DIN SPEC 27076 und der CyberRisikoCheck: was die Einstiegsdiagnose leistet und was nicht

Problem in der Praxis

Kleine und Kleinstunternehmen sind in der Informationssicherheit doppelt benachteiligt. Die etablierten Werke sind für sie zu groß: Das IT-Grundschutz-Kompendium und ein ISMS nach ISO/IEC 27001 setzen Strukturen voraus, die eine Arztpraxis, eine Kanzlei oder ein Handwerksbetrieb mit fünfzehn Beschäftigten nicht hat und auch nicht braucht. Gleichzeitig fehlt ihnen der Marktzugang zu belastbarer Beratung, weil sie nicht beurteilen können, ob ein Angebot Substanz hat.

Was daraus entsteht, kennt jeder externe CISO: Der Erst-Check ist ein Produkt des jeweiligen Anbieters. Zwei Dienstleister prüfen dasselbe Unternehmen und kommen zu unvergleichbaren Ergebnissen, weil sie unterschiedliche Fragen stellen, unterschiedlich bewerten und unterschiedlich berichten. Für das Unternehmen ist damit weder erkennbar, wie gut es dasteht, noch, ob es gut beraten wurde.

Genau an dieser Stelle setzt die DIN SPEC 27076 an. Sie standardisiert nicht die Sicherheit, sondern die Beratungsleistung: gleicher Fragenrahmen, gleiche Bewertungslogik, gleiche Berichtsform. Damit wird ein Erst-Check zwischen Anbietern und über die Zeit vergleichbar, und das Unternehmen bekommt ein Ergebnis, das es einordnen kann.

CISO-Einordnung

Vier Merkmale bestimmen, wofür das Verfahren taugt.

Erstens der Zuschnitt: Die Spezifikation richtet sich an Unternehmen mit bis zu 50 Beschäftigten, typischerweise ohne eigene IT-Abteilung. Sie wurde von einem Konsortium unter Leitung des BSI erarbeitet, stellvertretend geführt vom Bundesverband mittelständische Wirtschaft (BVMW) und getragen von rund 20 Partnern, darunter das DIN selbst; finanziert wurde die Entwicklung vom Bundesministerium für Wirtschaft und Klimaschutz im Programm "Mittelstand-Digital". Veröffentlicht wurde sie im Frühjahr 2023.

Zweitens die Methode: Erhoben wird im Interview, geprüft werden 27 Anforderungen aus sechs Themenbereichen, und das Gespräch dauert ein bis zwei Stunden. Das ist eine Selbstauskunft, methodisch geführt, aber eben eine Selbstauskunft. Es gibt keine technische Prüfung, keinen Konfigurationsabgleich, keinen Test. Der Befund bildet ab, was die Befragten wissen und berichten.

Drittens das Ergebnis: Das Unternehmen erhält einen Bericht mit einer Punktzahl und zu jeder nicht erfüllten Anforderung eine Handlungsempfehlung, nach Dringlichkeit sortiert, ergänzt um Hinweise auf staatliche Fördermaßnahmen auf Bundes-, Landes- und kommunaler Ebene. Der Bericht ist damit kein Gutachten, sondern eine Arbeitsliste, und genau so gehört er gelesen.

Viertens die Durchführenden: Den Check führen IT-Dienstleister und Beratende durch, die eine Schulung des BSI besucht haben. Vorausgesetzt werden mindestens ein Jahr Erfahrung in IT-Sicherheitsberatungen oder Audits und mindestens drei Referenzprojekte mit Klein- oder Kleinstunternehmen; die Methodik des halbstrukturierten Leitfadeninterviews wird in der Schulung vermittelt. Qualifizierte Anbieter werden vom BSI gelistet und dürfen ein entsprechendes Logo führen. Die Erhebung läuft über eine Webanwendung, die das BSI den Dienstleistenden kostenfrei bereitstellt; ihre Nutzung ist freiwillig. Bis Juni 2025 hatte das BSI nach eigener Angabe 1.000 IT-Dienstleistende qualifiziert.

Für den CISO folgt daraus eine klare Verortung: Der CyberRisikoCheck ist ein Diagnose- und Marktzugangsinstrument, kein Steuerungs- und kein Nachweisinstrument. Er ersetzt weder eine Risikoanalyse noch ein Maßnahmenprogramm noch ein Managementsystem.

Umsetzungsperspektive

Drei Situationen, in denen das Verfahren einem CISO tatsächlich Arbeit abnimmt.

