ISO 27001 oder IT-Grundschutz?
ISO 27001 vs IT-Grundschutz: Unterschiede bei Vorgehen, Aufwand, Anerkennung und Zertifizierung, und welcher Weg für kleine und mittlere Betriebe passt.
Wer ISO 27001 vs IT-Grundschutz abwägt, vergleicht zwei Wege zum selben Ziel: einem geordneten Managementsystem für Informationssicherheit. Die internationale Norm ISO 27001 sagt, was ein solches System leisten muss, und lässt die Maßnahmen weitgehend offen. Der IT-Grundschutz des BSI beschreibt zusätzlich sehr konkret, wie typische Systeme abgesichert werden.
Die wichtigsten Unterschiede
ISO 27001 ist weltweit bekannt und bei internationalen Kunden oft gefragt. Sie ist schlank formuliert, verlangt aber eine eigene Risikobewertung für alle Maßnahmen. Der IT-Grundschutz ist umfangreicher, nimmt Ihnen dafür viel Denkarbeit ab, weil für Standardfälle schon festgelegt ist, was zu tun ist. Er ist kostenlos verfügbar und in Deutschland bei Behörden und öffentlichen Auftraggebern gut bekannt.
Beides geht auch zusammen
Die beiden Wege schließen sich nicht aus. Mit der ISO-27001-Zertifizierung auf Basis von IT-Grundschutz erhalten Sie ein Zertifikat des BSI, das beide Anforderungen bestätigt. Viele Unternehmen nutzen außerdem die Bausteine des IT-Grundschutzes als Ideengeber, auch wenn sie nach der Norm zertifiziert werden.
Der nächste Schritt
Fragen Sie sich, wer den Nachweis sehen will: internationale Kunden, öffentliche Auftraggeber oder nur Sie selbst. Für einen kleinen Betrieb ohne Zertifikatswunsch ist die Basis-Absicherung nach IT-Grundschutz meist der pragmatischste Einstieg.
Zwei Ansätze im Überblick: ISO 27001 vs IT-Grundschutz
| Merkmal | ISO/IEC 27001 | IT-Grundschutz |
|---|---|---|
| Herausgeber | ISO und IEC (international) | BSI (Deutschland) |
| Kern | Anforderungen an ein ISMS, 93 Controls in Anhang A | BSI-Standards 200-1 bis 200-4 und IT-Grundschutz-Kompendium mit Bausteinen |
| Vorgehen | eigene Risikobeurteilung für alle Bereiche | vorgegebene Anforderungen für normalen Schutzbedarf, Risikoanalyse nur bei erhöhtem Schutzbedarf oder fehlenden Bausteinen |
| Detailtiefe | allgemein formuliert, Umsetzung offen | konkrete Anforderungen je Baustein (MUSS/SOLLTE) |
| Kosten der Dokumente | Norm kostenpflichtig | kostenlos |
| Zertifizierung | akkreditierte Zertifizierungsstellen | BSI nach Audit durch vom BSI zertifizierte Auditoren |
| Bekanntheit | weltweit | vor allem in Deutschland, besonders im öffentlichen Bereich |
Der methodische Unterschied
ISO 27001: risikobasiert von Anfang an
Die Norm verlangt, dass das Unternehmen eine Methode zur Risikobeurteilung festlegt und auf dieser Grundlage Maßnahmen auswählt. Anhang A dient als Abgleich. Das ist flexibel und passt sich gut an besondere Geschäftsmodelle an, setzt aber Erfahrung in der Risikobewertung voraus. Die Qualität des ISMS hängt stark davon ab, wie gründlich diese Bewertung erfolgt.
IT-Grundschutz: Standardmaßnahmen plus Risikoanalyse
Der IT-Grundschutz geht davon aus, dass typische Zielobjekte wie Server, Clients, Netze oder Anwendungen typischen Gefährdungen ausgesetzt sind. Für diese Fälle beschreibt das Kompendium Anforderungen, die bei normalem Schutzbedarf als angemessen gelten. Die Methodik nach BSI-Standard 200-2 umfasst Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check und Umsetzungsplanung. Eine Risikoanalyse nach BSI-Standard 200-3 ist für Zielobjekte mit erhöhtem Schutzbedarf oder ohne passenden Baustein nötig.
Absicherungsvarianten und Nachweise
Der IT-Grundschutz kennt drei Vorgehensweisen: Basis-, Kern- und Standard-Absicherung. Für die Standard- und die Kern-Absicherung ist eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz möglich, die das BSI erteilt. Für die Basis-Absicherung gibt es ein Testat, das vom BSI zertifizierte Auditoren ausstellen. Damit bietet der IT-Grundschutz einen gestuften Weg, den ISO 27001 in dieser Form nicht kennt.
