ISO 27001 ist der internationale, risikobasierte Standard für Informationssicherheits-Managementsysteme; der BSI IT-Grundschutz ist die deutsche Methodik mit einem detaillierten Baustein-Katalog. Ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz stellt ausschließlich das BSI über von ihm zertifizierte Auditoren aus. Für die meisten Mittelständler ist die native ISO 27001 der praktikablere Weg; das Grundschutz-Kompendium eignet sich zusätzlich als kostenlose Maßnahmenquelle.
Wer in Deutschland ein Informationssicherheits-Managementsystem aufbauen will, stößt auf zwei Namen: die internationale Norm ISO 27001 und den IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI). Beide verfolgen dasselbe Ziel – Vertraulichkeit, Integrität und Verfügbarkeit von Informationen systematisch zu schützen. Der Weg dorthin unterscheidet sich jedoch grundlegend, und mit ihm Aufwand, Kosten und Zertifizierungsmöglichkeiten.
Dieser Vergleich erklärt beide Ansätze sachlich, zeigt die Unterschiede in einer Übersichtstabelle und beantwortet die Frage, die sich viele Geschäftsführungen und IT-Leitungen im Mittelstand stellen: Welcher Weg passt zu einem Unternehmen mit 10, 50 oder 200 Mitarbeitenden – und wer darf eigentlich welches Zertifikat ausstellen?
Zwei Wege, ein Ziel: Was beide Ansätze gemeinsam haben
ISO 27001 und IT-Grundschutz sind keine Konkurrenzprodukte verschiedener Anbieter, sondern zwei Methodiken für dieselbe Aufgabe: den Aufbau eines Informationssicherheits-Managementsystems (ISMS). Beide verlangen, dass die Leitung Verantwortung übernimmt, Risiken bewertet werden, Maßnahmen umgesetzt und regelmäßig überprüft werden. Beide folgen dem PDCA-Prinzip aus Planen, Umsetzen, Prüfen und Verbessern.
Die Verwandtschaft ist sogar formal: Das BSI hat seine Methodik so aufgebaut, dass ein nach IT-Grundschutz umgesetztes ISMS die Anforderungen der ISO 27001 erfüllt. Deshalb heißt das Zertifikat des BSI offiziell „ISO 27001-Zertifikat auf der Basis von IT-Grundschutz“. Der Unterschied liegt nicht im Ziel, sondern im Weg: Die ISO-Norm gibt vor, was ein ISMS leisten muss, und überlässt das Wie weitgehend dem Unternehmen. Der IT-Grundschutz beschreibt das Wie in hunderten konkreten Anforderungen – von der Serverraumtür bis zum Umgang mit mobilen Datenträgern.
ISO 27001: der risikobasierte internationale Standard
ISO 27001 (aktuelle Fassung: 2022) ist die weltweit verbreitete Norm für ISMS. Sie besteht aus zwei Teilen. Die Kapitel 4 bis 10 beschreiben das Managementsystem: Kontext und Geltungsbereich, Führung und Politik, Risikobeurteilung und Risikobehandlung, Ressourcen und Kompetenz, Betrieb, Bewertung der Leistung und fortlaufende Verbesserung. Der Anhang A listet 93 Maßnahmen (Controls) in vier Themenfeldern: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Controls.
Der Kernmechanismus ist die Risikoanalyse: Das Unternehmen identifiziert seine Informationswerte, bewertet Risiken und entscheidet selbst, welche Controls es in welcher Tiefe umsetzt. Diese Entscheidungen werden im Statement of Applicability (SoA) begründet. Das macht die Norm skalierbar – ein IT-Dienstleister mit zwölf Mitarbeitenden setzt dieselbe Norm um wie ein Konzern, nur mit angemessen schlankeren Mitteln.
Zertifiziert wird durch Zertifizierungsstellen: akkreditiert über die DAkkS oder – transparent gekennzeichnet – im nicht akkreditierten Bereich, wie es KCERT anbietet. Das Zertifikat gilt drei Jahre mit jährlichen Überwachungsaudits.
