ISO\/IEC 27001 ist eine internationale Norm zum Management von Informationssicherheit, die auch eine Zertifizierung erm\u00f6glicht; das ISMS legt nach dem BSI-Standard 200-1 fest, mit welchen Instrumenten und Methoden die Leitungsebene die auf Informationssicherheit ausgerichteten Aufgaben und Aktivit\u00e4ten nachvollziehbar lenkt, also plant, einsetzt, durchf\u00fchrt, \u00fcberwacht und verbessert. Ein Managementsystem umfasst alle Regelungen, die f\u00fcr die Steuerung und Lenkung einer Institution sorgen und letztlich zur Zielerreichung f\u00fchren sollen. Das ISO-27001-Zertifikat auf Basis von IT-Grundschutz belegt in besonderer Weise das Bem\u00fchen um Informationssicherheit, da Grundlage f\u00fcr die Vergabe nicht nur die Erf\u00fcllung der allgemeinen Anforderungen der Norm<\/strong> an das Sicherheitsmanagement ist, sondern auch die nachgewiesene Umsetzung der wesentlich konkreteren Anforderungen des IT-Grundschutzes.<\/p>\n
ISO\/IEC 27001 ist eine internationale Norm zum Management von Informationssicherheit, die auch eine Zertifizierung erm\u00f6glicht; ein Versicherer kann sein Informationssicherheitsmanagement danach zertifizieren lassen. Das BSI weist darauf hin, dass sich das Unternehmen oder die Beh\u00f6rde nach ISO\/IEC 27001 zertifizieren lassen kann<\/strong>, um die erfolgreiche Umsetzung von IT-Grundschutz nach au\u00dfen transparent zu machen.<\/p>\n
Wie l\u00e4uft eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ab?<\/h2>\n
Voraussetzung f\u00fcr die Vergabe eines ISO-27001-Zertifikats auf Basis von IT-Grundschutz ist nach dem BSI der Nachweis, dass ein den Anforderungen der Norm entsprechendes Informationssicherheitsmanagement eingerichtet ist und die IT-Grundschutz-Anforderungen wirksam erf\u00fcllt sind. Dieser Weg ist eine M\u00f6glichkeit der Zertifizierung. Jedes Audit setzt sich grunds\u00e4tzlich aus zwei getrennten, aufeinander aufbauenden Phasen<\/strong> zusammen; Phase 1 umfasst eine Dokumentenpr\u00fcfung der Referenzdokumente des Antragstellers. Im Rahmen des Audits werden die von der Institution erstellten Referenzdokumente gepr\u00fcft, eine Vor-Ort-Pr\u00fcfung durchgef\u00fchrt und ein Auditbericht erstellt.<\/p>\n
Ein erteiltes ISO-27001-Zertifikat auf Basis von IT-Grundschutz ist drei Jahre lang g\u00fcltig und muss in diesem Zeitraum durch ein j\u00e4hrliches \u00dcberwachungsaudit<\/strong> best\u00e4tigt werden. Die Zertifizierung gegen die Anforderungen eines Standards f\u00fchrt eine Zertifizierungsstelle durch. Das BSI h\u00e4lt fest, dass ISO\/IEC 27001 bei umfassender Umsetzung regelm\u00e4\u00dfig einen gro\u00dfen Teil der technischen und organisatorischen Ma\u00dfnahmen abdeckt, die auch nach \u00a7 30 BSIG gefordert werden; Registrierungspflichten, Meldefristen, Gesch\u00e4ftsleitungsverantwortung und Schulungspflichten sind jedoch nicht origin\u00e4rer Bestandteil der Norm.<\/p>\n
ISO 27001 im Vergleich<\/h2>\n
\n\n
\n
Kriterium<\/th>\n
ISO 27001<\/th>\n
ISMS<\/th>\n
IT-Grundschutz<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Art<\/td>\n
Internationale Norm zum Management von Informationssicherheit, die auch eine Zertifizierung erm\u00f6glicht (BSI-Standard 200-1).<\/td>\n
Das System legt fest, mit welchen Instrumenten und Methoden die Leitungsebene die auf Informationssicherheit ausgerichteten Aufgaben und Aktivit\u00e4ten lenkt.<\/td>\n
Die Methodik beschreibt Schritt f\u00fcr Schritt, wie ein Managementsystem f\u00fcr Informationssicherheit in der Praxis aufgebaut und betrieben werden kann.<\/td>\n<\/tr>\n
\n
Zertifizierung<\/td>\n
Das Unternehmen oder die Beh\u00f6rde kann sich nach ISO\/IEC 27001 zertifizieren lassen.<\/td>\n
Das ISMS ist Gegenstand der Pr\u00fcfung: Nachzuweisen ist nach dem BSI ein den Anforderungen der Norm entsprechendes Informationssicherheitsmanagement.<\/td>\n