Als Einstiegsdiagnose im eigenen Verantwortungsbereich: Wer als externer CISO ein kleines Unternehmen übernimmt, hat mit dem Check eine standardisierte Nullmessung in wenigen Stunden statt einer wochenlangen Bestandsaufnahme. Der Wert liegt nicht in der Tiefe, sondern darin, dass die Diagnose schnell vorliegt, dass sie vergleichbar ist und dass sie das Gespräch mit der Geschäftsführung eröffnet, ohne Vorwissen zu verlangen.

Als Übergabepunkt in ein Programm: Der Bericht ist eine priorisierte Mängelliste. Damit ist er der natürliche Eingang in einen Umsetzungspfad, und genau dort setzt die CIS-Baseline an, die diesen Korpus im Track cis beschäftigt. Die Befunde werden auf Maßnahmen abgebildet, bekommen Verantwortliche, Termine und Nachweise, und aus der Diagnose wird ein Arbeitsvorrat. Ohne diesen Schritt bleibt der Check folgenlos.

Als Lieferantenfrage in regulierten Unternehmen: Wer unter NIS-2-Pflichten steht, muss Sicherheit in der Lieferkette adressieren und hat dabei kleine Zulieferer im Portfolio, denen ein ISO-27001-Zertifikat weder zumutbar noch verhältnismäßig ist. Ein CyberRisikoCheck ist hier ein angemessenes, bezahlbares und vergleichbares Mindestsignal. Aber er ist kein regulatorischer Nachweis und wird von keiner Aufsicht als solcher anerkannt; wer ihn im Lieferantenfragebogen verlangt, muss wissen, dass er eine Selbstauskunft mit standardisiertem Rahmen einkauft und nicht mehr.

Zur Kostenseite: Schulung und Webanwendung sind für Dienstleistende kostenfrei, die DIN SPEC selbst ist bei DIN Media nach Registrierung kostenfrei zu beziehen. Der Check beim Kunden ist dagegen eine Beratungsleistung, die der Anbieter in Rechnung stellt. Das BSI setzt dafür keinen Preis fest und nennt als Größenordnung einen Beratungstag; verbindlich ist das Angebot des Dienstleisters.

Bei Fördermitteln ist Vorsicht angebracht, und zwar an einem konkreten Beispiel: Die englischsprachige BSI-Seite nennt bis heute eine hälftige Förderung über "go-digital". Dieses Programm ist zum 31. Dezember 2024 ausgelaufen, neue Anträge sind nicht mehr möglich. Fördermöglichkeiten wechseln laufend, und veraltete Zusagen halten sich in Angeboten hartnäckig. Die aktuelle Lage gehört deshalb vor jedem Angebot in der Förderdatenbank des Bundes und bei der Transferstelle Cybersicherheit im Mittelstand nachgesehen, statt aus einer älteren Programmzusage zu argumentieren.

Typische Fehler

1. Der Check wird als Sicherheitsnachweis gegenüber Kunden, Versicherern oder Aufsicht ausgegeben; er ist ausdrücklich keine Zertifizierung.
2. Die Punktzahl wird zur Kennzahl erhoben und über die Zeit fortgeschrieben, obwohl sie eine Momentaufnahme einer Selbstauskunft bewertet.
3. Nach dem Check passiert nichts: Der Bericht wird abgelegt, die priorisierte Mängelliste wird nie in ein Maßnahmenprogramm überführt.
4. Das Verfahren wird auf Organisationen angewandt, für die es nicht geschnitten ist, und dann als "zu oberflächlich" verworfen, statt für Unternehmen dieser Größe das passende Instrument zu wählen.
5. Es wird ein Anbieter beauftragt, der die Bezeichnung führt, ohne die Qualifikation des BSI durchlaufen zu haben; die Vergleichbarkeit des Ergebnisses ist damit dahin.
6. Das Ergebnis wird gegen den Beratenden verwendet, der es erhoben hat, sodass beim nächsten Mal geschönt geantwortet wird und die Diagnose ihren einzigen Wert verliert.

Risiken und Trade-offs

Die Standardisierung, die das Verfahren nützlich macht, begrenzt es zugleich. Ein fester Fragenrahmen ist branchenneutral und kann branchenspezifische Risiken nicht erfassen; eine Arztpraxis und ein Fertigungsbetrieb bekommen denselben Rahmen, obwohl ihre Bedrohungslage verschieden ist. Der Rahmen ist eine Untergrenze, kein Zuschnitt.

