DIN SPEC 27076: der CyberRisikoCheck
DIN SPEC 27076 einfach erklärt: wie der CyberRisikoCheck abläuft, welche 27 Anforderungen geprüft werden und was im Ergebnisbericht steht.
Die DIN SPEC 27076 beschreibt den sogenannten CyberRisikoCheck: eine standardisierte IT-Sicherheitsberatung speziell für Klein- und Kleinstunternehmen. Ein IT-Dienstleister fragt in einem ein- bis zweistündigen Gespräch ab, wie Ihr Betrieb aufgestellt ist, und Sie erhalten danach einen Bericht mit klaren Empfehlungen.
Warum es diesen Check gibt
Bekannte Regelwerke wie der IT-Grundschutz oder ISO 27001 sind für Betriebe mit weniger als 50 Beschäftigten oft zu umfangreich. Das BSI hat deshalb gemeinsam mit Verbänden, dem DIN und weiteren Partnern einen kurzen, einheitlichen Check entwickelt.
Was geprüft wird
27 Anforderungen aus sechs Bereichen: Organisation und Sensibilisierung, Zugänge und Berechtigungen, Datensicherung, Updates, Schutz vor Schadprogrammen sowie IT-Systeme und Netzwerke. Einige Anforderungen gelten als besonders wichtig und wiegen im Ergebnis schwerer.
Was Sie davon haben
Der Bericht zeigt eine Punktzahl und zu jeder nicht erfüllten Anforderung eine Empfehlung, sortiert nach Dringlichkeit. Er nennt außerdem passende Förderprogramme. Ein Zertifikat ist der Check ausdrücklich nicht, sondern eine ehrliche Standortbestimmung.
Der nächste Schritt
Suchen Sie einen IT-Dienstleister, der für den CyberRisikoCheck geschult ist, und fragen Sie vorab nach Preis und Förderung. Setzen Sie danach zuerst die als dringend markierten Punkte um.
Entstehung und Einordnung
Die DIN SPEC 27076:2023-05 trägt den Titel «IT-Sicherheitsberatung für Klein- und Kleinstunternehmen». Erarbeitet wurde sie von einem Konsortium unter Leitung des BSI mit dem Bundesverband mittelständische Wirtschaft (BVMW), dem DIN und weiteren Partnern, finanziert im Programm «Mittelstand Digital» des Bundeswirtschaftsministeriums. Die Spezifikation ist nach Anmeldung kostenfrei bei DIN Media erhältlich.
Eine DIN SPEC ist keine Norm im engeren Sinn, sondern eine schneller erarbeitete Spezifikation. Für die Praxis heißt das: Der Ablauf ist verbindlich beschrieben, damit Ergebnisse verschiedener Dienstleister vergleichbar sind, eine Pflicht zur Anwendung besteht aber nicht.
Ablauf nach DIN SPEC 27076
Interview
Ein IT-Dienstleister führt mit der Geschäftsleitung ein strukturiertes Interview von etwa ein bis zwei Stunden. Abgefragt wird der Ist-Zustand, technische Prüfungen oder Scans sind nicht Teil des Checks. Für die Durchführung stellt das BSI IT-Dienstleistern eine kostenfreie Webanwendung bereit; das BSI bietet dazu Schulungen an.
Bewertung
Die Antworten werden nach festen Regeln der DIN SPEC bepunktet. Es gibt reguläre Anforderungen und TOP-Anforderungen. Eine erfüllte reguläre Anforderung bringt einen Punkt. TOP-Anforderungen zählen dreifach: erfüllt gibt es drei Punkte, nicht erfüllt drei Punkte Abzug. Teilweise Erfüllung wird nicht gewertet. Anforderungen, die für den Betrieb nicht relevant sind, senken die erreichbare Höchstpunktzahl.
Ergebnisbericht
Der Bericht enthält die erreichte Punktzahl, zu jeder nicht erfüllten Anforderung eine Handlungsempfehlung, gegliedert nach Dringlichkeit, und Hinweise auf staatliche Fördermöglichkeiten auf Bundes-, Landes- und kommunaler Ebene. Sind nicht alle TOP-Anforderungen erfüllt, stehen deren Empfehlungen an erster Stelle.
Die sechs Themenbereiche
- Organisation & Sensibilisierung: Verantwortlichkeiten, Regeln und die Schulung der Mitarbeitenden.
- Identitäts- und Berechtigungsmanagement: Benutzerkonten, Passwörter, Administratorrechte und deren Vergabe.
- Datensicherung: ob, wie und wohin gesichert wird und ob die Wiederherstellung funktioniert.
- Patch- und Änderungsmanagement: wie Updates für Betriebssysteme, Anwendungen und Geräte eingespielt werden.
- Schutz vor Schadprogrammen: Virenschutz und der Umgang mit E-Mail-Anhängen und Downloads.