BSI IT-Grundschutz: die deutsche Methodik im Detail
Der IT-Grundschutz ist ein Werk des BSI und besteht aus zwei Ebenen. Die BSI-Standards 200-1 bis 200-3 beschreiben die Methodik: 200-1 die allgemeinen ISMS-Anforderungen, 200-2 die Vorgehensweise, 200-3 die vereinfachte Risikoanalyse. Das IT-Grundschutz-Kompendium liefert dazu den Maßnahmenkatalog: über 100 Bausteine zu Themen wie Serverbetrieb, Cloud-Nutzung, Homeoffice oder Gebäudesicherheit, jeweils mit Basis-, Standard- und erhöhten Anforderungen.
Der BSI-Standard 200-2 kennt drei Vorgehensweisen: Die Basis-Absicherung als Einstieg mit den wichtigsten Anforderungen, die Kern-Absicherung für die kritischsten Geschäftsprozesse und die Standard-Absicherung als Vollausbau, der für das Zertifikat nötig ist. Die Logik ist präskriptiv: Statt jedes Risiko einzeln zu bewerten, modelliert das Unternehmen seinen Informationsverbund mit den passenden Bausteinen und arbeitet deren Anforderungen ab. Das spart eigene Risikoüberlegungen, erzeugt aber erheblichen Dokumentationsaufwand – die Zahl der abzuarbeitenden Einzelanforderungen geht schnell in die Tausende.
Verbreitet ist der IT-Grundschutz vor allem in der öffentlichen Verwaltung, bei Betreibern kritischer Infrastrukturen und bei Dienstleistern, die für Behörden arbeiten. Das BSI modernisiert die Methodik derzeit schrittweise (Stand: September 2026); an der Grundlogik aus Standards und Baustein-Katalog ändert das nichts.
Der direkte Vergleich: ISO 27001 und IT-Grundschutz nebeneinander
Die Tabelle fasst die wichtigsten Unterschiede zusammen:
| Kriterium | ISO 27001 (nativ) | BSI IT-Grundschutz |
|---|---|---|
| Ansatz | Risikobasiert: Unternehmen leitet Maßnahmen aus eigener Risikoanalyse ab | Baustein-basiert: vorgegebener Katalog konkreter Anforderungen |
| Regelwerk | Norm mit Kapiteln 4–10 plus 93 Controls im Anhang A | BSI-Standards 200-1 bis 200-3 plus Kompendium mit über 100 Bausteinen |
| Flexibilität | Hoch – Tiefe der Umsetzung folgt dem Risiko | Gering – Anforderungen sind weitgehend vorgegeben |
| Dokumentationsaufwand | Mittel, skaliert mit Unternehmensgröße | Hoch, auch für kleinere Informationsverbünde |
| Verbreitung | International, alle Branchen | Deutschland, Schwerpunkt Verwaltung und Behördenumfeld |
| Zertifikat | Durch Zertifizierungsstellen (akkreditiert oder nicht akkreditiert) | Nur durch das BSI, geprüft von BSI-zertifizierten Auditoren |
| Anerkennung im Ausland | Hoch | Gering – außerhalb Deutschlands kaum bekannt |
| Typische Projektdauer im KMU | Etwa 6 bis 12 Monate | Häufig 12 bis 24 Monate bis zur Zertifizierungsreife |
Kurz gefasst: Die ISO 27001 verlangt Denkarbeit bei der Risikoanalyse und belohnt sie mit Gestaltungsspielraum. Der IT-Grundschutz nimmt dem Unternehmen Entscheidungen ab und verlangt dafür die konsequente Abarbeitung eines umfangreichen Katalogs.
Zertifizierung: Wer stellt welches Zertifikat aus?
