Das Label Cyber-Safe ist eine Schweizer Cybersicherheits-Zertifizierung für KMU, Gemeinden und kleine Organisationen. Es wurde 2018 geschaffen und wird von der Schweizerischen Vereinigung für das Cybersicherheitslabel (ASLaC) getragen. Am Anfang steht eine neutrale Bestandesaufnahme, am Schluss eine Überprüfung der getroffenen Massnahmen. Laut seiner Website cyber-safe.ch sind 250 KMU und 200 Schweizer Gemeinden zertifiziert.
Einem kleinen oder mittleren Unternehmen (KMU) dient das Label vor allem dazu, seinen Stand zu kennen, einen Massnahmenplan zu erhalten und seine Anstrengungen gegenüber den Kunden zu zeigen. Es setzt einen Ansatz der Cybersicherheit für KMU fort, der mit den Grundmassnahmen beginnt. Diese Seite unterscheidet zwischen dem, was die Vereinigung behauptet, dem, was die zertifizierten Organisationen berichten, und unserer eigenen Analyse.
Was ist das Label Cyber-Safe?
Das Label Cyber-Safe bezeichnet sich als «das Schweizer Label für Cybersicherheit». Sein Leitspruch besteht aus drei Wörtern: «Menschlich. Zuverlässig. Zugänglich.» Die Vereinigung bezeichnet sich als neutral und unabhängig.
Seine Anforderungen werden von der ASLaC entwickelt. Die Website stellt Cyber-Safe als Umsetzungspartner der nationalen Cybersicherheitsstrategie des Bundesamts für Cybersicherheit (BACS) vor.
Das Label gibt zudem an, vom Bund in seiner nationalen Cyberstrategie anerkannt zu sein. Es beansprucht die Unterstützung der grossen Schweizer Versicherungen, der wichtigsten Berufsdachverbände und der Gemeindeverbände. Seine Startseite nennt diese Partner nicht.
Warum ein Cybersicherheitslabel für ein KMU?
Die Vereinigung geht von einer Ungleichheit gegenüber Cyberrisiken aus. Multinationale Konzerne und Grossunternehmen verfügen über die Mittel und die Kompetenzen, um sie zu bewältigen. KMU, Gemeinden, Stiftungen und andere kleine Organisationen sind nach ihrer Darstellung «oft schlecht gerüstet».
Aktuelle Schweizer Zahlen bestätigen, wie exponiert KMU sind. Gemäss der Studie Cybersicherheit in KMU 2026, veröffentlicht am 22. Oktober 2026, haben 6% der KMU innerhalb von drei Jahren einen schweren Cyberangriff erlitten. Bei KMU mit mindestens zehn Mitarbeitenden erreicht dieser Anteil bis zu 16%.
Der Rückstand betrifft laut derselben Studie vor allem die Organisation. Mehr als 80% der KMU installieren Updates, und neun von zehn erstellen Sicherungskopien. Aber nur rund ein Drittel schult regelmässig sein Personal oder führt ein Inventar seiner Systeme. Sicherheitsaudits und Notfallpläne sind deutlich weniger verbreitet.
Unsere Analyse: Genau auf dieses organisatorische Feld zielt ein Label, das auf einem externen Audit beruht. Der Prozess zwingt das Unternehmen festzulegen, wer was tut, und nicht nur Werkzeuge zu installieren.
Wie läuft die Zertifizierung ab?
Die Website beschreibt einen Ansatz in fünf Teilen, die jeweils mit einem Nutzen verbunden sind:
- eine Bestandesaufnahme, um zu wissen, wo die Organisation steht und wer was tut;
- Empfehlungen, um sich auf die Bewältigung einer Krise vorzubereiten;
- ein Massnahmenplan, um die Systeme und Daten zu sichern;
- eine Überprüfung der Massnahmen, um das Vertrauen von Kunden und Partnern zu stärken;
- ein zusätzlicher Schutz in Form vorteilhafter Prämien bei Partner-Cyberversicherern.
Die Arbeit stützt sich auf Auditorinnen und Auditoren. Die Website zählt 17 in der ganzen Schweiz. Ihre Fachleute begleiten die Organisationen und helfen ihnen, Lösungen und Dienstleister zu finden, die zu ihren Bedürfnissen passen.
Ein Erfahrungsbericht schildert den konkreten Ablauf. Andrew Blair, Verantwortlicher für IT-Dienste und -Lösungen der Zurich International School, beschreibt zunächst eine Vorabklärung. Es folgen eine vertiefte Prüfung der Systeme und der Datenbearbeitung, danach die Aktualisierung der gesamten Dokumentation.
Der Prozess endete in diesem Fall mit zwei ganztägigen Audits. Andrew Blair bezeichnet ihn als lang, aber sehr wertvoll. Das Verfahren fand auf Englisch statt, weitere Sprachen sind verfügbar.
Wer hat das Label Cyber-Safe bereits erhalten?
Das Label beansprucht 250 zertifizierte KMU und 200 zertifizierte Gemeinden in der ganzen Schweiz. Die zertifizierten Organisationen zählen laut Website zwischen 3 und 248 Mitarbeitende. Das Label richtet sich also auch an sehr kleine Strukturen.
Die veröffentlichten Erfahrungsberichte decken unterschiedliche Profile ab. Darunter sind Socorex, Bhaasha, die AUBEP, die Gemeinde Roche, Cavin-Baudat (Vallée de Joux) SA und Digital Lab SA, die Zurich International School und die Fondation pour la formation professionnelle et continue (FFPC).
