Die Bedrohungslage für Unternehmen, Behörden und andere Organisationen wächst kontinuierlich. Cyberangriffe, Datenverlust und IT-Ausfälle sind längst keine Ausnahmeerscheinungen mehr, sondern tägliche Realität. Ein Informationssicherheits-Managementsystem (ISMS) ist die systematische Antwort darauf. Es definiert Richtlinien, Prozesse, Verantwortlichkeiten und Maßnahmen, die den Schutz von Informationen – Vertraulichkeit, Integrität und Verfügbarkeit – dauerhaft und nachweisbar sicherstellen.
Im deutschsprachigen Raum dominieren zwei Standards den Markt: die internationale Norm ISO/IEC 27001 und der nationale IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Beide verfolgen dasselbe Ziel, gehen dabei aber sehr unterschiedliche Wege. Seit Dezember 2025 kommt mit NIS-2 ein gesetzlicher Rahmen hinzu, der die Frage nach dem richtigen Standard für viele Organisationen noch dringlicher macht.
Dieser Beitrag erklärt die wesentlichen Unterschiede, beleuchtet Vor- und Nachteile beider Standards und zeigt, wie NIS-2 in das Gesamtbild passt.
Die Standards – ein kurzer Einblick
ISO/IEC 27001 – der internationale Standard
Die aktuell gültige Fassung ist die ISO/IEC 27001:2022 und trägt den Titel „Informationssicherheit, Cybersicherheit und Datenschutz – Informationssicherheitsmanagementsysteme – Anforderungen“. Zudem nimmt eine Änderung von 2024 explizit klimawandelbedingte Risiken in den Scope mit auf (siehe ISO/IEC 27001:2022/Amd 1:2024).
Die Norm verfolgt einen flexiblen, risikobasierten Ansatz und schreibt vor, was eine Organisation erreichen muss, aber nicht wie sie es konkret umsetzen soll. Der Anhang A der Norm listet 93 Maßnahmen (Controls) auf, bei denen es sich nicht um konkrete Einzelmaßnahmen handelt, sondern lediglich um Ziele. Jede Organisation muss dokumentieren, welche Controls sie anwendet und von welchen sie ggf. absieht, um diese Ziele zu erreichen. Letzteres muss jedoch in ihrer Risikoanalyse begründet sein.
In einer vollständigen und eigenständig durchgeführten Risikoanalyse bewertet die Organisation zunächst ihre Informationswerte (Assets), identifiziert Bedrohungen und Schwachstellen und leitet daraus einen individuellen Maßnahmenplan ab.
BSI IT-Grundschutz – die deutsche Methodik
Der BSI IT-Grundschutz verfolgt einen maßnahmenorientierten Ansatz mit hoher Detailtiefe und besteht aus den BSI-Standards 200-1 bis 200-4 sowie dem IT-Grundschutz-Kompendium, das in der Edition 2023/2024 insgesamt 111 Bausteine umfasst. Jeder Baustein beschreibt mögliche Gefahren und konkrete Sicherheitsanforderungen, die eine Organisation umsetzen muss.
Für Organisationen stehen drei Absicherungsstufen zur Wahl:
- Basis-Absicherung für den schnellen Einstieg,
- Standard-Absicherung als vollwertiges ISMS und Grundlage für die Zertifizierung sowie
- Kern-Absicherung für besonders kritische Geschäftsprozesse.
Während die Anforderungen der Basis-Absicherung verpflichtend sind und Organisationen im Regelfall keine eigenständige Risikoanalyse durchführen müssen, erfordern Standard-Absicherung und Kern-Absicherung eine individuelle Bewertung und eine ergänzende Risikoanalyse.
Die wesentlichen Unterschiede im Überblick
Der zentrale Unterschied zwischen beiden Standards liegt in ihrer grundlegenden Herangehensweise.
Während die ISO/IEC 27001 eine vollständige, individuell durchgeführte Risikoanalyse zwingend voraussetzt, hat der IT-Grundschutz die Risikoanalyse für Systeme mit normalem Schutzbedarf (Basis-Absicherung) bereits vorweggenommen. Bei der internationalen Reichweite hat die ISO/IEC 27001 klar die Nase vorn, während der IT-Grundschutz primär im deutschsprachigen Behördenumfeld relevant ist. Was die Umsetzungsorientierung betrifft, liegt allerdings der IT-Grundschutz mit seinen 111 Bausteinen, die eine detaillierte Schritt-für-Schritt-Anleitung liefern, in Führung, während die ISO/IEC 27001 die Ausgestaltung der Maßnahmen weitgehend der Organisation überlässt.
Die Einführung und der Betrieb eines ISMS erfordern in beiden Fällen die Einbindung interner Fachbereiche, entsprechende personelle Kapazitäten sowie Unterstützung durch externe Beratung. Beide Standards sind grundsätzlich geeignet, unterscheiden sich jedoch deutlich in Methodik, Aufwand, Flexibilität und in der konkreten Umsetzung von Maßnahmen.
Die finale Entscheidung, welcher Ansatz gewählt wird, sollte durch die Geschäftsführung in Abstimmung mit den relevanten Fachbereichen getroffen werden.