Die Zertifizierung auf dieser Basis wird als ISO-27001-Zertifizierung auf Basis von IT-Grundschutz bezeichnet.<\/td>\n<\/tr>\n
\n
Anforderungsniveau<\/td>\n
Die Norm stellt allgemeine Anforderungen an das Sicherheitsmanagement.<\/td>\n
Das Informationssicherheitsmanagement muss den Anforderungen der Norm entsprechen, wenn ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz vergeben werden soll.<\/td>\n
Die Anforderungen sind wesentlich konkreter; ihre Umsetzung muss f\u00fcr das Zertifikat auf dieser Basis nachgewiesen werden.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Woran erkenne ich eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz?<\/h2>\n
\n\n
\n
Merkmal<\/th>\n
Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Geltungsbereich der Zertifizierung<\/td>\n
Gegenstand der Zertifizierung muss bei einer ISO-27001-Zertifizierung auf Basis von IT-Grundschutz nach dem BSI nicht die gesamte Institution sein; der betrachtete Informationsverbund kann sich auf einzelne Gesch\u00e4ftsprozesse, Fachaufgaben oder Organisationseinheiten beschr\u00e4nken, die jedoch sinnvoll abgegrenzt sein und eine gewisse Mindestgr\u00f6\u00dfe haben m\u00fcssen.<\/td>\n<\/tr>\n
\n
Nachweis eines allgemein anerkannten Ma\u00dfstabs<\/td>\n
Das BSI nennt IT-Dienstleister, die mit einem allgemein anerkannten Ma\u00dfstab die Sicherheit ihrer Dienstleistungen belegen wollen, als eine Gruppe, f\u00fcr die die Zertifizierung in Frage kommt.<\/td>\n<\/tr>\n
\n
Absicherungsstufe der Zertifizierung<\/td>\n
Eine ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz ist nach dem BSI-Standard 200-2 f\u00fcr die Standard-Absicherung vorgesehen sowie f\u00fcr die Kern-Absicherung grunds\u00e4tzlich m\u00f6glich.<\/td>\n<\/tr>\n
\n
Pr\u00fcfung durch zertifizierten Auditor<\/td>\n
Voraussetzung f\u00fcr die Vergabe eines ISO-27001-Zertifikats auf der Basis von IT-Grundschutz ist nach dem BSI eine \u00dcberpr\u00fcfung durch einen vom BSI zertifizierten ISO-27001-Grundschutz-Auditor.<\/td>\n<\/tr>\n
\n
Positives Gesamtvotum im Auditbericht<\/td>\n
Ein Zertifikat wird nach dem BSI nur erteilt, wenn der Auditbericht ein positives Gesamtvotum aufweist und durch die Zertifizierungsstelle akzeptiert wurde.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Geltungsbereich mit dem BSIG abgleichen: Nach dem BSI ist der Scope eines ISMS gem\u00e4\u00df ISO\/IEC 27001 frei definierbar, und auch beim ISO-27001-Zertifikat auf Basis von IT-Grundschutz muss Gegenstand der Zertifizierung nicht die gesamte Institution sein, der betrachtete Informationsverbund muss jedoch sinnvoll abgegrenzt sein und eine gewisse Mindestgr\u00f6\u00dfe haben. Nach dem BSI verlangt \u00a7 30 BSIG dagegen Risikomanagementma\u00dfnahmen f\u00fcr die gesamte regulierte Einrichtung, soweit sie unter das BSIG f\u00e4llt; ein Zertifikat mit engerem Geltungsbereich belegt daher f\u00fcr sich nicht, dass alle gesetzlichen Anforderungen erf\u00fcllt sind.<\/li>\n
J\u00e4hrliche \u00dcberwachungsaudits f\u00fcr die dreij\u00e4hrige Laufzeit des IT-Grundschutz-Zertifikats einplanen.<\/li>\n<\/ul>\n
KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[420,393,412],"class_list":["post-34071","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-normen-standards-iso-27001-pci-dss-eidas","glossary_intl_topic-cybersecurity","glossary_intl_topic-recht-compliance"],"acf":{"card_description":"ISO 27001: Norm mit Anforderungen an ein ISMS, nach der sich Unternehmen und Beh\u00f6rden zertifizieren lassen k\u00f6nnen.","nav_theme":"Recht & Compliance","nav_subtheme":"Normen & Standards (ISO 27001, PCI DSS, eIDAS)","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"ISO\/IEC 27001"}],"lead_definition":"ISO 27001 ist eine internationale Norm zum Management von Informationssicherheit, die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) stellt und es Unternehmen oder Beh\u00f6rden erm\u00f6glicht, sich danach zertifizieren zu lassen.","at_a_glance":[{"bullet":"Bei einer Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz muss der Gegenstand nicht die gesamte Institution sein; der Informationsverbund kann sich auf einzelne Organisationseinheiten beschr\u00e4nken, die jedoch sinnvoll abgegrenzt sein und eine gewisse Mindestgr\u00f6\u00dfe haben m\u00fcssen."