Die Interviewform ist der zweite Trade-off. Sie ist der Grund, warum der Check in zwei Stunden machbar und für den Mittelstand überhaupt zugänglich ist, und sie ist der Grund, warum er nichts über den tatsächlichen technischen Zustand aussagt. Ein Unternehmen kann in gutem Glauben eine Maßnahme als umgesetzt melden, die technisch nicht wirkt. Wer belastbare Aussagen braucht, muss eigene Evidenzen erzeugen.

Drittens die Alterung. Die Ausgabe stammt aus dem Jahr 2023, das Bedrohungsbild und die Regulierung haben sich seither bewegt. Für eine Einstiegsdiagnose ist das verkraftbar, weil die abgefragten Grundlagen stabil sind; für eine Aussage zur Regulierungskonformität wäre es das nicht.

Viertens ein Marktrisiko, das den CISO als Auftraggeber trifft: Ein standardisiertes Beratungsprodukt mit niedriger Einstiegshürde zieht Anbieter an, die den Check als Türöffner für den Verkauf eigener Leistungen nutzen. Die Handlungsempfehlungen des Berichts sind dann nicht falsch, aber die Reihenfolge ihrer Abarbeitung kann interessengeleitet sein. Diagnose und Umsetzung in eine Hand zu geben, ist bequem und schafft genau diesen Konflikt.

Entscheidungspunkte

• Passt unsere Organisation oder unser Zulieferer in den Zuschnitt bis 50 Beschäftigte, oder ist ein anderes Instrument angemessen?
• Wozu brauchen wir das Ergebnis: als interne Standortbestimmung, als Eingang in ein Maßnahmenprogramm oder als Signal nach außen? Nur die ersten beiden Zwecke trägt das Verfahren.
• Wer führt den Check durch, ist diese Person beim BSI qualifiziert, und trennen wir Diagnose und Umsetzung bewusst?
• Was passiert am Tag nach dem Bericht: Wer übernimmt die priorisierte Mängelliste, mit welchem Budget und bis wann?
• Wenn wir den Check von Lieferanten verlangen: Ist allen Beteiligten klar, dass wir eine strukturierte Selbstauskunft und keinen Nachweis erhalten?

Praktische Empfehlungen

1. Setzen Sie den Check als Nullmessung ein und schreiben Sie das Ergebnis nicht als Kennzahl fort; wiederholen Sie ihn erst, wenn sich substanziell etwas geändert hat.
2. Planen Sie die Anschlussarbeit vor der Beauftragung. Ein Bericht ohne zugesagtes Umsetzungsbudget erzeugt nur Dokumentation.
3. Prüfen Sie die Qualifikation des Anbieters an der Liste des BSI, statt sich auf die Bezeichnung im Angebot zu verlassen.
4. Trennen Sie Diagnose und Umsetzung, wo es geht, oder machen Sie den Interessenkonflikt wenigstens explizit und begründen Sie die Reihenfolge der Maßnahmen selbst.
5. Erzeugen Sie zu den kritischen Befunden eigene technische Evidenzen, statt der Interview-Selbstauskunft zu vertrauen.
6. Verlangen Sie den Check von kleinen Lieferanten als verhältnismäßiges Mindestsignal, aber führen Sie ihn in Verträgen nicht als Sicherheitsnachweis.
7. Klären Sie die Förderlage tagesaktuell in der Förderdatenbank des Bundes; ausgelaufene Programme werden in Angeboten noch lange zitiert.

Relevante Normreferenzen

• DIN SPEC 27076:2023-05, "IT-Sicherheitsberatung für Klein- und Kleinstunternehmen" (DIN Deutsches Institut für Normung, Ausgabe Mai 2023, Verfahrensart PAS): Spezifikation des Beratungsprozesses, der als CyberRisikoCheck umgesetzt wird (Referenz; DIN-Urheberrecht, kostenfreier Bezug über DIN Media ist kein freies Nutzungsrecht).
• CIS Critical Security Controls v8.1 (Center for Internet Security, 2024): priorisierter Maßnahmenkatalog für den Umsetzungspfad nach der Diagnose (Referenz, Lizenz CC BY-NC-ND 4.0).
• ISO/IEC 27001: zertifizierbares Managementsystem als Zielbild für Steuerung und Nachweis; vom CyberRisikoCheck klar zu unterscheiden (Referenz).
• BSI IT-Grundschutz: umfassendere Methodik für Organisationen, die den Zuschnitt der DIN SPEC überschreiten (Referenz).
• Richtlinie (EU) 2022/2555 (NIS-2): Kontext der Lieferkettenanforderungen, in dem der Check als Mindestsignal diskutiert wird, ohne selbst ein regulatorischer Nachweis zu sein (Referenz).