IT-Grundschutz als ISMS: BSI-Standard 200-1 und das Verhältnis zu ISO 27001

Problem in der Praxis

Vielerorts gelten ISO 27001 und IT-Grundschutz als konkurrierende Welten: das eine "international", das andere "deutsch und behördenlastig". Diese Verkürzung führt zu falschen Grundsatzentscheidungen, etwa wenn ein Unternehmen IT-Grundschutz verwirft, weil ein Kunde "ISO 27001" verlangt.

Die Frage "ISO oder Grundschutz" trifft jedoch nicht den Kern. Die ISO-Norm beschreibt verbindlich, was ein ISMS leisten muss, lässt aber bewusst offen, wie man es aufbaut: Ihr normativer Teil ist knapp und verweist auf einen Anhang mit Controls, eine praktische Umsetzungsanleitung enthält sie nicht. Diese Lücke zwischen "Was" und "Wie" schließt der IT-Grundschutz: 200-1 setzt den Managementrahmen, die Methodik übersetzt die generischen Anforderungen in konkrete Vorgehensschritte.

CISO-Einordnung

Das Verhältnis lässt sich in drei Ebenen denken.

Management-Ebene: 200-1 formuliert allgemeine Anforderungen an ein ISMS und die Aufgaben der Leitung, von Sicherheitszielen und Strategie über die Leitlinie als sichtbares Bekenntnis bis zu Ressourcen und Risikosteuerung. Das deckt sich mit dem Managementsystem-Gedanken der ISO-Welt, inklusive eines Verbesserungszyklus nach dem Muster Planen, Umsetzen, Prüfen, Optimieren.

Begriffs-Ebene: 200-1 orientiert sich an der Terminologie der ISO/IEC 27000 und an den Grundwerten Vertraulichkeit, Integrität und Verfügbarkeit. Wer in ISO-Begriffen denkt, findet sich im Grundschutz wieder, wenn auch in eigener Aufbereitung.

Umsetzungs-Ebene, der eigentliche Mehrwert: Der IT-Grundschutz konkretisiert die generischen Anforderungen der ISO/IEC 27001 und die Control-Empfehlungen der ISO/IEC 27002 und liefert statt abstrakter Zielvorgaben eine durchgängige Methodik und ein Kompendium mit konkreten Anforderungen.

Für den Vorstand relevant: IT-Grundschutz ist zugleich zertifizierbar. Über das BSI-Schema "ISO 27001 auf der Basis von IT-Grundschutz" entsteht ein ISO/IEC-27001-konformes Zertifikat; daneben bleibt die native ISO-27001-Zertifizierung durch akkreditierte Stellen möglich. Der CISO hat also zwei Routen zum selben Ziel.

Umsetzungsperspektive

Die Wegwahl richtet sich an der angestrebten Tiefe aus. Die Methodik kennt mehrere Vorgehensweisen, von einer breiten Erst-Absicherung über den vorrangigen Schutz besonders kritischer Werte bis zur umfassenden Standard-Absicherung, die das BSI als Zielbild präferiert. So kann eine Organisation schlank einsteigen und schrittweise ausbauen, ohne den Managementrahmen zu wechseln; der 200-1 bleibt über alle Stufen die steuernde Klammer.

Für die Zertifizierungsfähigkeit gilt: Standard- oder Kern-Absicherung bilden die ISO-27001-Anforderungen ab, und die als Stand der Technik definierten Basis- und Standard-Anforderungen müssen umgesetzt sein, geprüft mit dem Kompendium als Prüfkatalog. Der Geltungsbereich entspricht dem definierten Informationsverbund; bei fokussierter Absicherung kritischer Werte ist auch ein abgegrenzter Verbund zertifizierbar.

Typische Fehler

1. ISO 27001 und IT-Grundschutz als unvereinbare Alternativen behandeln statt als denselben Managementgedanken in unterschiedlicher Konkretisierung.
2. IT-Grundschutz auf den Maßnahmenteil reduzieren und den Managementrahmen des 200-1 überspringen.
3. Eine Zertifizierung anstreben, bevor Leitlinie, Rollen und Sicherheitsprozess betrieben werden.
4. Den Geltungsbereich unklar lassen und damit die Aussagekraft eines späteren Zertifikats untergraben.
5. Die Leitungsverantwortung delegieren wollen, obwohl 200-1 sie bei der obersten Leitung verortet.

Risiken und Trade-offs

Der größte Trade-off liegt zwischen Führung und Detailtiefe. IT-Grundschutz gibt mehr methodische Führung als die ISO-Norm, verlangt aber die Bereitschaft, ihr zu folgen. Sehr eigene, agile Organisationen empfinden das mitunter als kleinteilig.

Der zweite Trade-off betrifft die Außenwirkung. Das BSI-Schema ist im deutschsprachigen Raum und im Behördenumfeld stark verankert; international wird teils das native ISO-27001-Zertifikat stärker nachgefragt. Beide bescheinigen ein konformes ISMS, doch die Markterwartung der Kunden sollte einfließen.

Drittens der Zeitbezug: Der 200-1 stammt aus 2017 und verweist auf den damaligen ISO-Stand. Die ISO/IEC 27001 wurde inzwischen überarbeitet (Ausgabe 2022); verbindliche Aussagen sind am aktuellen Normstand gegenzuprüfen.

Entscheidungspunkte

• Verlangen Kunden und Regulatoren ein bestimmtes Zertifikat, oder genügt ein nachweislich ISO-27001-konformes ISMS?
• Wollen wir die höhere methodische Führung des IT-Grundschutzes oder die schlankere, interpretationsoffene ISO-Route?
• Welche Absicherungstiefe ist angemessen, und welchen Informationsverbund wählen wir als Geltungsbereich?
• Streben wir das BSI-Schema "ISO 27001 auf Basis von IT-Grundschutz" oder eine native ISO-Zertifizierung an?

Praktische Empfehlungen

1. Treffen Sie die Grundsatzentscheidung bewusst auf Managementebene und dokumentieren Sie die Begründung.
2. Bauen Sie zuerst den 200-1-Managementrahmen auf: Leitlinie, Rollen mit dem Sicherheitsbeauftragten als Stabsstelle, Risikologik und Verbesserungszyklus.
3. Wählen Sie eine betreibbare Absicherungstiefe und planen Sie den Ausbau zur Standard-Absicherung als Pfad, nicht als Einmalprojekt.
4. Klären Sie Zertifizierungsziel und Geltungsbereich früh, weil beide Aufwand und Aussagekraft bestimmen.
5. Prüfen Sie verbindliche Anforderungen am aktuellen Originalstandard und Zertifizierungsschema, nicht an Sekundärquellen.

Relevante Normreferenzen

• BSI-Standard 200-1 (Managementsysteme für Informationssicherheit): ISMS-Managementrahmen des IT-Grundschutzes.
• BSI-Standard 200-2 (IT-Grundschutz-Methodik): konkrete Umsetzung der ISMS-Anforderungen.
• ISO/IEC 27001:2022: international zertifizierbare ISMS-Anforderungen (aktuelle Ausgabe).
• ISO/IEC 27002 und ISO/IEC 27000: Maßnahmenempfehlungen sowie Begriffe und Überblick der ISO-27000-Familie.