ISO 9001:2026 - Digitalisierung im Qualitätsmanagement

Cyberrisiken beherrschen und Wiederherstellung sicherstellen

Digitalisierung vereinfacht vieles: Dokumente sind schneller verfügbar, Freigaben laufen effizienter, Teams arbeiten standortunabhängig zusammen und Informationen können gezielter genutzt werden.

Doch mit der Digitalisierung wächst auch die Abhängigkeit von funktionierenden Systemen und verlässlichen Daten.

Wenn Mitarbeitende nicht mehr auf Arbeitsanweisungen, Kundeninformationen, Prüfprotokolle oder Freigaben zugreifen können, steht nicht nur die IT unter Druck. Dann geraten Prozesse, Lieferfähigkeit und Qualität in Gefahr.

Die ISO 9001:2026 reagiert auf Entwicklungen wie Digitalisierung und hybride Arbeitsformen. Für das Qualitätsmanagement bedeutet das vor allem: Informationen, Systeme und digitale Arbeitsweisen müssen die zuverlässige Leistungserbringung unterstützen.

Dabei ist wichtig, sauber zu unterscheiden: Cybermassnahmen wie Mehrfaktor-Authentisierung, sichere Backups oder Notfallübungen sind nicht automatisch neue Einzelanforderungen der ISO 9001. Sie sind jedoch sinnvolle, risikobasierte Massnahmen, um Prozesse und qualitätsrelevante Informationen zu schützen.

Für Unternehmen in der Schweiz kommen zudem die Anforderungen des Datenschutzgesetzes hinzu. Personendaten müssen angemessen geschützt werden, unabhängig davon, ob ein Unternehmen nach ISO 9001 oder ISO 27001 zertifiziert ist.

Digitalisierung ist ein Qualitätsfaktor

Ein digitales Tool allein verbessert noch keinen Prozess.

Ein neues Dokumentenmanagementsystem hilft wenig, wenn niemand weiss, welche Version gültig ist. Ein Kollaborationstool löst keine Kommunikationsprobleme, wenn Zuständigkeiten unklar bleiben. Und eine Cloud-Lösung schützt nicht vor Ausfällen, wenn es kein getestetes Wiederherstellungskonzept gibt.

Digitalisierung im Qualitätsmanagement funktioniert dann, wenn drei Fragen klar beantwortet sind:

1. Welche Informationen und Systeme brauchen wir, um zuverlässig arbeiten zu können?

2. Wie stellen wir sicher, dass diese Informationen korrekt, verfügbar und geschützt sind?

3. Was tun wir, wenn ein System ausfällt oder ein Cyberangriff erfolgt?

Gerade KMU profitieren davon, diese Fragen pragmatisch anzugehen. Es braucht nicht zwingend komplexe Sicherheitsprogramme. Aber es braucht Verantwortlichkeiten, nachvollziehbare Regeln und regelmässige Überprüfungen.

Hybride Arbeit zuverlässig organisieren

Ob im Büro, im Homeoffice, beim Kunden oder unterwegs: Arbeitsorte sind heute flexibler. Das bietet Vorteile, stellt aber neue Anforderungen an Ablage, Kommunikation und Informationssicherheit.

Eine zentrale Frage lautet: Können Mitarbeitende unabhängig vom Arbeitsort auf die Informationen zugreifen, die sie für ihre Aufgabe benötigen?

Dazu gehören zum Beispiel aktuelle Arbeitsanweisungen, Kundenanforderungen, Prüfberichte, Vorlagen, Freigaben oder Lieferantendaten.

Für die digitale Zusammenarbeit sollten Unternehmen insbesondere diese Punkte klären:

• Sind relevante Informationen zentral verfügbar und aktuell?

• Gibt es eine verbindliche Ablage für Dokumente und Nachweise?

• Ist eindeutig geregelt, wer Dokumente bearbeiten, prüfen und freigeben darf?

• Sind Versionsstände klar erkennbar?

• Wissen Mitarbeitende, welche Kommunikationskanäle für welche Anliegen gelten?

• Ist geregelt, was bei einem Systemausfall oder einer technischen Störung zu tun ist?

Das Ziel ist nicht maximale Kontrolle. Das Ziel ist eine verlässliche Arbeitsweise.

Ein einfaches Praxisbeispiel:

Ein Team nutzt für Arbeitsanweisungen gleichzeitig einen gemeinsamen Server, E-Mails und persönliche Ordner. Nach einigen Monaten existieren drei unterschiedliche Versionen derselben Anleitung. Im Audit, bei einer Reklamation oder bei der Einarbeitung neuer Mitarbeitender wird plötzlich unklar, welche Vorgabe gilt.

Eine verbindliche digitale Ablage mit klaren Freigaben löst dieses Problem nicht spektakulär, aber wirksam. Genau darin liegt oft der grösste Nutzen guter Digitalisierung: weniger Suchaufwand, weniger Missverständnisse und weniger Fehler durch veraltete Informationen.