},{"bullet":"Die ISO-Norm 27001 erm\u00f6glicht auch eine Zertifizierung; die Kombination mit dem IT-Grundschutz wird als ISO-27001-Zertifizierung auf Basis von IT-Grundschutz bezeichnet."},{"bullet":"Eine ISO\/IEC-27001-Zertifizierung erf\u00fcllt nicht automatisch s\u00e4mtliche gesetzlichen Anforderungen gem\u00e4\u00df BSIG."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein IT-Dienstleister l\u00e4sst sein ISMS zertifizieren, um die Sicherheit seiner Dienstleistungen mit einem allgemein anerkannten Ma\u00dfstab zu belegen."},{"example":"Eine Beh\u00f6rde beschr\u00e4nkt bei einer Zertifizierung auf Basis von IT-Grundschutz den zu zertifizierenden Informationsverbund auf sinnvoll abgegrenzte Organisationseinheiten mit einer gewissen Mindestgr\u00f6\u00dfe."},{"example":"Ein Versicherer bereitet f\u00fcr seine Kern-Absicherung eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz vor. Dieser Zertifizierungsweg ist laut BSI auch bei der Kern-Absicherung grunds\u00e4tzlich m\u00f6glich."}],"misconception":[{"myth":"Mit einer ISO\/IEC-27001-Zertifizierung sind automatisch s\u00e4mtliche gesetzlichen Anforderungen gem\u00e4\u00df BSIG erf\u00fcllt.","reality":"Nach dem BSI sind mit einer ISO\/IEC-27001-Zertifizierung nicht automatisch s\u00e4mtliche gesetzlichen Anforderungen gem\u00e4\u00df BSIG erf\u00fcllt: ISO\/IEC 27001 erlaubt Risikoakzeptanz oder -transfer, das BSIG fordert hingegen die Umsetzung angemessener, wirksamer und verh\u00e4ltnism\u00e4\u00dfiger Ma\u00dfnahmen; auch der Scope eines ISMS gem\u00e4\u00df ISO\/IEC 27001 ist frei definierbar, \u00a7 30 BSIG verlangt hingegen die Umsetzung von Risikomanagementma\u00dfnahmen f\u00fcr die gesamte regulierte Einrichtung (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG)."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34077,34063],"pillar_link":null,"sources":[{"publisher":"","name":"Lerneinheit 9.5: IT-Grundschutz-Zertifizierung","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Standards-und-Zertifizierung\/IT-Grundschutz\/Zertifizierte-Informationssicherheit\/IT-Grundschutzschulung\/Online-Kurs-IT-Grundschutz\/Lektion_9_Aufrechterhaltung\/Lektion_9_05\/Lektion_9_05_node.html","doc_type":"2022","group":"used"},{"publisher":"","name":"BSI-Standard 200.2","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/BSI_Standards\/standard_200_2.pdf?__blob=publicationFile&v=2","doc_type":"2017","group":"used"},{"publisher":"","name":"BSI-Standard 200-1","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/BSI_Standards\/standard_200_1.pdf?__blob=publicationFile&v=2","doc_type":"2017","group":"used"},{"publisher":"","name":"ISO\/IEC 27001 im Kontext NIS-2\/BSIG","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/NIS-2\/nis-2-iso-27000-onepager.pdf?__blob=publicationFile&v=5","doc_type":"2026","group":"used"},{"publisher":"","name":"ISO 27001-Zertifizierung Zertifizierungsschema","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Standards-und-Zertifizierung\/Zertifizierung-und-Anerkennung\/Zertifizierung-von-Managementsystemen\/ISO-27001-Basis-IT-Grundschutz\/Zertifizierungsschema\/schema_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Security certification practice in the EU","url":"https:\/\/www.enisa.europa.eu\/sites\/default\/files\/publications\/Security%20certification%20practice%20in%20the%20EU.%20A%20case%20study.pdf","doc_type":"2013","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-10"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t