In Deutschland kann sich eine Anforderung gemäß ISO 27001 entweder auf die herkömmliche Zertifizierung nach ISO/IEC 27001 oder speziell auf das auf dem IT-Grundschutz basierende BSI-Verfahren beziehen. Beide bewerten ein Informationssicherheits-Managementsystem (ISMS), doch die Art der Umsetzung und der Zertifizierungsprozess unterscheiden sich. In diesem Leitfaden werden der BSI-Prozess sowie die Vorbereitungsmaßnahmen erläutert, die interne IT-Teams und Managed Service Provider (MSPs) ergreifen sollten. Klären Sie zunächst, welches Verfahren verlangt wird und welchen Geltungsbereich es abdecken muss.
Die Zertifizierung nach ISO 27001 auf Basis des IT-Grundschutzes ist das Zertifizierungsverfahren des BSI für ein ISMS, das die Anforderungen der Norm ISO/IEC 27001 unter Anwendung der IT-Grundschutz-Methodik erfüllt. Ein unabhängiges Audit unter der Leitung eines vom BSI zertifizierten Teamleiters für IT-Grundschutz-Audits nach ISO 27001 dient als Grundlage für die Zertifizierungsentscheidung des BSI. Das BSI stellt das Zertifikat für den festgelegten Geltungsbereich aus.
Die Definition von ISO 27001 auf der Grundlage von IT-Grundschutz
Zunächst einige Begriffe, denn hier beginnt die meiste Verwirrung.
- ISO/IEC 27001:2022 ist der internationale Standard, der die Anforderungen an ein ISMS festlegt. Er beschreibt, wie ein Unternehmen Informationssicherheit einführt, betreibt, überprüft und fortlaufend verbessert. Anhang A enthält Referenzmaßnahmen, die bei der Risikobehandlung herangezogen werden.
- Das BSI (Bundesamt für Sicherheit in der Informationstechnik) ist die deutsche Bundesbehörde für Informationssicherheit.
- Der IT-Grundschutz ist die Methodik und der Katalog der Sicherheitsanforderungen des BSI. Im Vergleich zur ISO 27001 macht er strengere Vorgaben dazu, wie Sie Ihre Umgebung analysieren und welche Schutzmaßnahmen Sie anwenden.
- Untersuchungsgegenstand ist das, was das Audit innerhalb des festgelegten Geltungsbereichs prüft. Der Informationsverbund umfasst die organisatorischen, personellen, technischen und infrastrukturellen Komponenten, die die Prozesse im Geltungsbereich unterstützen.
Das BSI-Verfahren verbindet die Anforderungen der ISO/IEC 27001 mit einer festgelegten Methode für Umsetzung und Prüfung. Die Zertifizierung gilt für den im Zertifikat genannten Geltungsbereich und erstreckt sich nicht automatisch auf jede Geschäftseinheit, jeden Service oder jede Kundenumgebung. Ob dieses Verfahren erforderlich ist, hängt von der konkreten rechtlichen, vertraglichen oder beschaffungsbezogenen Vorgabe ab.
Wie ISO 27001 und der IT-Grundschutz zusammenpassen
Die ISO/IEC 27001 legt Anforderungen an Managementsysteme fest und überlässt es den Unternehmen, geeignete Methoden zur Risikobewertung und -behandlung auszuwählen. Der IT-Grundschutz bietet dagegen eine strukturierte Vorgehensweise, um Informationssicherheit umzusetzen. Die wichtigsten Grundlagen sind:
- BSI-Standard 200-1 beschreibt die allgemeinen Anforderungen an ein ISMS und die Verantwortung des Managements.
- BSI-Standard 200-2 beschreibt die Methodik des IT-Grundschutzes, darunter Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und den IT-Grundschutz-Check.
- Das IT-Grundschutz-Kompendium enthält Bausteine mit Sicherheitsanforderungen für Prozesse, Systeme und Infrastruktur. Wählen Sie die jeweils zutreffenden Bausteine aus und verwenden Sie die Edition, die für Ihr Zertifizierungsverfahren vorgeschrieben ist.
- BSI-Standard 200-3 liefert eine Methode für Risikoanalyse und Risikobehandlung, auch für Fälle, die über die Standardannahmen des Kompendiums hinaus eine eigene Bewertung erfordern.