Vor- und Nachteile bei Einführung und Betrieb
ISO/IEC 27001 ermöglicht eine gezielte Nutzung bestehender Prozesse und Strukturen. Auf Basis des vorhandenen Reifegrads einer Organisation kann die Umsetzung effizienter und ressourcenschonender gestaltet werden. Die hohe Flexibilität erlaubt eine risikobasierte Priorisierung, was zu einer schnelleren und wirtschaftlicheren Umsetzung bei gleichzeitiger Gewährleistung eines angemessen hohen Sicherheitsniveaus führt.
Herausfordernd sind hingegen der hohe Eigenleistungsanteil, die aufwendige Risikoanalyse und die Kosten für Normdokumente und Zertifizierungsaudits. Hinzu kommt, dass sich der Einstieg ohne externe Beratung schwierig gestalten kann.
Beim BSI IT-Grundschutz ermöglichen die klaren Strukturen und konkreten Vorgaben ein einheitlich hohes Sicherheitsniveau und sind ein bewährter Standard für Behörden und KRITIS-Betreiber.
Nachteilig sind die geringe internationale Bekanntheit, der erhebliche Dokumentations- und der zusätzliche Planungsaufwand durch die derzeit laufende Umstellung auf IT-Grundschutz++ – für den 30. September 2026 ist das Ende der Pilotierungsphase angesetzt, die Methodik-GS++ soll dann im November auf der it-sa 2026 vorgestellt werden.
Der IT-Grundschutz entfaltet seine Stärken vor allem dann, wenn die Strukturen von Beginn an konsequent nach diesem Standard aufgebaut werden. Nachträgliche Anpassungen in gewachsenen Strukturen sind hingegen mit zusätzlichem Aufwand verbunden.
Zertifizierung
Beide Standards bieten die Möglichkeit einer formellen Zertifizierung, unterscheiden sich dabei jedoch im Prüfungsverfahren. Bei ISO/IEC 27001 bewerten unabhängige, akkreditierte Zertifizierungsstellen die Angemessenheit und Wirksamkeit der Umsetzung mit entsprechendem Spielraum für die Organisation. Die aktuelle Version ISO/IEC 27001 ist seit Oktober 2022 gültig.
Eine ISO/IEC 27001 Zertifizierung auf Basis von IT-Grundschutz ist sowohl für die Standard- als auch für die Kern-Absicherung möglich. Voraussetzung für die Vergabe eines ISO/IEC 27001-Zertifikats auf der Basis von IT-Grundschutz ist eine Überprüfung durch einen vom BSI zertifizierten ISO/IEC 27001-Grundschutz-Auditor, der die Referenzdokumente prüft, eine Vor-Ort-Prüfung durchführt und einen Auditbericht erstellt. Auf Grundlage des Berichts entscheidet das BSI über die Ausstellung eines Zertifikats.
Eine Basis-Absicherung ist zwar als Einstiegsmodell geeignet und führt zu einem offiziellen Testat, das durch einen beim BSI zertifizierten Auditor vergeben wird, sie ist jedoch nicht ausreichend für eine vollwertige ISO-Zertifizierung.
NIS-2 – das neue gesetzliche Fundament für Cybersicherheit in Europa
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz (wir berichteten). Es erweitert den Kreis der regulierten Organisationen weit über klassische KRITIS-Betreiber hinaus und stellt verbindliche Anforderungen an Governance, Risikomanagement, Incident Reporting und Lieferkettensicherheit.
NIS-2 schreibt keinen bestimmten Standard vor, die Anforderungen decken sich jedoch in weiten Teilen mit dem, was ISO/IEC 27001 und IT-Grundschutz bereits beinhalten. Ein ISMS nach ISO/IEC 27001 allein reicht für NIS-2-Compliance nicht aus. Das BSI hat bspw. für Bundesbehörden explizit festgelegt, dass IT-Risikomanagementmaßnahmen auf IT-Grundschutz-Basis umzusetzen sind.
Die Kombination aus ISO/IEC 27001 und IT-Grundschutz bietet hier den effizientesten Weg: internationaler Rahmen plus operative Maßnahmenkonkretisierung.
Fazit: Eine strategische Abwägung, kein Entweder-oder
ISO/IEC 27001 stellt einen pragmatischeren und effizienteren Ansatz dar. Abhängig vom Risikoprofil und dem Sicherheitsanspruch der Organisation ermöglicht er ein angemessen hohes Schutzniveau bei mehr Flexibilität und höherer Planungssicherheit in der Umsetzung.
Der BSI IT-Grundschutz bietet eine sehr umfassende und methodisch tiefe Absicherung. Er ist jedoch mit einem deutlich höheren Umsetzungsaufwand und geringerer Flexibilität verbunden und eignet sich vor allem für Organisationen, die ihre Sicherheitsstrukturen von Grund auf nach diesem Rahmenwerk aufbauen.
Die Wahl zwischen ISO/IEC 27001 und IT-Grundschutz hängt von Internationalisierungsgrad, vorhandener Expertise und regulatorischen Verpflichtungen ab. Für NIS-2-betroffene Organisationen gilt: Wer noch kein ISMS hat, sollte jetzt handeln!
Nicht vergessen: Informationssicherheit ist kein Projekt, das man abschließt, sie ist ein kontinuierlicher Prozess und die Grundlage für ein resilientes und zukunftsfähiges Unternehmen.
Gerne unterstützen wir Sie bei der Einführung eines ISMS. Mehr Informationen finden Sie hier: dsn-group.de/informationssicherheit/isms
Keine Kommentare