Anforderungen an Unternehmenssoftware in Schweizer KMU dokumentieren

Auslöser: Warum Softwareanforderungen in Schweizer KMU überhaupt dokumentiert werden

Die Treiber kommen aus Vertrieb und Lieferkette: Ausschreibungen verlangen ISO 27001 oder mindestens eine glaubwürdige Roadmap. Kunden-Audits werden genauer, Sicherheitsfragebögen wachsen zur Daueraufgabe (techway.ch). Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz (revDSG) mit mehr Transparenz, höheren Sicherheitsanforderungen und neuen Informationspflichten (mobiliar.ch). Für Unternehmen mit Sitz in der Schweiz sind diese Pflichten verbindlich.

Kommen Daten von Personen aus der EU hinzu, gilt zusätzlich die DSGVO (mobiliar.ch). Das betrifft etwa einen Online-Shop oder Newsletter an Kund:innen in Deutschland, Frankreich oder Italien.

Bei wenigen Systemen und Lieferanten reichen verstreute Word-Vorlagen und Excel-Listen eine Zeit lang, vor allem in kleineren Strukturen. Fehleranfällig wird es spätestens, wenn neue Lieferanten dazukommen, Auskunftsbegehren eintreffen, ein Audit ansteht oder sensible Personendaten in mehreren Systemen bearbeitet werden (datenschutzkonform.ch). Dann fehlt die Dokumentation, die belegt, welche Anforderung gilt, wer sie erfüllt und welcher Nachweis vorliegt.

Vom Bedürfnis zum prüfbaren Anforderungskatalog

Ein Anforderungskatalog für Unternehmenssoftware gliedert sich in Funktion, Datenschutz, Informationssicherheit und Betrieb. Pro Kategorie werden Pflicht- und Kann-Anforderungen getrennt; jede Anforderung erhält eine verantwortliche Rolle, eine Frist und ein prüfbares Kriterium. Die Anforderungen müssen zueinander passen: Ein Bearbeitungsverzeichnis muss mit Auftragsbearbeitungen, technischen und organisatorischen Massnahmen, Löschkonzepten, Datenschutzerklärungen und Risikoabwägungen übereinstimmen. Wer jede Pflicht isoliert verwaltet, erhöht Aufwand und Widerspruchsgefahr (datenschutzkonform.ch).

Bewährt hat sich pro Anforderung eine Zeile mit Identifikator, Kategorie, Priorität (Pflicht oder Kann), Ursprung (Gesetz, Norm, Kundenanforderung), Nachweis, Frist und zuständiger Person. Prüfbar ist etwa «Die Software führt ein Verzeichnis der Bearbeitungstätigkeiten, das mit den Auftragsbearbeitungen verknüpft ist»; nicht prüfbar ist «Die Software muss datenschutzkonform sein». Die Prüfbarkeit entscheidet, ob der Katalog in einem Audit oder bei einem Lieferantenwechsel Bestand hat.

Datenschutzanforderungen aus revDSG und DSGVO ableiten

Aus dem revDSG gehören mindestens folgende Punkte als Pflichtanforderungen in den Katalog: ein Verzeichnis der Bearbeitungstätigkeiten, mit dem die Einhaltung des Datenschutzes nachgewiesen werden kann. Dazu kommen Informationspflichten zum Zeitpunkt der Erfassung personenbezogener Daten und geeignete technische und organisatorische Sicherheitsmassnahmen. Ebenso gehört die Schulung der Mitarbeitenden dazu, um Missbrauch und Datenpannen zu vermeiden (mobiliar.ch, kmu.admin.ch).

Hinzu kommt die Benennung einer natürlichen Person als Datenschutzbeauftragte oder Datenschutzbeauftragter. Diese Person kann bei einem Verstoss gegen das DSG zur Rechenschaft gezogen werden (kmu.admin.ch, Leonie Ritscher, economiesuisse).

