ISO 27001 auf Basis IT-Grundschutz: Der Weg zum Zertifikat

Ein Zertifikat an der Wand macht noch keine sichere Organisation. Trotzdem ist die Zertifizierung nach ISO 27001 auf Basis IT-Grundschutz für viele Unternehmen und Behörden ein sinnvolles Ziel – nicht wegen des Siegels, sondern wegen des Weges dorthin. Der zwingt dazu, Informationssicherheit systematisch aufzubauen, statt sie dem Zufall zu überlassen.

Zwei Wege zum selben Zertifikat

Es gibt zwei Varianten, und die Verwechslung kostet regelmäßig Zeit im Erstgespräch.

Die native ISO 27001 beschreibt, was ein Informationssicherheits-Managementsystem leisten muss. Sie ist bewusst technikoffen und lässt beim Wie viel Spielraum. Die Maßnahmen stehen im Anhang A, der auf ISO 27002 verweist – Ziele, keine Bauanleitungen.

Die BSI-Variante – „ISO 27001 auf der Basis von IT-Grundschutz" – füllt genau diese Lücke. Sie ist keine andere Norm, sondern derselbe Standard mit einer vorgegebenen Methodik dahinter: dem IT-Grundschutz des BSI. Der liefert konkrete Bausteine für typische Komponenten, vom Server über die Cloud bis zum mobilen Arbeitsplatz, und zu jedem Baustein die zugehörigen Anforderungen.

Der Unterschied in der Praxis: Bei der nativen ISO 27001 leiten Sie Ihre Maßnahmen selbst aus Ihrer Risikoanalyse ab. Beim IT-Grundschutz bekommen Sie einen erprobten Katalog und begründen Abweichungen davon. Das ist mehr Vorgabe, aber auch weniger weiße Fläche.

Das Regelwerk hinter der BSI-Variante

Vier Standards tragen das Ganze:

| Standard | Inhalt | |---|---| | BSI-Standard 200-1 | Managementsysteme für Informationssicherheit – kompatibel zur ISO 27001 | | BSI-Standard 200-2 | IT-Grundschutz-Methodik mit den drei Vorgehensweisen | | BSI-Standard 200-3 | Risikomanagement auf Basis IT-Grundschutz | | BSI-Standard 200-4 | Business Continuity Management |

Dazu kommt das IT-Grundschutz-Kompendium mit den Bausteinen und Anforderungen.

Wichtig für die Planung: Das BSI modernisiert den IT-Grundschutz gerade grundlegend. Aus dem textbasierten Kompendium wird ein digitales, maschinenlesbares Regelwerk, und die bisherigen Absicherungsstufen sollen flexibleren Kennzahlen weichen. Der heutige IT-Grundschutz bleibt während des Übergangs anwendbar – wer jetzt startet, sollte den Umbau aber kennen und seine Dokumentation nicht so bauen, dass sie beim Wechsel komplett neu entsteht.

Die drei Vorgehensweisen – und welche zu Ihnen passt

Der BSI-Standard 200-2 kennt drei Einstiege, und die Wahl entscheidet über Aufwand und Dauer:

Basis-Absicherung. Ein breiter Grundschutz über die gesamte Organisation, zunächst nur mit den Basis-Anforderungen. Schnell wirksam, aber allein nicht zertifizierungsfähig. Der richtige Einstieg, wenn bisher wenig strukturiert vorhanden ist.

Kern-Absicherung. Der volle Schutz für einen kleinen, besonders wichtigen Ausschnitt – die „Kronjuwelen". Sinnvoll, wenn ein klar abgrenzbarer Bereich das eigentliche Risiko trägt.

Standard-Absicherung. Der vollständige Weg über den gesamten Informationsverbund. Das ist die Variante, die zur Zertifizierung führt.

Viele Organisationen fahren zweistufig: erst Basis-Absicherung für die Fläche, dann Standard-Absicherung im definierten Geltungsbereich.

Der Weg in fünf Etappen

1 · Standortbestimmung. Eine Gap-Analyse zeigt den Abstand zum Zielzustand. Sie ist unbequem und spart später am meisten, weil sie den Umfang realistisch macht.