Die Anwendung des IT-Grundschutzes allein bedeutet noch nicht, dass ein Unternehmen zertifiziert ist. Hinzu kommt der Nachweis, dass das ISMS wirksam betrieben wird und die geltenden Anforderungen der ISO/IEC 27001 sowie des BSI-Verfahrens erfüllt.
Die beiden Zertifizierungswege im Vergleich
| Aspekt | Herkömmliche ISO 27001-Zertifizierung | ISO 27001 auf der Basis von IT-Grundschutz |
| Rahmenbedingungen | Anforderungen der ISO/IEC 27001 | ISO/IEC 27001 zuzüglich der Anforderungen des BSI-Verfahrens |
| Implementierungsmethode | Vom Unternehmen gewählte Methoden zur Risikobewertung und -behandlung | BSI-Methodik und anwendbare Bausteine des Kompendiums |
| Dokumentation | Nachweise, die die ISO/IEC 27001 und das ISMS des Unternehmens verlangen | ISMS-Nachweise sowie Referenzdokumentation des BSI und Aufzeichnungen zur Methodik |
| Audit und Zertifikat | Externe Zertifizierungsstelle; eine akkreditierte Zertifizierung bietet unabhängige Gewähr für deren Kompetenz | Unabhängiges Audit unter Leitung eines vom BSI zertifizierten Auditteamleiters; Zertifizierungsentscheidung und Zertifikat vom BSI |
| Akzeptanz | International weit verbreitet; Anforderungen des Empfängers prüfen | Beruht auf dem internationalen ISO-Standard mit einem spezifischen BSI-Verfahren; Akzeptanz bei Ausschreibungen und Kunden prüfen |
| Typischer Auswahlgrund | Flexibilität bei der Umsetzung des ISMS | Vorgabe für das BSI-Verfahren oder Präferenz für die IT-Grundschutz-Methodik |
Beide Wege setzen ein wirksames ISMS voraus. Keiner von ihnen garantiert, dass keine Sicherheitsvorfälle eintreten.
Für wen dieser Zertifizierungsweg infrage kommt
Verstehen Sie die folgenden Punkte als Bewertungsszenarien und nicht als Verpflichtungen:
- Unternehmen mit Geschäftstätigkeit in Deutschland, deren Kunden ausdrücklich den BSI-basierten Weg verlangen
- Lieferanten öffentlicher Stellen, in deren Vergabeunterlagen dieser Weg möglicherweise genannt wird
- Sicherheitsbewusste Unternehmen, die eine klar definierte, konkret vorgebende Methode wünschen
- MSPs, die Kunden aus einer dieser Gruppen betreuen und über verschiedene Umgebungen hinweg einheitliche Nachweise erstellen müssen
Der erste Schritt ist einfach: Lesen Sie den tatsächlichen Vertrag, die Ausschreibung oder die Kundenanforderung, um festzustellen, welcher Weg dort genannt wird.
Welche IT-Grundschutz-Vorgehensweisen eine Zertifizierung unterstützen
Das BSI bietet die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz für die Standard-Absicherung und die Kern-Absicherung an. Die Standard-Absicherung deckt den festgelegten Informationsverbund umfassend ab. Die Kern-Absicherung konzentriert sich dagegen auf einen sorgfältig abgegrenzten Bereich, der die wichtigsten Werte oder Prozesse des Unternehmens enthält. Das zugehörige Zertifikat bezieht sich auf diesen festgelegten Bereich und nicht auf das gesamte Unternehmen.
Die Basis-Absicherung ist ein Einstiegsansatz. Ein Testat zur Basis-Absicherung kann deren Umsetzung dokumentieren, stellt jedoch kein ISO-27001-Zertifikat dar.
So funktioniert der Zertifizierungsprozess
Planen Sie die Umsetzung und den förmlichen Antrag gemeinsam. Binden Sie frühzeitig einen qualifizierten Auditteamleiter ein, um Geltungsbereich, anzuwendende Versionen, Dokumentation und Zeitplan abzustimmen. Die folgende Abfolge orientiert sich am etablierten Vorgehen des IT-Grundschutzes.
- Geltungsbereich und Vorgehensweise festlegen. Bestimmen Sie die Prozesse, Services, Standorte, Abhängigkeiten und ausgelagerten Tätigkeiten, die abgedeckt werden sollen. Wählen Sie je nach Bedarf die Standard-Absicherung oder die Kern-Absicherung.