Cyberrisiken gehören zur Prozesssicherheit

Cyberangriffe betreffen längst nicht nur grosse Unternehmen. Phishing-Mails, kompromittierte Passwörter, manipulierte Rechnungen oder Ransomware können auch kleine Betriebe erheblich beeinträchtigen.

Bei Ransomware verschlüsseln Angreifer Daten oder Systeme und fordern anschliessend Geld. Häufig werden Daten zusätzlich kopiert und mit deren Veröffentlichung gedroht. Für ein Unternehmen kann das bedeuten, dass Aufträge, Produktionsdaten, Dokumentationen oder Kundendaten vorübergehend nicht verfügbar sind.

Aus Sicht des Qualitätsmanagements geht es dabei nicht nur um Technik. Es geht um die Fähigkeit, Prozesse weiterhin kontrolliert zu führen oder nach einem Ausfall rasch wiederherzustellen.

Folgende Schutzmassnahmen gehören zu einer sinnvollen Grundabsicherung:

Mehrfaktor-Authentisierung einsetzen

Mehrfaktor-Authentisierung, oft MFA genannt, ergänzt das Passwort durch einen zweiten Nachweis. Das kann beispielsweise eine App, ein Sicherheitscode oder ein Hardware-Token sein.

Besonders wichtig ist MFA für:

• Fernzugriffe auf Unternehmenssysteme

• E-Mail-Konten

• Cloud-Dienste

• Administrationszugänge

• Zugriffe von externen Dienstleistern

Ein gestohlenes Passwort allein reicht dann nicht mehr aus, um sich anzumelden.

Zugriffsrechte begrenzen

Nicht jede Person benötigt Zugriff auf alle Daten und Systeme. Rechte sollten nach dem Prinzip vergeben werden: so viel wie nötig, so wenig wie möglich.

Das reduziert Risiken im Alltag und begrenzt Schäden, falls ein Benutzerkonto kompromittiert wird.

Ebenso sinnvoll ist die Trennung von Konten: Wer administrative Aufgaben erledigt, sollte dafür ein separates Administrationskonto verwenden und nicht das normale Konto für E-Mails, Office-Anwendungen und tägliche Arbeit.

Updates und Sensibilisierung ernst nehmen

Sicherheitsupdates schliessen bekannte Schwachstellen. Werden sie zu lange aufgeschoben, steigt das Risiko unnötig.

Gleichzeitig bleibt der Mensch ein wichtiger Faktor. Sie sollten aber wissen:

• Wie erkenne ich eine verdächtige E-Mail?

• Was mache ich bei einem ungewöhnlichen Login-Hinweis?

• Wen informiere ich, wenn ich auf einen falschen Link geklickt habe?

• Warum darf ich Passwörter nicht teilen oder mehrfach verwenden?

Entscheidend ist eine offene Meldekultur. Wer einen Fehler oder einen Verdacht meldet, soll nicht zuerst Angst vor einem Vorwurf haben. Je früher ein Vorfall erkannt wird, desto besser lässt sich der Schaden begrenzen.

Ein Backup ist erst dann wertvoll, wenn der Restore funktioniert

Die Frage nach einem Backup kommt nach einem Cyberangriff fast immer. Doch ein erfolgreicher Sicherungslauf bedeutet noch nicht, dass sich Daten und Systeme tatsächlich wiederherstellen lassen.

Ein Backup-Konzept muss deshalb mehr leisten als Daten zu kopieren.

Es sollte festlegen:

• Welche Daten, Anwendungen und Systeme gesichert werden

• Wie häufig Sicherungen erfolgen

• Wie lange Sicherungen aufbewahrt werden

• Wo die Sicherungen gespeichert sind

• Wer für die Überwachung verantwortlich ist

• Wie die Sicherungen gegen Löschung oder Manipulation geschützt werden

• Wie und wie oft eine Wiederherstellung getestet wird

Besonders wichtig ist die Trennung zwischen produktiver Umgebung und Backup. Wenn ein Angreifer Zugriff auf das Unternehmensnetzwerk erhält, soll er nicht gleichzeitig alle Sicherungen verschlüsseln oder löschen können.

Mögliche Ansätze sind offline aufbewahrte Sicherungen, getrennte Backup-Systeme oder besonders geschützte Zugänge. Oft wird in diesem Zusammenhang von «ransomware-resistenten Backups» gesprochen. Das bedeutet nicht, dass ein Backup absolut unangreifbar ist. Es bedeutet, dass der Schutz gezielt erhöht wird.

Der entscheidende Punkt bleibt: Ein Backup ohne getesteten Restore ist eine Hoffnung, kein Notfallplan.

Ein Restore-Test zeigt, ob Daten tatsächlich lesbar sind, ob die benötigten Systeme wieder starten und wie lange die Wiederherstellung dauert. Genau diese Informationen braucht ein Unternehmen im Ernstfall.

Wiederherstellung nach einem Cyberangriff planen

Nach einem Cyberangriff ist der Druck hoch. Trotzdem sollte nicht vorschnell wiederhergestellt werden.