2 · Geltungsbereich festlegen. Der wichtigste Hebel für den Aufwand überhaupt. Ein zu weit gefasster Scope ist der häufigste Grund, warum Projekte kippen. Der Bereich muss fachlich sinnvoll abgrenzbar sein – nicht einfach „die ganze IT".

3 · Aufbau. Strukturanalyse, Schutzbedarfsfeststellung, Modellierung mit den Bausteinen, IT-Grundschutz-Check, ergänzende Risikoanalyse für alles über dem Standardschutzbedarf. Dazu die Dokumentation: Leitlinie, Richtlinien, Verfahren, Nachweise.

4 · Leben lassen. Hier entscheidet sich alles. Ein ISMS, das nur zum Audit hervorgeholt wird, fällt auf – und hilft niemandem. Es braucht mindestens einen vollständigen Zyklus im Betrieb: interne Audits, Managementbewertung, Korrekturmaßnahmen.

5 · Audit. Ein beim BSI zertifizierter Auditor prüft zunächst die Dokumentation (Audit-Stufe 1), dann vor Ort die Umsetzung (Stufe 2). Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits.

Realistisch sollten Sie für den ersten Durchlauf zwölf bis achtzehn Monate einplanen, wenn Sie bei null starten. Kürzer geht, wenn Vorarbeit da ist; deutlich kürzer geht selten gut.

Wo Projekte typischerweise klemmen

Der Geltungsbereich ist zu groß. Der Klassiker. Lieber ein kleiner Bereich sauber als ein großer halb.

Die Dokumentation wird zum Selbstzweck. Wenn Richtlinien entstehen, die niemand liest und niemand pflegt, hat man Papier produziert, keine Sicherheit. Faustregel: Was Sie im Alltag nicht anwenden würden, schreiben Sie nicht.

Die Leitung ist nicht wirklich dabei. Die Norm verlangt Verpflichtung der obersten Leitung, und Auditoren fragen danach. Ein ISMS, das allein in der IT hängt, hat kein Mandat für Entscheidungen, die Geld oder Prozesse kosten.

Niemand hat Zeit. Der Informationssicherheitsbeauftragte macht das „nebenher" zu zwanzig Prozent, die aber nie freigeschaufelt werden. Hier hilft entweder ehrliche Entlastung oder ein externer ISB.

Was das mit NIS2 zu tun hat

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz, ohne allgemeine Übergangsfrist. Rund 29.500 Unternehmen fallen neu unter die Aufsicht des BSI und müssen Risikomanagementmaßnahmen nachweisen.

Eine ISO-27001-Zertifizierung ist dafür nicht vorgeschrieben – aber ein bestehendes ISMS deckt große Teile der geforderten Maßnahmen bereits ab und liefert die Nachweise, die sonst mühsam einzeln zusammenzutragen sind. Wer ohnehin zertifizieren will, sollte NIS2 als Beschleuniger sehen, nicht als zweites Projekt.

Der Nutzen über das Siegel hinaus

Wer den Weg konsequent geht, gewinnt klare Verantwortlichkeiten, dokumentierte Prozesse und einen Verbesserungszyklus, der auch neue Risiken auffängt. In Ausschreibungen und Lieferantenprüfungen ist das Zertifikat oft ohnehin Eintrittskarte – aber der eigentliche Ertrag ist, dass jemand benannt ist, der sich kümmert, und dass Entscheidungen nachvollziehbar dokumentiert sind.

Als nach ISO 27001 auf Basis IT-Grundschutz zertifizierter Dienstleister sind wir den Weg selbst gegangen. Das hilft bei der Frage, wo man Aufwand sparen kann – und wo nicht.

Stand: August 2026. Angaben zu den BSI-Standards und zur Modernisierung des IT-Grundschutz nach den Veröffentlichungen des BSI; zum NIS2UmsuCG siehe unseren NIS2-Ratgeber.

Weiterführend: Unsere Zertifizierungen · NIS2 im Mittelstand · Externer ISB · Schwachstellenmanagement