Hier ist Präzision wichtig, weil am Markt viel Unschärfe kursiert. Ein natives ISO-27001-Zertifikat stellen Zertifizierungsstellen aus. Im akkreditierten Bereich überwacht die DAkkS die Stellen; daneben gibt es Zertifizierungen im nicht akkreditierten Bereich – seriöse Anbieter kennzeichnen das transparent auf dem Zertifikat, so wie KCERT es tut.
Das „ISO 27001-Zertifikat auf der Basis von IT-Grundschutz“ ist dagegen ein hoheitlich organisiertes Verfahren: Es wird ausschließlich vom BSI selbst ausgestellt. Das Audit führt ein vom BSI zertifizierter Auditor durch, der Auditbericht wird anschließend vom BSI geprüft, bevor das Zertifikat erteilt wird. Keine private Zertifizierungsstelle – weder akkreditiert noch nicht akkreditiert – kann ein Grundschutz-Zertifikat ausstellen. Wer also ein BSI-Zertifikat benötigt, etwa weil ein Behördenauftrag es ausdrücklich fordert, kommt am BSI-Verfahren nicht vorbei.
Umgekehrt gilt: Wo ein Auftraggeber allgemein „ISO 27001“ verlangt, erfüllt sowohl das native Zertifikat einer Zertifizierungsstelle als auch das BSI-Zertifikat die Anforderung. Prüfen Sie im Zweifel den genauen Wortlaut der Ausschreibung oder Einkaufsrichtlinie – und ob dort eine akkreditierte Zertifizierung gefordert ist. In diesen Fällen reicht ein nicht akkreditiertes Zertifikat nicht aus.
Was passt zum Mittelstand? Entscheidungskriterien
Für die meisten mittelständischen Unternehmen ist die native ISO 27001 der praktikablere Weg. Die Gründe: Der Aufwand skaliert mit der Unternehmensgröße, die Norm ist international anerkannt, Kunden aus Industrie und IT verlangen fast immer ISO 27001 und nicht IT-Grundschutz, und der Markt an Beratern und Auditoren ist deutlich größer. Auch die Anforderungen aus NIS2 lassen sich mit einem ISO-27001-ISMS strukturiert abdecken.
Der IT-Grundschutz ist die richtige Wahl, wenn einer dieser Fälle vorliegt: Ihr Unternehmen arbeitet überwiegend für Bundes- oder Landesbehörden, die ein BSI-Zertifikat oder Grundschutz-Konformität ausdrücklich fordern. Sie sind Betreiber kritischer Infrastrukturen und Ihr Nachweiskonzept baut auf Grundschutz auf. Oder Ihre Organisation wünscht bewusst maximale Detailvorgaben, weil eigene Risikoanalyse-Kompetenz fehlt und der Aufwand akzeptiert wird.
Ein Kostenvergleich fällt je nach Ausgangslage unterschiedlich aus, die Tendenz ist aber klar: Durch den höheren Dokumentations- und Umsetzungsaufwand liegt ein Grundschutz-Projekt im Mittelstand meist deutlich über einem vergleichbaren ISO-27001-Projekt – sowohl bei internen Personentagen als auch bei Beratungs- und Auditkosten.
Der pragmatische Mittelweg: ISO 27001 zertifizieren, Kompendium nutzen
Die gute Nachricht: Sie müssen sich methodisch gar nicht vollständig entscheiden. Das IT-Grundschutz-Kompendium ist frei verfügbar und eine der besten deutschsprachigen Maßnahmensammlungen überhaupt. Viele Mittelständler fahren deshalb zweigleisig: Das Managementsystem und die Zertifizierung folgen der ISO 27001 – schlank, risikobasiert, international anerkannt. Bei der konkreten Umsetzung einzelner Controls dient das Kompendium als Nachschlagewerk.
