ISO 27001 · EVERGREEN
Beide versprechen systematische Informationssicherheit, beide führen
zu einem anerkannten Zertifikat – und doch trennen ISO 27001 und BSI
IT-Grundschutz Philosophie und Zielgruppe. Wer vor der Wahl steht,
sollte weniger auf Geschmack schauen als auf zwei Fragen: Wer verlangt
den Nachweis, und wie viel Methodenfreiheit verträgt Ihre
Organisation?
Kurzantwort
ISO 27001 ist die internationale, risikobasierte Norm: Sie gibt vor,
dass Risiken systematisch behandelt werden, lässt aber Freiheit
im Wie. Der BSI IT-Grundschutz ist die deutsche,
maßnahmenbasierte Methodik: Umfangreiche Bausteine mit konkreten
Anforderungen nehmen viel Interpretationsarbeit ab, machen das Vorgehen
aber deutlich umfangreicher und formaler. International tätige
Unternehmen und Zulieferer wählen fast immer ISO 27001 (auch als Brücke
zu TISAX); der Grundschutz spielt seine Stärke im Behörden- und
behördennahen Umfeld aus, wo er teils explizit gefordert ist. Ein
Kompromiss existiert: die ISO-27001-Zertifizierung auf Basis von
IT-Grundschutz durch das BSI.
Die Unterschiede, die im
Alltag zählen
Philosophie: ISO sagt “analysiere deine Risiken und
begründe deine Maßnahmen” – schlank, flexibel, aber anspruchsvoll in der
Methodik. Grundschutz sagt “hier sind die Anforderungen je Baustein,
setze um” – konkret und anleitend, dafür voluminös und
pflegeintensiv.
Aufwand & Passung: Für ein
80-Personen-Unternehmen ist ein fokussiertes ISO-ISMS meist schneller
erreichbar; die Grundschutz-Methodik entfaltet ihren Wert in
Organisationen, die klare Vorgaben brauchen oder müssen.
Anerkennung: ISO 27001 ist die Weltsprache – in
internationalen Ausschreibungen, Konzernlieferketten und als
TISAX-Fundament. Der Grundschutz genießt hohes Ansehen im deutschen
öffentlichen Sektor; außerhalb Deutschlands muss man ihn erklären.
Zertifikat: Klassische ISO-Zertifizierung über
akkreditierte Stellen vs. BSI-Zertifizierung nach “ISO 27001 auf Basis
IT-Grundschutz” – letztere kombiniert die Norm mit der BSI-Methodik und
ist der Standardweg, wenn Auftraggeber beides sehen wollen.
Entscheidungshilfe in drei
Fragen
- Wer fordert den Nachweis?
Automotive/Industrie/international → ISO. Bund, Länder, KRITIS-nahes
Behördenumfeld → Grundschutz(-basierte) Zertifizierung prüfen. - Wie reif ist Ihre Sicherheitsorganisation? Wenig
Methodenerfahrung, aber Disziplin für Vorgaben → Grundschutz gibt Halt.
Pragmatische, schlanke Strukturen → ISO lässt atmen. - Was kommt danach? TISAX geplant? Dann ISO – der
ISA-Katalog ist daraus abgeleitet, wie unser Vergleich
TISAX vs. ISO zeigt.
Häufige Fragen (FAQ)
Ist der Grundschutz “gründlicher” als ISO? Er ist
detaillierter im Vorgeben – nicht automatisch wirksamer im Ergebnis. Ein
gelebtes ISO-ISMS mit ehrlicher Risikoanalyse schützt nicht schlechter
als abgearbeitete Bausteine.
Können wir Grundschutz-Bausteine im ISO-ISMS nutzen?
Ja, und das ist gängige Praxis: die Bausteine als Maßnahmen-Steinbruch,
die ISO als Rahmen – Best of both ohne Doppelzertifizierung.
Was kostet der jeweilige Weg? Die Kostenblöcke
ähneln sich (interne Zeit dominiert); der Grundschutz-Weg ist wegen
Umfang und Dokumentationstiefe tendenziell aufwendiger. Zahlen zur ISO
im Beitrag Was kostet
ISO 27001 wirklich?
Fazit
ISO 27001 und IT-Grundschutz sind zwei Wege zum selben Ziel – der
eine risikobasiert und international, der andere maßnahmenbasiert und
behördennah. Für Mittelstand mit Kunden in Industrie und Automotive ist
ISO fast immer die richtige Wahl, gern mit Grundschutz-Bausteinen als
Werkzeugkasten; wer für die öffentliche Hand arbeitet, prüft die
BSI-Variante. Bei der Weichenstellung – und dem Aufbau danach –
unterstützen wir herstellerneutral: Erstgespräch
vereinbaren.
Nachweis gefordert, Weg unklar? UBESAFE ordnet Anforderung,
Aufwand und Zeitplan in einem Termin – ehrlich und ohne Umwege.