nachweispflichten und verfügbaren Ressourcen zusammenbringt. Entscheidend ist, dass aus der Bewertung eine steuerbare Verbesserung wird - mit klaren Risiken, konkreten Massnahmen und Berichten, die auch das Management versteht.