- ISMS etablieren. Sichern Sie sich die Unterstützung der Leitungsebene, benennen Sie verantwortliche Zuständige, legen Sie Informationssicherheitsziele und Leitlinien fest und stellen Sie Ressourcen bereit.
- Strukturanalyse durchführen. Erfassen Sie Prozesse, Informationen, Anwendungen, Systeme, Netzwerke, Räume und relevante Abhängigkeiten innerhalb des Informationsverbunds.
- Schutzbedarf feststellen. Bewerten Sie den Bedarf an Vertraulichkeit, Integrität und Verfügbarkeit, einschließlich der Frage, wie sich Anforderungen über Abhängigkeiten hinweg vererben.
- Informationsverbund modellieren. Ordnen Sie die relevanten Bausteine des Kompendiums den Objekten und Prozessen im Geltungsbereich zu.
- IT-Grundschutz-Check durchführen. Vergleichen Sie die anwendbaren Anforderungen mit dem aktuellen Umsetzungsstand und dokumentieren Sie Nachweise, Lücken und begründete Nichtanwendbarkeit.
- Zusätzliche Risikoanalyse durchführen, wo erforderlich. Dies betrifft einen hohen oder sehr hohen Schutzbedarf, Objekte, die von den Bausteinen nicht hinreichend abgedeckt werden, sowie atypische Einsatzszenarien. Wählen Sie ergänzende Maßnahmen aus und dokumentieren Sie Risikobehandlung und Risikoakzeptanz.
- Maßnahmen umsetzen und verifizieren. Legen Sie Verantwortliche und Fristen fest, schließen Sie Lücken und bewahren Sie Nachweise für die Wirksamkeit der Maßnahmen auf. Pflegen Sie die Erklärung zur Anwendbarkeit (Statement of Applicability) samt der Begründungen für die Maßnahmenauswahl. Schließen Sie interne Audits und die Managementbewertung ab.
- Antrag beim BSI stellen und das unabhängige Audit organisieren. Reichen Sie den erforderlichen Antrag und die Referenzdokumentation ein und erfüllen Sie die Unabhängigkeitsanforderungen des Verfahrens. Vereinbaren Sie diese Arbeiten rechtzeitig, um den geplanten Prüfungstermin zu gewährleisten.
- Audit und Zertifizierungsprüfung abschließen. Das Audit umfasst die Prüfung der Dokumente und die Bewertung der Umsetzung. Bearbeiten Sie Feststellungen und legen Sie den Auditbericht dem BSI zur Prüfung vor. Die Zertifizierung erfolgt nach einer positiven Entscheidung des BSI.
- Zertifizierung aufrechterhalten. Betreiben und verbessern Sie das ISMS fortlaufend und halten Sie Nachweise und Angaben zum Geltungsbereich aktuell. Planen Sie Überwachungs- und Rezertifizierungsaudits ein.
Ein BSI-Zertifikat ist in der Regel drei Jahre gültig und unterliegt jährlichen Überwachungsaudits. Um die Zertifizierung darüber hinaus fortzuführen, ist eine Rezertifizierung erforderlich. Klären Sie bei der Terminplanung das jeweils gültige Verfahren und etwaige Übergangsregelungen.
Schnelle Checkliste zur Vorbereitung
- Legen Sie den Geltungsbereich fest, einschließlich ausgelagerter Services und Schnittstellen, und wählen Sie die Standard-Absicherung oder die Kern-Absicherung
- Klären Sie, welchen Weg Ihre Kunden, Ihr Einkauf oder die Aufsichtsbehörden erwarten
- Etablieren oder überprüfen Sie das ISMS und benennen Sie Verantwortliche
- Schließen Sie die Strukturanalyse und die Schutzbedarfsfeststellung ab
- Modellieren Sie den Informationsverbund nach der anwendbaren Methodik
- Führen Sie den IT-Grundschutz-Check, die erforderlichen zusätzlichen Risikoanalysen und die Dokumentation der Behebungsmaßnahmen zum Abschluss
- Sammeln Sie aktuelle Nachweise zu Assets, Konfigurationen, Patching, Zugriffen, Backup, Wiederherstellung und Richtliniendurchsetzung
- Stimmen Sie Antrag, Referenzdokumente und Regelungen zum unabhängigen Audit ab
- Schließen Sie interne Audits und die Managementbewertung ab und planen Sie Budget für Überwachungs- und Rezertifizierungsaudits ein
Betriebsnachweise, die IT-Teams vorbereiten sollten
Operative IT-Aufzeichnungen gehören zu den Nachweisen für ein ISMS. Die folgenden Punkte sind praxisnahe Beispiele und keine vollständige Liste der Auditunterlagen. Neben den technischen Nachweisen sollten auch Managementaufzeichnungen vorliegen, etwa zu Geltungsbereich, Risikobehandlung, Erklärung zur Anwendbarkeit (Statement of Applicability), Ergebnissen interner Audits und Managementbewertung.