Ein Beispiel: Anhang A der ISO 27001 verlangt sichere Authentifizierungsverfahren, sagt aber nicht, wie diese aussehen. Der passende Grundschutz-Baustein liefert konkrete Anforderungen von Passwortregeln bis Mehrfaktor-Authentisierung, an denen Sie sich orientieren können. So kombinieren Sie den Gestaltungsspielraum der ISO-Norm mit der Detailtiefe des BSI – ohne den Zertifizierungsaufwand des Grundschutz-Verfahrens.
Auch die Basis-Absicherung nach BSI-Standard 200-2 kann als strukturierter Einstieg dienen, bevor ein ISMS nach ISO 27001 aufgebaut wird: Sie priorisiert die wichtigsten Maßnahmen und schafft eine Grundlage, auf der die spätere Risikoanalyse aufsetzt.
Häufige Fragen
Für die Privatwirtschaft grundsätzlich nicht. Verpflichtungen entstehen mittelbar: Bundesbehörden müssen sich am Grundschutz orientieren, und wer als Dienstleister für Behörden arbeitet, bekommt entsprechende Anforderungen vertraglich weitergereicht. Betreiber kritischer Infrastrukturen müssen angemessene Sicherheitsmaßnahmen nachweisen – der Nachweis kann über Grundschutz erfolgen, aber auch über ein ISMS nach ISO 27001 mit branchenspezifischen Ergänzungen.
Nein. Das ISO 27001-Zertifikat auf der Basis von IT-Grundschutz stellt ausschließlich das BSI aus. Die Prüfung führt ein vom BSI zertifizierter Auditor durch, den Auditbericht bewertet das BSI selbst. Zertifizierungsstellen wie KCERT können ausschließlich die native ISO 27001 zertifizieren – bei KCERT transparent im nicht akkreditierten Bereich. Angebote privater Anbieter für ein „Grundschutz-Zertifikat“ sollten Sie kritisch hinterfragen.
Im Mittelstand fast immer die native ISO 27001. Der risikobasierte Ansatz erlaubt es, den Umfang an die tatsächliche Gefährdung anzupassen, während der Grundschutz die Abarbeitung eines umfangreichen Anforderungskatalogs verlangt. Das schlägt sich in internen Personentagen, Beratungskosten und Projektdauer nieder: ISO-Projekte dauern im KMU häufig 6 bis 12 Monate, Grundschutz-Projekte bis zur Zertifizierungsreife oft 12 bis 24 Monate.
Das kommt auf die Ausschreibung an. Viele öffentliche Auftraggeber akzeptieren ISO 27001 als Nachweis – dann ist meist ein Zertifikat einer akkreditierten Stelle gefordert, was ein nicht akkreditiertes Zertifikat ausschließt. Manche Ausschreibungen, vor allem im Bundesumfeld, verlangen ausdrücklich ein BSI-Zertifikat auf Basis von IT-Grundschutz. Prüfen Sie den Wortlaut vor Projektstart, denn die Wege sind nicht kurzfristig austauschbar.
Die Basis-Absicherung ist die Einstiegsvariante des BSI-Standards 200-2. Sie beschränkt sich auf die als Basis-Anforderungen gekennzeichneten Maßnahmen der Grundschutz-Bausteine und verzichtet auf eine Risikoanalyse. Ziel ist ein schneller, breiter Grundschutz, kein zertifizierungsreifes ISMS. Für kleine Unternehmen ist sie ein sinnvoller erster Schritt, dem später die Standard-Absicherung oder ein Umstieg auf ISO 27001 folgen kann.
Beide Wege decken die Pflichtmaßnahmen aus NIS2 ab, denn gefordert ist ein angemessenes Risikomanagement mit konkreten technischen und organisatorischen Maßnahmen – keine bestimmte Methodik. In der Praxis wählen betroffene Mittelständler überwiegend ISO 27001, weil Aufwand und Kundenanerkennung besser zusammenpassen. Eine Zertifizierung verlangt NIS2 selbst nicht; sie dient als strukturierter Nachweis gegenüber Kunden und Aufsichtsbehörden.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT