IT-Grundschutz, ISO 27001 und NIST: Mapping und Wahl des Wegs

Problem in der Praxis

In vielen Organisationen entsteht ein Wildwuchs aus Rahmenwerken. Der Vertrieb verlangt ein ISO-Zertifikat, eine US-Konzernmutter erwartet Aussagen entlang der NIST-Funktionen, eine Behörde oder ein KRITIS-Bezug ruft nach IT-Grundschutz. Die Folge sind oft parallele Projekte, getrennte Tabellen und widersprüchliche Aussagen darüber, wie reif die Informationssicherheit tatsächlich ist.

Das Kernmissverständnis: Die drei Rahmen werden als austauschbare Alternativen behandelt, obwohl sie unterschiedliche Funktionen erfüllen. ISO/IEC 27001 sagt, was ein Managementsystem leisten muss, und ist zertifizierbar. IT-Grundschutz sagt konkret, wie man dorthin kommt, und ist ISO-27001-kompatibel angelegt. Die NIST-Rahmen sind im ISO-Sinn nicht zertifizierbar, sondern outcome- und governance-orientiert. Wer das nicht trennt, führt am Ende drei Systeme, zahlt dreimal Pflege und gibt trotzdem keinem Stakeholder eine konsistente Antwort.

CISO-Einordnung

Drei Leitfragen ordnen die Rahmen ein:

• Was ist zertifizierbar? ISO/IEC 27001 ist die international zertifizierbare Norm. IT-Grundschutz wird über das BSI-Schema "ISO 27001 auf Basis von IT-Grundschutz" zertifiziert, das die ISO-Anforderungen anhand der konkreteren Grundschutz-Methodik prüft. Die NIST-Rahmen kennen keine vergleichbare Akkreditierungszertifizierung; im US-Kontext treten dafür Autorisierungsverfahren wie das Risk Management Framework oder FedRAMP an.
• Wo liegt die Umsetzungstiefe? ISO/IEC 27001 selbst ist knapp und gibt keine Umsetzungshilfe; die Tiefe liefern ISO/IEC 27002, das IT-Grundschutz-Kompendium oder NIST SP 800-53.
• Was eignet sich zur Steuerung und Kommunikation? Das NIST Cybersecurity Framework mit seinen sechs Funktionen ist als Reife- und Berichtssprache stark, gerade gegenüber Vorstand und international.

Strukturell lässt sich eine grobe Brücke ziehen: Die NIST-Funktion Govern korrespondiert in etwa mit den Managementanforderungen der ISO-Klauseln zu Kontext, Führung und Managementbewertung; die operativen NIST-Funktionen entsprechen eher Betrieb und Controls. NIST veröffentlicht zudem offizielle Mappings zwischen SP 800-53 und dem CSF, und IT-Grundschutz ist explizit ISO-27001-kompatibel konzipiert. Ein exaktes 1:1 gibt es nicht, aber belastbare Korrespondenzen.

Umsetzungsperspektive

Bewährt hat sich ein Drei-Ebenen-Schema statt eines Nebeneinanders. Gemeint sind damit drei Funktionsebenen der Rahmen-Nutzung (zertifizierbare Basis, Kontrolltiefe, Steuerungsbrille) und ausdrücklich nicht das gleichnamig klingende BSI-Schichtenmodell im IT-Grundschutz:

• Eine zertifizierbare Basis: in der Regel ISO/IEC 27001 als Dach. Wer im deutschen oder behördlichen Umfeld arbeitet, einen KRITIS-Bezug hat oder maximale Umsetzungstiefe will, wählt den Weg über IT-Grundschutz und dessen BSI-Zertifizierungsschema, das ebenfalls auf ISO/IEC 27001 einzahlt.
• Eine Kontrolltiefe als verbindliche Umsetzungsquelle: ISO/IEC 27002 als generischer Code of Practice, das konkretere IT-Grundschutz-Kompendium oder das sehr granulare NIST SP 800-53.
• Eine Steuerungs- und Reifebrille zur Kommunikation, typischerweise das CSF, um Reife und Zielbild gegenüber Führung und Partnern darzustellen.

Der praktische Hebel: ein Mapping einmal sauber erstellen und gepflegt halten (Anforderung der Basisnorm, zugeordnete Kontrolltiefe, korrespondierende NIST-Funktion, Nachweis). So bedient eine Datenbasis mehrere Stakeholder, statt jede Sicht neu zu erheben. Dieser Beitrag bleibt auf der Vergleichs- und Orientierungsebene; für die fachliche Tiefe der IT-Grundschutz-Methodik selbst verweist er auf die dedizierten Beiträge des Grundschutz-Tracks (gs-isms-001 bis gs-gspp-011).

