Zwei Wege zum selben Zertifikat
Ein wenig bekannter Punkt zuerst: Beide Wege enden in einem echten, international gültigen ISO/IEC 27001-Zertifikat. Der Unterschied liegt nicht im Ziel, sondern im Weg dorthin. Nativ nach ISO 27001 zertifizierte Unternehmen wählen ihre Methodik frei, solange sie die Normanforderungen erfüllen. Auf dem IT-Grundschutz-Weg folgen sie stattdessen der konkreten BSI-Methodik: den BSI-Standards 200-1 bis 200-3 in Verbindung mit dem IT-Grundschutz-Kompendium, das für typische Einsatzszenarien bereits fertige Bausteine mit konkreten Massnahmen bereitstellt. Wer im Ausschreibungstext oder im Vertrag lediglich „ISO 27001“ liest, sollte deshalb genau nachfragen, ob damit die native Variante oder die Grundschutz-Variante gemeint ist, denn beide Begriffe werden in der Praxis oft ungenau verwendet.
Risikobasiert von oben oder massnahmenorientiert von unten
ISO 27001 verfolgt einen risikobasierten Top-down-Ansatz: Ein Unternehmen bewertet seine Risiken selbst und leitet daraus passende Massnahmen ab. IT-Grundschutz verfolgt einen massnahmenorientierten Bottom-up-Ansatz: Das BSI stellt einen konkreten, standardisierten Massnahmenkatalog bereit, der für typische Komponenten und Prozesse bereits definiert ist. Für Unternehmen ohne eigene, erfahrene Risikomanagement-Funktion kann der vorstrukturierte Grundschutz-Katalog den Einstieg erleichtern, weil weniger eigene methodische Vorarbeit nötig ist. Wer bereits ein eingespieltes Risikomanagement betreibt, profitiert oft mehr von der Flexibilität des nativen Wegs, weil er Massnahmen gezielt auf die eigene Risikolage zuschneiden kann, statt einen vorgegebenen Katalog vollständig durchzuarbeiten.
Wer das Zertifikat ausstellt, ist der grösste formale Unterschied
Bei nativer ISO 27001 prüft und zertifiziert eine unabhängige, von der Deutschen Akkreditierungsstelle (DAkkS) oder einer vergleichbaren Stelle akkreditierte Zertifizierungsstelle, etwa TÜV, DEKRA oder DQS. Bei ISO 27001 auf Basis von IT-Grundschutz führt zunächst ein vom BSI zertifizierter Auditor die Prüfung durch, inklusive Dokumentenprüfung und Vor-Ort-Inspektion, und erstellt einen Auditbericht. Diesen Bericht reicht der Auditor beim BSI ein, und das BSI selbst entscheidet über die Ausstellung des Zertifikats. Das BSI ist damit nicht nur Methodikgeber, sondern auch Zertifizierungsstelle in einem, was in der internationalen Praxis eine Besonderheit ist, weil Norm und Zertifizierungsstelle sonst meist strikt getrennte Rollen sind.
Drei Absicherungsstufen beim Grundschutz-Weg
Der IT-Grundschutz-Weg kennt drei Absicherungsniveaus mit unterschiedlicher Prüftiefe: die Basis-Absicherung als Einstieg, für die das BSI statt eines vollen Zertifikats eine Testat-Bestätigung ausstellt, die Kern-Absicherung für besonders schützenswerte Teilbereiche, und die Standard-Absicherung als vollwertiges Sicherheitsniveau, das zum ISO-27001-Zertifikat auf Basis von IT-Grundschutz führt. Native ISO 27001 kennt diese Stufung nicht, sondern definiert den Geltungsbereich (Scope) direkt im Statement of Applicability. Für ein Unternehmen, das erst prüfen möchte, wie ausgereift seine Sicherheitsorganisation überhaupt ist, kann die Basis-Absicherung ein risikoarmer erster Schritt sein, bevor eine vollwertige Zertifizierung überhaupt zur Debatte steht.
Wie IT am Main unterstützt
ITM baut ISMS nativ nach ISO 27001 und ist selbst seit Januar 2025 so zertifiziert. Für Kunden mit Bezug zu deutschen Behörden oder öffentlichen Ausschreibungen prüfen wir, ob der Grundschutz-Weg sinnvoller ist, und wählen die Methodik nach dem tatsächlichen Bedarf, nicht nach Schema. Diese Entscheidung treffen wir am Anfang eines Projekts bewusst gemeinsam mit Ihnen, weil ein späterer Wechsel der Methodik zusätzlichen Aufwand bedeutet. Wo bereits Vorarbeiten nach einer der beiden Methoden bestehen, bauen wir darauf auf, statt sie zu verwerfen, damit vorhandene Dokumentation nicht verloren geht. Details zum Fundament finden Sie unter ISO 27001.
Quellen
- IT-Grundschutz: Methode, Anleitung und Hilfe zur Selbsthilfe, Bundesamt für Sicherheit in der Informationstechnik (BSI), 2026
- ISO 27001-Zertifizierung auf Basis von IT-Grundschutz, BSI, 2026