- Transparenz über Assets: Ein aktuelles, vollständiges Inventar der Geräte und Software im Geltungsbereich, abgeglichen, sodass nicht verwaltete Systeme sichtbar werden
- Patching und Behebung von Schwachstellen: Patch-Richtlinie, datierte Compliance-Berichte, Aufzeichnungen zu fehlgeschlagenen Bereitstellungen und genehmigte Ausnahmen
- Richtliniendurchsetzung: Konfigurationsbaselines und Aufzeichnungen, die belegen, dass sie angewendet werden
- Zugriff und Remote-Support: Genehmigungen und Entzug von Zugriffen, Überprüfungen von Berechtigungen, Authentifizierungseinstellungen sowie relevante Sitzungs- oder Aktivitätsprotokolle, die im Rahmen einer angemessenen Zugriffs- und Aufbewahrungsrichtlinie aufbewahrt werden
- Backup und Wiederherstellung: Verlaufsprotokolle der Backup-Jobs und Ergebnisse von Wiederherstellungstests
- Dokumentation: Aktuelle Netzwerk- und Systemdokumentation, Verfahrensbeschreibungen und Nachweise zu Verantwortlichkeiten
- Berichterstellung: Wiederholbare, datierte Berichte statt einmaliger Screenshots
Wo eine einheitliche Plattform für den IT-Betrieb helfen kann
NinjaOne kann Endpunkte, die Bereitstellung von Patches, Reporting, Backup-Vorgänge, Remote-Zugriff sowie IT-Dokumentation unterstützen. Damit können interne IT-Teams, auch in großen Unternehmen, sowie MSPs Betriebsnachweise pflegen. Der Abdeckungsgrad hängt von den eingesetzten Produkten, den unterstützten Systemen und der Konfiguration ab. Ordnen Sie daher jeden Bericht einer konkreten Anforderung zu und prüfen Sie, ob er den vorgesehenen Geltungsbereich abdeckt.
Tools unterstützen Maßnahmen und Nachweise. Sie verleihen, garantieren oder ersetzen jedoch keine Zertifizierung, denn diese hängt von Ihrem ISMS, Ihrem Geltungsbereich und dem Auditprozess ab.
Häufige Planungsfehler
- Unklarer Geltungsbereich: Ein Untersuchungsgegenstand, der zu weit, zu eng oder nicht mit Stakeholder:innen abgestimmt ist
- Veraltete Bestände: Modellierung auf Basis von Asset-Listen, die nicht mehr der Realität entsprechen
- Uneinheitliche Nachweise: Berichte ohne Datum, Verantwortlichen oder Quelle
- Projektdenken: Die Zertifizierung als einmaliges Projekt statt als fortlaufende Praxis zu behandeln
- Verwechslung von Zertifizierungsbereichen: Das Zertifikat eines Lieferanten oder MSPs zertifiziert nicht automatisch die Umgebung eines Kunden. Auch eine Produktzertifizierung bescheinigt nicht das ISMS eines Unternehmens
- Verlass auf Sekundärquellen: Beratungs- oder Herstellerseiten statt aktueller BSI-Unterlagen
Planung im Hinblick auf Grundschutz++
Stand Oktober 2026 hat das BSI einen Methodikleitfaden zu Grundschutz++ vom 1. April 2026 veröffentlicht und beschreibt darin einen prozessorientierten Ansatz mit maschinenlesbaren Anforderungen. Laut BSI bleibt der bestehende IT-Grundschutz während einer mehrjährigen Übergangsphase weiterhin anwendbar.
Bevor Sie sich auf ein erstes Audit oder ein Re-Audit festlegen, klären Sie mit dem BSI und Ihrem Auditteamleiter, welche Zertifizierungsgrundlage, welche Dokumentversionen und welche Übergangsregelungen für Ihren Zeitplan gelten. Halten Sie Inventare, Risikoentscheidungen, Zuständigkeiten und Nachweise nachvollziehbar vor, damit sie eine spätere Migration unterstützen können.