Typische Fehler

1. Die drei Rahmen werden als konkurrierende Alternativen statt als unterschiedliche Ebenen behandelt.
2. Es werden parallele Managementsysteme aufgebaut, die getrennt gepflegt werden und auseinanderlaufen.
3. Das NIST CSF wird als zertifizierbar dargestellt, obwohl es im ISO-Sinn keine Zertifizierung kennt.
4. Aktuelle Normstände werden vermischt; die Reorganisation des ISO-27001-Anhangs in vier Themengruppen wird ignoriert.
5. Mappings entstehen als Einmal-Tabelle und veralten, weil niemand sie an Änderungen anpasst.

Risiken und Trade-offs

Ein einziger Rahmen reduziert Komplexität, kann aber Stakeholder-Anforderungen verfehlen: Wer nur ISO/IEC 27001 führt, hat ein Zertifikat, aber möglicherweise zu wenig Umsetzungstiefe; wer nur IT-Grundschutz führt, hat Tiefe und ein anerkanntes Schema, kommuniziert aber international schwerer; wer nur am NIST CSF ausrichtet, hat eine starke Steuerungssprache, aber kein Zertifikat im klassischen Sinn.

Mehrere Rahmen erhöhen Aussagekraft, kosten aber Pflegeaufwand. Der maßgebliche Trade-off ist nicht die Anzahl der Rahmen, sondern ob sie über ein gemeinsames Mapping verbunden oder als Silos betrieben werden. Ein weiteres Risiko ist Scheinpräzision: Mappings suggerieren oft eine Deckungsgleichheit, die fachlich nicht besteht, weil die Rahmen unterschiedliche Granularität und Zielsetzung haben.

Entscheidungspunkte

• Welche zertifizierbare Basis verlangt der Markt oder die Regulierung tatsächlich: native ISO/IEC 27001 oder das BSI-Schema auf Basis IT-Grundschutz?
• Welche Kontrolltiefe ist angemessen: generischer Code of Practice, konkretes IT-Grundschutz-Kompendium oder granularer US-Kontrollkatalog?
• Brauchen wir das NIST CSF als zusätzliche Steuerungs- und Berichtsbrille, oder genügt die Managementlogik der ISO-Klauseln?
• Wer pflegt das Cross-Framework-Mapping, in welcher Taktung, und woran wird es bei Normupdates angepasst?
• Wie verhindern wir, dass aus drei Sichten drei getrennte Managementsysteme werden?

Praktische Empfehlungen

1. Legen Sie genau eine zertifizierbare Basis fest und behandeln Sie alles andere als Ergänzung darauf.
2. Bestimmen Sie eine verbindliche Quelle für Kontrolltiefe und nutzen Sie die anderen Kataloge nur als Referenz.
3. Setzen Sie das NIST CSF gezielt zur Reifekommunikation ein, nicht als zweites Compliance-System.
4. Pflegen Sie ein einziges Mapping mit Nachweisbezug statt mehrerer paralleler Tabellen.
5. Prüfen Sie bei jedem Normupdate, ob Zuordnungen weiter tragen, und dokumentieren Sie bewusste Abweichungen.
6. Verifizieren Sie verbindliche Details immer am jeweiligen Originalstandard und am aktuellen Zertifizierungsschema.

Relevante Normreferenzen

• ISO/IEC 27001:2022: zertifizierbarer Managementsystem-Standard; Managementanforderungen in den Klauseln 4 bis 10, ergänzt durch den Anhang mit 93 Controls, in der Ausgabe 2022 in vier Themengruppen (organisatorisch, personenbezogen, physisch, technologisch) gegliedert; löst die Fassung 2013 ab.
• ISO/IEC 27002: Referenz für die Umsetzung der Controls (Code of Practice).
• BSI-Standards der Reihe 200-x: Referenz für die deutsche IT-Grundschutz-Methodik.
• IT-Grundschutz-Kompendium: Referenz für die Bausteine und zugleich Prüfkatalog des BSI-Schemas "ISO 27001 auf Basis von IT-Grundschutz".
• Anwenderkatalog Grundschutz++: modernisierte, OSCAL-basierte Katalog- und Strukturreferenz, vom Prüfkatalog des klassischen Schemas zu unterscheiden.
• NIST Cybersecurity Framework 2.0 (NIST.CSWP.29): Referenz für outcome-/governance-orientierte Steuerung mit sechs Funktionen.
• NIST SP 800-53 Rev. 5 nebst Baselines (SP 800-53B): Referenz für einen granularen Kontrollkatalog.