Ein EU-Bezug löst zusätzliche Pflichten aus. Wer Daten von Personen aus der EU bearbeitet, muss zusätzlich die DSGVO einhalten. Umgekehrt gilt das revDSG für Sachverhalte, die im Ausland veranlasst werden, sofern sie sich in der Schweiz auswirken (mobiliar.ch).

In der Schweiz ist die Bearbeitung personenbezogener Daten in den meisten Fällen ohne ausdrückliche Einwilligung zulässig, solange die rechtlichen Vorgaben eingehalten werden. Das gilt etwa, wenn die Bearbeitung für die Erfüllung eines Vertrages notwendig ist und dies mitgeteilt wird (mobiliar.ch). Diese Unterschiede gehören in den Katalog. Zu prüfen sind ausserdem die Informationspflicht zum Zeitpunkt der Erfassung und die Definition der besonders sensiblen persönlichen Daten (kmu.admin.ch).

Im Katalog werden die DSG-Basisanforderungen als Pflicht geführt. Die DSGVO-Punkte sind bedingte Pflicht und greifen nur bei EU-Bezug. Die verantwortliche natürliche Person für den Datenschutz ist namentlich zu hinterlegen, ebenso die Fristen für Auskunftsbegehren und Löschungen.

Informationssicherheit als Anforderungsquelle: ISO 27001 und NIST CSF 2.0

KMU legen zuerst den Geltungsbereich fest: welche Standorte, Systeme, Prozesse und Lieferanten das Informationssicherheits-Managementsystem abdecken soll. ISO/IEC 27001:2022 enthält 93 Annex-A-Controls, zugeordnet den Bereichen Organisation, Personen, physische Sicherheit und Technik. Diese Controls dienen als Checkliste für eigene Anforderungen. Unternehmen müssen nicht alle Controls umsetzen, aber begründen, welche sie weglassen (techway.ch, it-provider.ch). Die Übergangsfrist von ISO/IEC 27001:2013 auf die Fassung 2022 ist am 31. Oktober 2025 abgelaufen; neue Zertifizierungen richten sich nach der Fassung von 2022 mit 93 Annex-A-Controls (techway.ch).

NIST CSF 2.0 dient als Vorarbeit, bevor die ISO-27001-Anforderungen im Detail festgelegt werden (techway.ch). Zur Einordnung: ISO 27001 ist kein rechtlicher Nachweis für die Einhaltung des nDSG, schafft aber einen grossen Teil der organisatorischen und technischen Grundlage, die Unternehmen für Datenschutz und Informationssicherheit benötigen (techway.ch). Im Katalog werden die Controls deshalb als Sicherheitsanforderungen geführt, getrennt von den Datenschutzpflichten, aber mit Querverweisen zu den technischen und organisatorischen Massnahmen.

Nachweise, Fristen und Zuständigkeiten in den Anforderungen verankern

Jede Anforderung erhält einen Nachweis, eine Frist und eine zuständige Rolle. Nachvollziehbar sein muss, wer was wann geprüft oder freigegeben hat (datenschutzkonform.ch). Dazu gehören hinterlegte Fristen für Auskunftsbegehren, Löschungen und Audits sowie die zentrale Ablage der ISMS-Nachweise. Ein zentraler ISMS-Nachweis reduziert wiederkehrende Kundenaudits, weil das Unternehmen nicht für jeden Kunden neue Fragen und Belege zusammentragen muss (techway.ch).

Lieferanten und Auftragsbearbeitungen fliessen als eigene Anforderungszeilen ein: Das Bearbeitungsverzeichnis muss mit den Auftragsbearbeitungen zusammenpassen (datenschutzkonform.ch). Für Lieferanten werden die im Audit geforderten Nachweise festgehalten, etwa Zertifikate, ausgefüllte Sicherheitsfragebögen und Angaben zum Geltungsbereich. So bleibt bei einem Lieferantenwechsel oder Kunden-Audit nachvollziehbar, welche Anforderung durch welchen Nachweis erfüllt ist.

