Der Minimalstandard für Informations- und Kommunikationstechnologien (IKT) ist das Cybersicherheits-Referenzwerk des Bundes. Erarbeitet vom Bundesamt für wirtschaftliche Landesversorgung (BWL), liegt er seit März 2024 in der Verantwortung des Bundesamts für Cybersicherheit (BACS). Für Strom und Gas ist er verbindlich, den übrigen Organisationen, KMU eingeschlossen, wird er empfohlen.
Für ein kleines oder mittleres Unternehmen (KMU) dient er vor allem als Checkliste. Das BACS bezeichnet ihn als «Checkliste für die technische Grundsicherheit». Er ergänzt damit die Handgriffe der KMU-Cybersicherheit um einen strukturierteren Rahmen.
Diese Seite erklärt, woher der Standard stammt, was er enthält und wie ein KMU ihn nutzen kann. Sie unterscheidet zwischen den vom Bund veröffentlichten Fakten, den Aussagen von Fachleuten und unserer eigenen Analyse.
Was ist der IKT-Minimalstandard?
Der IKT-Minimalstandard ist ein Referenzwerk für Informatiksicherheit, das kritische Infrastrukturen vor Cyberrisiken schützen soll. Gemeint sind lebenswichtige Sektoren wie Strom, Wasserversorgung, öffentlicher Verkehr oder Lebensmittel.
Sein Ausgangspunkt ist ein Grundsatz, den das BACS festhält. Jedes Unternehmen und jede Organisation muss sich zuerst selbst schützen. Stehen jedoch kritische Infrastrukturen auf dem Spiel, muss der Staat für ihr reibungsloses Funktionieren sorgen.
Diese Pflicht ergibt sich aus dem Landesversorgungsgesetz vom 17. Juni 2016 (LVG; SR 531). Laut BACS drückt der Standard den Willen des Staates aus, Bevölkerung, Wirtschaft, Institutionen und Verwaltungen zu schützen.
Wer hat den IKT-Minimalstandard veröffentlicht, und wer verwaltet ihn heute?
Der Standard entstand beim BWL. Dieses Amt hat präventive Massnahmen erarbeitet, um die Resilienz kritischer IT-Infrastrukturen zu stärken. Anschliessend hat es den allgemeinen Standard in branchenspezifische Standards übertragen.
Mit der Schaffung des BACS, des Kompetenzzentrums des Bundes für Cybersicherheit, haben sich die Zuständigkeiten geändert. Seit März 2024 ist das BACS für den IKT-Minimalstandard verantwortlich.
Für die Erarbeitung der Branchenstandards arbeitet das BACS mit den Branchenverbänden der betroffenen kritischen Sektoren zusammen. Die Branchen wirken so an der Anpassung des Referenzwerks mit.
Für wen ist der Standard verbindlich?
Der Standard ist eine Empfehlung für alle Betreiber kritischer Infrastrukturen. Verbindlich ist er nur für zwei Sektoren:
- Strom, seit dem 1. Juli 2024;
- Gas, seit dem 1. Juli 2025.
Für die übrigen Unternehmen bleibt er freiwillig. Das BACS hält fest, dass er auch ihnen hilft, ihre eigene IT-Resilienz zu verbessern. Ein Dienstleistungs-KMU, ein Geschäft oder ein Handwerksbetrieb kann ihn also frei nutzen, ohne Pflicht, ihn einzuhalten.
Was enthält das Referenzwerk konkret?
Das Referenzwerk besteht aus mehreren vom BACS veröffentlichten Dokumenten. Die offizielle Seite bietet drei Arten davon an:
- das Referenzdokument «IKT - Minimalstandard - 2023» als PDF, aufgeschaltet am 20. Dezember 2024;
- ein Selbstbeurteilungs-Tool im Excel-Format (Revision 5), veröffentlicht am 2. Juni 2023;
- branchenspezifische Minimalstandards.
Die Branchenstandards decken mehrere Bereiche ab. Es handelt sich um die Wasserversorgung, das Abwasser sowie die Lebensmittel- und die Gasversorgung. Hinzu kommen der öffentliche Verkehr, die Stromversorgung, die Abfallentsorgung, Fernwärme und Fernkälte sowie digitale Kulturgüter.
Unsere Analyse: Das Selbstbeurteilungs-Tool ist für ein KMU der praktischste Einstieg. Damit lässt sich messen, wo es steht, bevor es entscheidet, was es verbessern will.
Wie kann ein KMU den IKT-Minimalstandard anwenden?
Ein KMU kann bei den technischen Massnahmen ansetzen, die das BACS dem IKT-Minimalstandard zuordnet. Auf seiner Seite zum Grundschutz nennt das Amt sechs davon:
- die IKT-Umgebung erfassen, also wissen, welche Geräte, Software und Dienste das Unternehmen nutzt;
- die Daten sichern;
- Sicherheitsupdates installieren;
- Virenschutz und Firewalls einsetzen;
- Fernzugriffe absichern;
- Netzwerke segmentieren, damit ein Eindringen nicht das ganze System erfasst.
Technik allein genügt nicht, betont das BACS. Organisatorische Massnahmen müssen sie ergänzen. Das Amt nennt insbesondere die Sensibilisierung des Personals, die Mehrfaktor-Authentifizierung und klare Zuständigkeiten für die Cloud und die ausgelagerte Informatik.