Aufwand im Vergleich
Pauschal ist keiner der beiden Wege günstiger. Bei ISO 27001 liegt der Aufwand vor allem in der Risikobeurteilung und im Aufbau eigener Richtlinien. Beim IT-Grundschutz liegt er im Umfang des Kompendiums: Für jeden modellierten Baustein sind die Anforderungen zu prüfen und zu dokumentieren, was bei vielen Zielobjekten schnell umfangreich wird. Dafür sind die Anforderungen konkret, und die Gefahr, Wesentliches zu übersehen, ist geringer.
Für kleine Organisationen bietet das BSI mit der Basis-Absicherung und dem Leitfaden WiBA einen deutlich schlankeren Einstieg. Ein ähnlich offizielles Einstiegsprogramm gibt es zur ISO 27001 nicht.
Weiterentwicklung beider Wege
Beide Ansätze entwickeln sich weiter. Die ISO 27001 wurde 2022 grundlegend überarbeitet, Zertifikate nach der alten Fassung sind seit November 2025 nicht mehr gültig. Auch das BSI modernisiert den IT-Grundschutz fortlaufend und veröffentlicht Entwürfe und neue Hilfsmittel auf seiner Website. Prüfen Sie vor dem Start eines größeren Projekts, welche Fassung des Kompendiums bzw. der Norm aktuell maßgeblich ist, damit Sie nicht nach einem auslaufenden Stand arbeiten.
Anerkennung bei Kunden und Behörden
- Internationale Kunden und Konzerne fragen meist nach ISO 27001. Das Zertifikat auf Basis von IT-Grundschutz ist ebenfalls ein ISO-27001-Zertifikat, im Ausland aber weniger bekannt.
- Öffentliche Auftraggeber in Deutschland kennen den IT-Grundschutz gut; manche Ausschreibungen nennen ihn ausdrücklich.
- NIS-2: Das BSIG schreibt keinen der beiden Wege vor. Laut BSI können Zertifizierungen nach ISO 27001 oder IT-Grundschutz als Nachweis dienen, ersetzen aber nicht die gesetzlichen Anforderungen.
- Automobilindustrie: Hier ist TISAX der übliche Nachweis, dessen Prüfkatalog sich an ISO 27001 orientiert.
Entscheidungshilfe
ISO 27001 passt eher, wenn
- Kunden ausdrücklich ein ISO-27001-Zertifikat verlangen,
- das Unternehmen international tätig ist,
- das Geschäftsmodell stark vom Standardfall abweicht und eine eigene Risikobewertung ohnehin nötig ist.
IT-Grundschutz passt eher, wenn
- konkrete Umsetzungshinweise gewünscht sind,
- öffentliche Auftraggeber eine Rolle spielen,
- ein gestufter Einstieg über Basis-Absicherung oder WiBA sinnvoll ist,
- wenig Erfahrung mit Risikobewertung vorhanden ist.
Kombination: Viele Unternehmen zertifizieren nach ISO 27001 und nutzen die Bausteine des IT-Grundschutzes als Umsetzungshilfe. Oder sie wählen direkt die Zertifizierung auf Basis von IT-Grundschutz, die beides abdeckt.
Typische Fehlentscheidungen
- Ein Zertifikat wird angestrebt, obwohl niemand es verlangt und die Ressourcen für den dauerhaften Betrieb fehlen. Dann ist eine dokumentierte Basis-Absicherung oft der bessere erste Schritt.
- Der IT-Grundschutz wird vollständig modelliert, obwohl nur ein Teil der Organisation den Aufwand rechtfertigt. Die Kern-Absicherung konzentriert sich auf die wichtigsten Prozesse.
- Bei ISO 27001 wird die Risikobeurteilung oberflächlich erledigt, weil Anhang A wie eine Checkliste wirkt. Damit fehlt dem ISMS die Grundlage.
Häufige Fragen
Was ist besser, ISO 27001 oder IT-Grundschutz?
Keiner der beiden ist grundsätzlich besser. ISO 27001 ist international bekannter und flexibler, der IT-Grundschutz konkreter und mit einem gestuften Einstieg für kleine Organisationen. Entscheidend ist, wer den Nachweis verlangt.
Ist ein Zertifikat auf Basis von IT-Grundschutz ein ISO-27001-Zertifikat?
Ja. Das BSI bestätigt damit die Anforderungen der ISO 27001 und zusätzlich die konkreten Anforderungen des IT-Grundschutzes.
Kann ich mit IT-Grundschutz beginnen und später nach ISO 27001 zertifizieren?
Ja. Die Ergebnisse aus Strukturanalyse, Schutzbedarfsfeststellung und Bausteinen lassen sich für ein ISO-27001-ISMS weiterverwenden, weil BSI-Standard 200-1 mit der Norm kompatibel ist.