ISO-27001-Zertifizierung auf Basis von IT-Grundschutz

Was zertifiziert wird

Die ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz bestätigt zweierlei: dass ein ISMS die Anforderungen von ISO/IEC 27001 erfüllt und dass die Sicherheitsanforderungen nach der IT-Grundschutz-Methodik umgesetzt sind. Zertifiziert wird ein abgegrenzter Informationsverbund, nicht zwingend die gesamte Institution. Zertifizierungsstelle ist das BSI selbst; erteilte Zertifikate veröffentlicht es in einer Liste.

Voraussetzungen

Vorgehensweise

Ein Zertifikat ist laut BSI sowohl mit der Standard-Absicherung als auch mit der Kern-Absicherung möglich. Für die Basis-Absicherung stellt das BSI kein Zertifikat, sondern ein Testat aus, das nur BSI-zertifizierte Auditoren vergeben dürfen.

Anforderungen

Nach dem IT-Grundschutz-Kompendium müssen für den ausgewählten Geltungsbereich die Basis- und Standard-Anforderungen erfüllt sein. Da Basis-Anforderungen mit MUSS uneingeschränkt gelten, ist eine Zertifizierung nur möglich, wenn alle diese Teilanforderungen erfüllt sind. Für Zielobjekte mit erhöhtem Schutzbedarf muss eine Risikoanalyse nach BSI-Standard 200-3 vorliegen, deren Ergebnisse umgesetzt sind.

Referenzdokumente

Die Institution stellt die Dokumentation des Sicherheitsprozesses bereit, typischerweise:

• Sicherheitsleitlinie und Beschreibung der Sicherheitsorganisation,
• Definition und Abgrenzung des Informationsverbunds,
• Strukturanalyse und Schutzbedarfsfeststellung,
• Modellierung,
• Ergebnisse des IT-Grundschutz-Checks,
• Risikoanalyse und Realisierungsplan,
• Nachweise zu internen Audits und Managementbewertungen.

Welche Dokumente im Detail gefordert sind, regeln das Zertifizierungsschema und das Auditierungsschema des BSI in der jeweils gültigen Fassung.

Ablauf

Nach Angaben des BSI läuft das Verfahren so:

1. Antrag: Die Institution beantragt die Zertifizierung beim BSI und beauftragt einen vom BSI zertifizierten Auditor für ISO 27001 auf der Basis von IT-Grundschutz.
2. Dokumentenprüfung: Der Auditor sichtet die Referenzdokumente.
3. Vor-Ort-Prüfung: Der Auditor prüft die Umsetzung vor Ort, etwa durch Interviews, Begehungen und Stichproben.
4. Auditbericht: Der Auditor dokumentiert die Ergebnisse.
5. Prüfung durch das BSI: Die Zertifizierungsstelle bewertet den Bericht.
6. Entscheidung: Das BSI erstellt den Zertifizierungsreport und die Urkunde.

Das Zertifikat ist befristet und wird durch regelmäßige Überwachungsaudits begleitet. Laufzeit, Turnus und Rezertifizierung regelt das Zertifizierungsschema des BSI; Interessierte sollten die aktuelle Fassung dort nachlesen.

Abgrenzung zur «reinen» ISO-27001-Zertifizierung

Eine ISO-27001-Zertifizierung können auch akkreditierte private Zertifizierungsstellen ausstellen. Dort wird geprüft, ob das ISMS die Norm erfüllt; welche Maßnahmen gewählt werden, leitet die Institution aus ihrer eigenen Risikobeurteilung und Anhang A ab. Bei der Variante auf Basis von IT-Grundschutz ist der Maßnahmenumfang durch die Bausteine konkret vorgegeben, und das BSI ist Zertifizierungsstelle. Das schafft Vergleichbarkeit, bedeutet aber in der Regel mehr Dokumentationsaufwand. Das BSI veröffentlicht eine Zuordnungstabelle zwischen ISO 27001 und IT-Grundschutz.

Testat nach Basis-Absicherung

Das Testat bestätigt laut BSI, dass eine Institution alle Geschäftsprozesse, Daten und Komponenten ihres Informationsverbunds mit einem Mindestmaß an Informationssicherheit abgesichert hat, unter Berücksichtigung technischer, infrastruktureller, organisatorischer und personeller Aspekte. Das BSI beschreibt es als schlanken Einstieg, besonders für KMU und kleinere Kommunen, und als möglichen Zwischenschritt zu einem späteren Zertifizierungsverfahren. Wie das Testat im Übergang zum Grundschutz++ behandelt wird, sollte beim BSI erfragt werden.

Für wen sich das lohnt

Das BSI nennt als Zielgruppen unter anderem Bundes- und Landesbehörden, Kommunen, IT-Dienstleister, Cloud- und Rechenzentrumsanbieter, KRITIS-Betreiber, Konzerne und mittelständische Unternehmen. Für kleine Betriebe lohnt sich die Zertifizierung vor allem, wenn ein Auftraggeber sie ausdrücklich verlangt. Ohne diesen Anlass ist der Aufwand oft besser in die Umsetzung investiert; ein strukturierter Nachweis kann dann auch über eine dokumentierte Basis-Absicherung, einen CyberRisikoCheck oder interne Audits erfolgen.

Personen im Verfahren

• Auditteamleiter und Auditoren für ISO 27001 auf Basis von IT-Grundschutz werden vom BSI zertifiziert; das BSI führt eine Liste.
• IT-Grundschutz-Berater begleiten Institutionen beim Aufbau, dürfen aber dieselbe Institution nicht zugleich auditieren. Unabhängigkeit zwischen Beratung und Audit ist ein Grundsatz jeder Zertifizierung.

Übergang zum Grundschutz++

Das BSI hat einen Meilensteinplan veröffentlicht (Stand Oktober 2026). Danach gilt:

• Ab dem 1. Januar 2027 ist der Grundschutz++ zertifizierbar; Anträge auf ISO-27001-Zertifizierung auf Basis von GS++ können gestellt werden.
• Ab dem 1. Quartal 2027 startet eine Early-Adopter-Phase, die bis Ende 2027 läuft, sowie die Ausbildung zum GS++-Berater und GS++-Auditteamleiter für bereits zertifizierte Personen.
• Die Zertifizierbarkeit des bisherigen IT-Grundschutzes endet am 30. November 2031.

Für laufende Verfahren heißt das: Ein Zertifikat nach dem bisherigen IT-Grundschutz bleibt noch über Jahre möglich. Wer neu startet, sollte mit dem Auditor früh klären, nach welchem Modell zertifiziert werden soll, und die Detailregelungen des BSI zum Übergang verfolgen.

Vorbereitung in der Praxis

• Geltungsbereich klein und klar abgrenzen.
• Vor dem Audit einen vollständigen IT-Grundschutz-Check durchführen und offene Basis-Anforderungen schließen.
• Ein internes Audit oder eine Voraudit-Begleitung einplanen.
• Begründungen für entbehrliche Anforderungen sauber dokumentieren.
• Ressourcen für die Überwachungsaudits nach der Erstzertifizierung einplanen.
• Die Leitung frühzeitig einbinden: Managementbewertung, Leitlinie und Restrisikoentscheidungen werden im Audit gezielt geprüft.