ISO 27001 & BSI IT-Grundschutz:
Was Unternehmen wirklich brauchen
Zwei Wege zum gleichen Ziel: nachweisbare Informationssicherheit. Welcher Standard passt zu Ihnen – und was bedeutet das für NIS2, KRITIS und CRA?
ISO/IEC 27001:2022
Die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie definiert Anforderungen an Aufbau, Betrieb, Überwachung und Verbesserung eines ISMS – nicht wie, sondern was umgesetzt werden muss.
Anhang A: 93 Controls in 4 Themengruppen – Organisatorisch (37), Personenbezogen (8), Physisch (14), Technologisch (34).
Zertifizierung: Durch DAkkS-akkreditierte Zertifizierungsstellen (TÜV, DQS, Bureau Veritas u.a.). Gültig 3 Jahre mit jährlichen Überwachungsaudits.
Geeignet für: Unternehmen mit internationalem Geschäft, Lieferantenzertifizierung, Kundenanforderungen.
BSI IT-Grundschutz
Die Methode des Bundesamts für Sicherheit in der Informationstechnik (BSI). Praxisnah: Das IT-Grundschutz-Kompendium enthält fertige Bausteine mit konkreten Maßnahmen für typische IT-Systeme und -prozesse.
Standards: BSI 200-1 (ISMS), 200-2 (Methodik), 200-3 (Risikoanalyse), 200-4 (BCM).
Zertifizierung: IT-Grundschutz-Zertifikat basiert formal auf ISO 27001 – wer Grundschutz vollständig umsetzt, erfüllt gleichzeitig ISO-27001-Anforderungen.
Geeignet für: Behörden, öffentliche Einrichtungen, Unternehmen mit starkem DE-Fokus.
Quellen: ISO/IEC 27001:2022, Anhang A (93 Controls in 4 Themengruppen – organisatorisch 37, personenbezogen 8, physisch 14, technologisch 34); BSI-Standard 200-1 (kompatibel mit ISO 27001), 200-2, 200-3, 200-4; BSI – IT-Grundschutz-Kompendium.
Quellen: BSI-Standard 200-2 (IT-Grundschutz-Methodik) – definiert die drei Vorgehensweisen Basis-, Standard- und Kern-Absicherung; BSI – Leitfaden zur Basis-Absicherung.
| Kriterium | ISO/IEC 27001:2022 | BSI IT-Grundschutz |
|---|---|---|
| Herausgeber | ISO / IEC (international) | BSI (Deutschland) |
| Ansatz | Anforderungsbasiert (Was?) | Maßnahmenbasiert (Wie?) |
| Risikobewertung | Unternehmensspezifisch nach ISO 27005 | Strukturiert nach BSI 200-3; vereinfacht möglich |
| Bausteine / Controls | 93 Controls (Anhang A) | Bausteine im IT-Grundschutz-Kompendium (jährlich aktualisiert) |
| Zertifizierung | Durch akkreditierte Drittpartei (DAkkS) | IT-Grundschutz-Zertifikat basiert auf ISO 27001 |
| Gültigkeit | 3 Jahre + Surveillance Audits | 3 Jahre + Wiederholungsaudits |
| Bekanntheit | Weltweiter Standard | Primär DACH-Raum / Behörden |
| NIS2-Relevanz | Als Nachweis für § 30 NIS2UmsuCG geeignet | Als Nachweis gleichwertig anerkannt |
| Sprache | Englisch (offizielle Version) | Deutsch |
Quellen: ISO/IEC 27001:2022; BSI-Standards 200-1 bis 200-4; DAkkS (Deutsche Akkreditierungsstelle); § 30 NIS2UmsuCG. Zertifikatslaufzeit und Auditzyklen nach ISO/IEC 27006. Keine Rechtsberatung.
Quellen: NIS2UmsuCG, § 30 (Risikomanagementmaßnahmen); KRITIS-Dachgesetz; Verordnung (EU) 2024/2847 (CRA); IEC 62443 (industrielle Kommunikationsnetze / OT-Sicherheit). Keine Rechtsberatung.
ISO/IEC 27001 ist die Norm mit den verbindlichen Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) – sie bildet die Grundlage für die Zertifizierung. ISO/IEC 27002 ist ein Leitfaden mit Umsetzungshinweisen zu den 93 Controls aus Anhang A der ISO 27001. Man zertifiziert sich nach ISO 27001, nutzt aber ISO 27002 als Umsetzungshilfe. Beide Normen wurden zuletzt 2022 aktualisiert.
Der Aufbau des ISMS und die Vorbereitung auf die Erstzertifizierung dauern je nach Unternehmensgröße und Ausgangslage typischerweise 6 bis 18 Monate. Das Zertifikat ist 3 Jahre gültig. In Jahr 1 und Jahr 2 folgen Überwachungsaudits (Surveillance Audits), im dritten Jahr findet die Rezertifizierung statt. Eine externe Zertifizierungsstelle (z.B. DAkkS-akkreditierter Zertifizierer) führt das Audit durch.
Nein – ISO 27001 ist im NIS2UmsuCG nicht explizit vorgeschrieben. Die Norm kann jedoch als Nachweis für die technischen und organisatorischen Maßnahmen nach § 30 Abs. 2 NIS2UmsuCG dienen. Das BSI kann nach § 30 Abs. 5 harmonisierte Normen festlegen, die zukünftig als Nachweisgrundlage gelten. Praktisch hat ISO 27001 damit eine starke Hebelwirkung: Wer zertifiziert ist, kann Compliance deutlich einfacher belegen.
Ja – ISO 27001 skaliert mit der Unternehmensgröße. Der Umfang des ISMS (Scope) lässt sich auf relevante Prozesse, Standorte oder Produkte beschränken. Für KMU mit wenigen Systemen kann der Aufwand überschaubar sein. Das BSI IT-Grundschutz-Profil bietet zudem vorkonfigurierte Schutzmaßnahmen für typische KMU-Szenarien, die den Einstieg erleichtern.
Das BSI IT-Grundschutz unterscheidet drei Wege: Basis-Absicherung (schneller Einstieg mit prioritären Maßnahmen für grundlegenden Schutz), Standard-Absicherung (vollständige Umsetzung aller relevanten IT-Grundschutz-Bausteine, Grundlage für ISO-27001-Zertifikat auf Basis des IT-Grundschutzes) und Kern-Absicherung (konzentriert sich auf besonders kritische Geschäftsprozesse und Assets, geeignet für Organisationen mit klar definierten Kronjuwelen).
BSI IT-Grundschutz und ISO 27001 sind kompatibel: Der BSI-Standard 200-1 orientiert sich an ISO 27001, sodass ein IT-Grundschutz-ISMS die ISO-27001-Anforderungen erfüllt. Das BSI vergibt ein eigenes IT-Grundschutz-Zertifikat, das formal auf einer ISO-27001-Zertifizierung basiert. Unternehmen, die den IT-Grundschutz vollständig umsetzen, können damit gleichzeitig eine ISO-27001-Zertifizierung erlangen.