- IT-Systeme und Netzwerke: Firewall, Netzaufbau, Fernzugänge und der Zustand der eingesetzten Systeme.
Die TOP-Anforderungen
Fünf der 27 Anforderungen sind als TOP-Anforderungen besonders gewichtet. Sie betreffen:
- die Gesamtverantwortung der Geschäftsführung für die Informationssicherheit,
- die Sensibilisierung aller Unternehmensangehörigen, damit sie verdächtige Vorkommnisse und Nachrichten wie Phishing-Mails erkennen,
- regelmäßige Datensicherungen in einem für die Branche passenden Intervall,
- das Installieren von Updates für IT-Systeme und Software,
- die standardmäßige Deaktivierung aktiver Inhalte und Makros, etwa in Tabellenkalkulationen.
Weil eine nicht erfüllte TOP-Anforderung Punkte kostet, kann ein Betrieb mit vielen erfüllten Einzelpunkten trotzdem schlecht abschneiden, wenn etwa die Datensicherung fehlt. Das ist gewollt: Die TOP-Anforderungen stehen für Lücken, die bei Angriffen besonders häufig zu großen Schäden führen.
Viele dieser Punkte finden sich auch in den Top-10-Maßnahmen des BSI gegen Ransomware wieder, etwa Updates, Backups und der Umgang mit Administratorkonten.
Was der Check leistet und was nicht
Stärken
- Kurz, standardisiert und für Nicht-Fachleute verständlich.
- Vergleichbare Ergebnisse, weil Fragen und Bewertung vorgegeben sind.
- Klare Priorisierung über die TOP-Anforderungen.
- Guter Einstieg, um Budget und Aufgaben für die nächsten Monate festzulegen.
Grenzen
- Das BSI stellt klar: Der CyberRisikoCheck ist keine Zertifizierung, sondern eine Positionsbestimmung.
- Die Ergebnisse beruhen auf Selbstauskunft im Gespräch. Ob eine Datensicherung tatsächlich wiederherstellbar ist, prüft der Check nicht technisch.
- Er ersetzt weder ein ISMS noch die Umsetzung von IT-Grundschutz oder ISO 27001.
- Für Unternehmen, die unter NIS-2 fallen, reicht der Check nach Aussage des BSI nicht, um die dortigen Pflichten zu erfüllen.
Vorbereitung für Betriebe
Damit das Gespräch belastbare Ergebnisse liefert, sollten Sie vorab wissen, welche Geräte und Cloud-Dienste im Einsatz sind, wer Administratorrechte hat, wie und wohin gesichert wird und wer sich um Updates kümmert. Bei externer IT-Betreuung sollte der Dienstleister beim Gespräch dabei sein oder die Fragen vorab beantworten.
Den passenden Dienstleister finden
Die Webanwendung des BSI ist für IT-Dienstleister kostenfrei, der Preis für die Beratung wird aber frei vereinbart. Fragen Sie vorab, ob der Dienstleister nach DIN SPEC 27076 arbeitet und dafür geschult ist, was im Preis enthalten ist (Vorbereitung, Interview, Bericht, Abschlussgespräch) und ob er auch bei der Umsetzung der Empfehlungen unterstützt. Achten Sie darauf, dass die Empfehlungen nicht automatisch auf eigene Produkte des Dienstleisters hinauslaufen.
Nach dem Check
Sinnvoll ist ein einfacher Maßnahmenplan: offene TOP-Anforderungen zuerst, dann die übrigen Empfehlungen nach Dringlichkeit. Nach der Umsetzung kann der Check wiederholt werden, um den Fortschritt sichtbar zu machen. Wer tiefer einsteigen will, findet in den WiBA-Checklisten des BSI oder in der Basis-Absicherung nach IT-Grundschutz den nächsten Schritt.
Häufige Fragen
Wer darf den CyberRisikoCheck durchführen?
IT-Dienstleister und Beratende, die nach DIN SPEC 27076 arbeiten. Das BSI bietet Schulungen und eine kostenfreie Webanwendung für die Durchführung an.
Ist der CyberRisikoCheck eine Zertifizierung?
Nein. Das BSI bezeichnet ihn ausdrücklich als Positionsbestimmung des IT-Sicherheitsniveaus. Ein Zertifikat oder Siegel ist damit nicht verbunden.
Wird der CyberRisikoCheck gefördert?
Der Bericht nennt passende Förderprogramme von Bund, Ländern und Kommunen. Ob ein Programm für den konkreten Check greift, hängt von dessen Bedingungen ab und sollte vor Beginn der Beratung geklärt werden.
Wie lange dauert der Check?
Das Interview dauert laut BSI etwa ein bis zwei Stunden. Hinzu kommen Vorbereitung und die Erstellung des Berichts durch den Dienstleister.