Was nehmen die zertifizierten Organisationen mit?
Die zertifizierten Organisationen betonen zuerst, dass sie ihre Schwachstellen entdeckt haben. Bei Socorex bezeichnet Tatjana Van Bogaert den Auditprozess als «streng, aber äusserst nützlich». Er hat es ermöglicht, die Schwachstellen des Unternehmens zu erkennen und zu beheben.
Die Vorbereitung bringt auch konkrete Veränderungen. Gopal Krishnamani, Gründer von Bhaasha, nennt Verbesserungen bei der Infrastruktur, den IT-Plattformen und den Prozessen des Risikomanagements.
Das Label wird erneuert, und seine Anforderungen entwickeln sich weiter. Jean Bourgeois, Präsident der AUBEP, durchläuft die Zertifizierung zum zweiten Mal. Er stellt fest, dass sich die Anforderungen «von einer Runde zur nächsten weiterentwickeln und verschärfen». Bei der FFPC hat die Erneuerung eine Reflexion über das Risiko angestossen, sensible Informationen an künstliche Intelligenz (KI) weiterzugeben.
Auch die Gemeinden finden darin einen Nutzen. Aurélie Tulot, Gemeindepräsidentin von Roche, erinnert daran, dass «es kein Nullrisiko gibt». Das Label habe der Gemeinde aber geholfen, ihre kritischen Punkte zu erkennen und Risiken vorauszusehen.
Unsere Analyse: Diese Erfahrungsberichte werden vom Label selbst ausgewählt und veröffentlicht. Sie zeigen den wahrgenommenen Nutzen des Verfahrens, nicht seine gemessene Wirksamkeit gegen Angriffe.
Label, Test oder Standard: Welches Instrument wählen?
Ein Schweizer KMU verfügt über mehrere Bewertungsinstrumente, die nicht dieselbe Frage beantworten. Der kostenlose Cybersicherheitstest für KMU liefert ein erstes Bild. Der IKT-Minimalstandard des Bundes dient als Checkliste. Das Label ergänzt dies um einen Blick von aussen und eine Überprüfung.
| Instrument | Wer es trägt | Was es bringt | Seine Grenze |
|---|---|---|---|
| Cybersecurity-Check | Instrument aus der nationalen Strategie, Version 4.0 vom November 2025 | Eine kostenlose Selbstbewertung in wenigen Minuten | Er beruht auf den Antworten des Unternehmens selbst |
| IKT-Minimalstandard | Das BACS, seit März 2024 | Ein Referenzrahmen und ein Selbstbewertungsinstrument im Excel-Format | Für ein KMU freiwillig, verbindlich nur für Strom und Gas |
| Label Cyber-Safe | Die ASLaC, seit 2018 | Eine Bestandesaufnahme, ein Massnahmenplan und eine Überprüfung durch eine Auditorin oder einen Auditor | Weder Preis noch Dauer auf der Startseite veröffentlicht |
Unsere Analyse: Diese Instrumente ergänzen sich eher, als dass sie miteinander konkurrieren. Der kostenlose Check hilft, ein Audit vorzubereiten und Prioritäten zu setzen. Das Label eignet sich eher für eine Organisation, die eine externe Kontrolle und ein Signal für ihre Kunden will.
Weitere praktische Seiten finden Sie in unserer Rubrik Das eigene Unternehmen schützen.
Senkt das Label die Prämie der Cyberversicherung?
Die Website verspricht «vorteilhafte Prämien» bei Partner-Cyberversicherern. Ihre Startseite nennt weder die Namen dieser Versicherer noch die Höhe der Rabatte.
Eine Versicherung ersetzt die Prävention nicht. «Eine Cyberversicherung kann Risiken mindern, aber sie ersetzt nicht die Eigenverantwortung», erinnerte Jesús Pampín, Leiter des Kompetenzzentrums für Cyberrisiken der Mobiliar, bei der Präsentation der Studie 2026.
Kennzahlen
- 2018: Gründung des Labels Cyber-Safe.
- 250 zertifizierte KMU in der ganzen Schweiz, laut Website.
- 200 zertifizierte Schweizer Gemeinden.
- 17 aktive Auditorinnen und Auditoren in der ganzen Schweiz.
- Zwischen 3 und 248 Mitarbeitende in den zertifizierten Organisationen.
- Mehr als 25'000 versandte Phishing-E-Mails, laut dem Zähler der Website.
Was man noch nicht weiss
Die Startseite von cyber-safe.ch lässt mehrere Fragen offen:
- den Preis der Zertifizierung und ihrer Erneuerung;
- die Gültigkeitsdauer des Labels und den Rhythmus der Audits;
- die detaillierte Liste der Anforderungen und ihren allfälligen Bezug zum IKT-Minimalstandard;
- die Zeit, die nötig ist, um das Label zu erhalten;
- die Partnerversicherer und die Höhe der Rabatte;
- den Rahmen, in dem die Phishing-E-Mails versandt wurden;
- das Datum der Aktualisierung der angezeigten Zahlen.
Die Website bietet zudem an, die eigene Organisation zu bewerten, ohne dieses Instrument auf ihrer Startseite zu beschreiben.
Quellen
- Cyber-Safe, das Schweizer Label für Cybersicherheit (cyber-safe.ch)
- Studie «Cybersicherheit in KMU 2026» der Mobiliar und ihrer Partner, nach 2clics.com
- Cybersecurity-Check und IKT-Minimalstandard des BACS, nach unseren Seiten zum Test und zum Standard