Betriebstauglichkeit als Pflichtkriterium statt Funktionsumfang als Qualitätsmerkmal

Im KMU-Alltag zählt, dass das Tool ohne eigene Datenschutzabteilung bedienbar bleibt (datenschutzkonform.ch). Es muss auf das Schweizer DSG abgestimmt sein; DSGVO-Anforderungen müssen sich sauber mitführen lassen, wenn ein EU-Bezug besteht. HR, Geschäftsleitung und IT müssen mit vertretbarem Aufwand zusammenarbeiten, und es muss nachvollziehbar sein, wer was wann geprüft oder freigegeben hat (datenschutzkonform.ch). Sprache, Rechtsraum und Support sind weitere Kriterien: Ist Software regulatorisch nicht sauber auf die Schweiz abgestimmt oder erfolgt der Support nur generisch aus dem Ausland, entstehen Rückfragen genau dort, wo Klarheit nötig wäre (datenschutzkonform.ch).

Zu warnen ist vor überladenen Modulen und komplexen Freigabewegen: Viele Datenschutz-Tools sind für internationale Grossunternehmen gebaut, was sich an komplexen Freigabewegen, überladenen Modulen oder einer starken Ausrichtung auf rein europäische Konzernstrukturen zeigt (datenschutzkonform.ch). Funktionsumfang allein ist kein Qualitätsmerkmal; ein grosser Funktionskatalog wirkt überzeugend, aber mehr ist nicht automatisch besser (datenschutzkonform.ch).

Im Katalog werden diese Kriterien überprüfbar, indem jede Betriebsanforderung ein Prüfkriterium erhält, etwa «HR kann ein Auskunftsbegehren ohne Unterstützung der IT erfassen» oder «Die Freigabe einer Datenschutzerklärung erfolgt durch eine benannte Person». Die Erfüllung wird mit einem Testfall oder einer dokumentierten Vorführung belegt.

Aufwand, Kosten und Zeitrahmen realistisch veranschlagen

Die Gesamtkosten für ISO 27001 bestehen aus drei Blöcken: externe Beratung, Zertifizierungsaudit und interner Aufwand.

Für ein kleines KMU mit weniger als 50 Mitarbeitenden nennt eine Schweizer Quelle externe Beratung von CHF 8'000–20'000, Zertifizierungsaudit von CHF 5'000–10'000 und internen Aufwand von CHF 15'000–30'000. Total einmalig: CHF 28'000–60'000, dazu jährliche Überwachungsaudits von CHF 3'000–6'000 (it-provider.ch).

Für ein mittleres KMU mit 50–250 Mitarbeitenden werden externe Beratung von CHF 20'000–50'000, Zertifizierungsaudit von CHF 10'000–20'000 und interner Aufwand von CHF 30'000–60'000 genannt. Total einmalig: CHF 60'000–130'000, dazu jährliche Überwachungsaudits von CHF 6'000–15'000 (it-provider.ch).

In der Kurzfassung derselben Quelle wird die Zertifizierung typischerweise zwischen CHF 15'000 und CHF 80'000 veranschlagt, abhängig von Unternehmensgrösse und Vorarbeit (it-provider.ch).

Der Zeitrahmen beträgt in der Regel 12 bis 24 Monate ab Start. Für die Projektphase sind mindestens 0.5 Vollzeitstellen einzuplanen; viele KMU unterschätzen den internen Zeitaufwand (it-provider.ch).

Für Unternehmen mit öffentlichen Aufträgen, Gesundheitsdaten oder Finanzdienstleistungen ist die Zertifizierung faktisch obligatorisch (it-provider.ch).

Belastbare Frankenbeträge, Tagessätze oder interne Arbeitstage lassen sich erst nach Klärung von Geltungsbereich und Reifegrad seriös schätzen; scheinpräzise Zahlen ohne Kenntnis der Ausgangslage sind wenig hilfreich (techway.ch). Der Anforderungskatalog sollte deshalb zuerst Geltungsbereich und Pflichtanforderungen festhalten; die Kostenschätzung folgt danach.