Das BACS macht daraus eine Führungsaufgabe, nicht eine blosse Aufgabe der IT-Abteilung. Die Geschäftsleitung entscheidet, wo investiert wird, um die kritischen Prozesse zu schützen. Ist eine Massnahme teuer, empfiehlt das Amt, ihre Kosten gegen das Risiko abzuwägen, nichts zu tun.
Wer weitergehen will, findet in der Rubrik Unternehmen schützen unsere praktischen Seiten zum Thema.
Kennzahlen
- März 2024: Das BACS übernimmt die Verantwortung für den IKT-Minimalstandard.
- 1. Juli 2024: Der Standard wird für den Stromsektor verbindlich.
- 1. Juli 2025: Er wird es für den Gassektor.
- Mehr als 80 % der Schweizer KMU führen ihre Software-Updates durch, laut der Studie «KMU Cybersicherheit 2026».
- Nur jedes vierte KMU prüft, ob es seine Datensicherungen wiederherstellen kann, laut derselben Studie.
Wo stehen die Schweizer KMU gegenüber diesem Referenzwerk?
Die Studie «KMU Cybersicherheit 2026», durchgeführt von der Mobiliar mit mehreren Partnern, liefert eine Bestandesaufnahme. Das BACS hat die Ergebnisse am 22. Oktober 2026 weiterverbreitet.
Technisch schneiden die KMU recht gut ab. Mehr als 80 % installieren Software-Updates, und neun von zehn sichern ihre Daten. Die Multifaktor-Authentifizierung gehört bei vielen Unternehmen zum Alltag.
Der Rückstand ist organisatorischer Art. Nur rund ein Drittel schult das Personal regelmässig oder inventarisiert seine Informatiksysteme. Nur jedes vierte KMU prüft, ob es seine Daten im Notfall tatsächlich wiederherstellen kann.
Unsere Analyse: Das Inventar der Systeme ist genau die erste technische Massnahme, die mit dem IKT-Minimalstandard verbunden ist. Hier hat ein KMU den grössten Spielraum.
Es geht um Konkretes. «In den letzten drei Jahren haben rund 35'000 Schweizer KMU einen Cyberangriff erlitten», sagt Jesús Pampín, Leiter des Kompetenzzentrums Cyber Risk der Mobiliar.
Datiertes Beispiel: Was zeigt die PHP-Lücke vom 21. Oktober 2026?
Am Mittwoch, 21. Oktober 2026, wurden zwei kritische Lücken in PHP gemeldet, einer Programmiersprache, die von sehr vielen Websites verwendet wird. Das BACS empfahl, die betroffenen Systeme sofort zu aktualisieren.
Diese Lücken ermöglichten es laut dem Magazin PME, ohne Passwort die Kontrolle über eine Website zu übernehmen. Die Angreifer konnten auch Daten stehlen oder Schadsoftware installieren. Details waren durchgesickert, bevor der Patch verfügbar war.
Mehrere Schweizer Hoster sperrten daraufhin den Zugang zu den Websites ihrer Kunden. Bei Cyon in Basel waren mehr als 100'000 Websites offline. Die Kunden des St. Galler Softwareanbieters Bexio, vor allem KMU, erlebten laut dem Portal «Inside Paradeplatz» einen Unterbruch von mehreren Stunden.
Unsere Analyse: Die Episode veranschaulicht zwei Massnahmen auf der Liste des BACS. Man muss wissen, welche Websites und Tools auf PHP beruhen, was ein Inventar voraussetzt. Und man muss einen Patch rasch installieren können.
Was kann eine Sicherheitslücke ein KMU kosten?
Die Kosten hängen davon ab, was vorgesehen war. «Im besten Fall tragen die Unternehmen nur die Kosten eines Notfall-Updates und kleiner Software-Aktualisierungen», erklärt Nicolas Mayencourt, Gründer und CEO des Berner Unternehmens Dreamlab Technologies, gegenüber Blick, zitiert vom Magazin PME.
Eine Website, die stunden- oder tagelang offline ist, verursacht Umsatzeinbussen. Ein Onlineshop nimmt keine Bestellungen mehr entgegen, und ein Dienstleister kann Buchungen verlieren.
Das schlimmste Szenario ist die Erpressung nach einem Eindringen. «Das geht schnell in die Millionen», warnt Nicolas Mayencourt. Ihm zufolge gab es in der Schweiz bereits Konkurse wegen Ransomware-Angriffen.
Der Experte erinnert zudem daran, dass die grundlegenden Massnahmen «in der Regel nicht einmal besonders teuer» sind. Er nennt aktuelle Software, regelmässige und offline aufbewahrte Datensicherungen sowie die Zwei-Faktor-Authentifizierung für sensible Systeme. Diese Vorkehrungen hindern Angreifer daran, sich frei im Netzwerk auszubreiten.
Unsere Analyse: Diese Ratschläge decken sich weitgehend mit den Massnahmen, die das BACS mit dem IKT-Minimalstandard verbindet. Das Referenzwerk verhindert nicht jeden Angriff, begrenzt aber den Schaden, wenn eine Lücke auftritt.
Was unsere Quellen nicht präzisieren
Die Webseiten des BACS beschreiben den inneren Aufbau des Referenzdokuments nicht im Detail. Sein vollständiger Inhalt steht im PDF «IKT - Minimalstandard - 2023», das wir für diese Seite nicht analysiert haben.
Unsere Quellen nennen auch kein Musterbudget für ein KMU. Ebenso wenig geben sie an, wie viel Zeit das Ausfüllen des Selbstbeurteilungs-Tools erfordert.