Bevor Systeme zurückgesetzt oder Daten eingespielt werden, muss untersucht werden, wie der Angriff erfolgt ist und ob sich Angreifer noch im Netzwerk befinden. Werden Systeme zu früh wieder in Betrieb genommen, kann es zu einer erneuten Kompromittierung kommen.

Ein schriftliches Notfall- und Wiederherstellungskonzept hilft, auch unter Stress strukturiert zu handeln.

Bestandteil	Zentrale Frage
Verantwortlichkeiten	Wer koordiniert, entscheidet und kommuniziert?
Notfallkontakte	Wie erreichen wir Mitarbeitende, IT-Partner und weitere Beteiligte ohne Unternehmens-E-Mail?
Eindämmung	Wie werden betroffene Systeme isoliert?
Wiederanlaufprioritäten	Welche Prozesse und Systeme müssen zuerst wieder funktionieren?
Wiederherstellungsziele	Welche Ausfallzeit und welcher Datenverlust sind tragbar?
Sicherer Restore	Welche überprüften Sicherungen werden für die Wiederherstellung verwendet?
Prüfung und Freigabe	Wer prüft Daten, Funktionen und Prozesse vor der Wiederinbetriebnahme?
Übungen	Wie wird das Vorgehen getestet und verbessert?

Nicht jede Anwendung hat dieselbe Priorität. Für manche Unternehmen ist das ERP-System zentral, für andere die Produktionssteuerung, die Einsatzplanung oder der Zugriff auf Kundenaufträge.

Diese Reihenfolge sollte nicht erst während eines Vorfalls diskutiert werden. Sie gehört in die Vorbereitung.

Auch datenschutzrechtliche Fragen müssen Teil des Konzepts sein. Bei einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko für die Persönlichkeit oder Grundrechte betroffener Personen besteht in der Schweiz eine Meldepflicht an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, EDÖB. Die Meldung muss so rasch wie möglich erfolgen.

Ein Werteregister schafft Übersicht

Viele Unternehmen wissen grundsätzlich, dass sie wichtige Daten und Systeme haben.

Im Ernstfall fehlt jedoch oft die Übersicht:

• Wo liegen welche Informationen?

• Wer ist verantwortlich?

• Welche Daten enthalten Personendaten?

• Was muss zuerst wiederhergestellt werden?

Ein Werteregister, auch Informations- oder IT-Asset-Register genannt, schafft Transparenz. Es kann einfach aufgebaut sein, beispielsweise als gepflegte Tabelle oder in einem geeigneten Tool.

Sinnvolle Angaben sind:

• Information, Anwendung oder System

• verantwortliche Person

• Speicherort und involvierte Dienstleister

• enthaltene Personendaten

• Schutzbedarf bezüglich Vertraulichkeit, Integrität und Verfügbarkeit

• zugriffsberechtigte Personen

• Sicherungs- und Wiederherstellungsverfahren

• Wiederanlaufpriorität

Ein solches Register unterstützt das Qualitätsmanagement, die Informationssicherheit und die Notfallplanung gleichermassen.

Wichtig: Ein Werteregister ist nicht automatisch dasselbe wie ein Verzeichnis der Bearbeitungstätigkeiten gemäss Artikel 12 DSG. Das Datenschutzgesetz schreibt nicht pauschal ein Dokument mit dem Namen «Werteregister» vor. Je nach Unternehmen kann aber ein Bearbeitungsverzeichnis erforderlich sein. Ein IT-Inventar ersetzt dieses Verzeichnis nicht automatisch.

Fazit

Digitalisierung braucht klare Abläufe, nicht nur neue Tools

Digitalisierung im Qualitätsmanagement bedeutet, Informationen und Systeme so zu organisieren, dass Mitarbeitende zuverlässig arbeiten können. Unabhängig davon, ob sie im Büro, im Homeoffice oder beim Kunden tätig sind.

Ein guter Start besteht aus wenigen, aber wirkungsvollen Schritten:

1. Kritische Systeme, Daten und Prozesse identifizieren.

2. Verantwortlichkeiten und Zugriffsrechte klären.

3. Verbindliche Ablagen, Versionen und Freigaben definieren.

4. MFA, Updates und Sensibilisierung als Grundschutz etablieren.

5. Backups geschützt erstellen und Wiederherstellungen regelmässig testen.

6. Einen Notfallplan entwickeln und praktisch üben.

Und noch ein Praxisgedanke:

Nach einem Cyberangriff fragt die Geschäftsleitung oft zuerst: «Wir haben doch ein Backup?» Die ideale Antwort der IT lautet: «Ja. Und wir haben den Restore getestet, die Prioritäten definiert und wissen, was zuerst wieder läuft.»

Wie gut wäre dein Unternehmen aufgestellt, wenn zentrale Systeme oder Daten morgen plötzlich nicht mehr verfügbar wären? Ein kurzer Realitätscheck zu Backups, Zugriffsrechten und Notfallabläufen kann viel bewirken.