Unterschied zwischen ISO 27001 und BSI IT-Grundschutz

ISO 27001 vs. BSI IT-Grundschutz — Wann nutze ich was (und wie kombiniere ich beides)

Praxisorientierter Entscheidungs-Guide für ISO-Praktiker:innen, die über den Tellerrand schauen wollen. Kurz, klar, umsetzbar.

TL;DR – Schnellauswahl

Situation	Wahl	Warum	Erste Artefakte
Globale Kunden, gemischte Jurisdiktionen, schneller Nachweis nötig	ISO 27001	International anerkannt, schlankere Doku, flexibel	Scope, Risikomethodik, Risikoregister, SoA (Annex A), Ziele & KPIs
Deutsche Behörde/KRITIS, Vergaben erwarten BSI	IT-Grundschutz	Deutsch geprägt, preskriptive Maßnahmen, hohe Akzeptanz	Strukturanalyse, Schutzbedarf (CIA), Modellierung, GS-Check
Innovative/atypische IT-Landschaft	ISO (+ ausgewählte BSI-Bausteine)	Frei maßschneidern, risikobasiert	ISO-Risiko-Prozess + BSI-Härtung für heikle Bereiche
KMU, kleines Team, schnelle Erfolge	ISO (lean)	MV-ISMS möglich	ISO 90-Tage-Starter (unten)
Reifes ISO-ISMS, braucht mehr „Grip“	ISO + Grundschutz	ISO-Cert behalten, BSI-Tiefe dort, wo’s zählt	Asset-Mapping → BSI-Bausteine für Hochrisiken
Sie müssen ein Sicherheitsniveau nachweisen	Grundschutz	Zertifikat zeigt Absicherungsgrad	GS-Check mit Evidenzen

Entscheidungsbaum (schnell)

Deutsche Behörde/KRITIS im Scope?
→ Ja: Grundschutz oder Hybrid → Hybrid-Rezept.
→ Nein: weiter.
Brauchen Sie schnell ein international anerkanntes Zertifikat?
→ Ja: ISO zuerst → ISO 90-Tage-Starter.
→ Nein/unklar: weiter.
Überwiegt Standard-IT (Windows, AD, LAN, Office)?
→ Ja: Grundschutz passt gut.
→ Nein (Cloud-native, Data/OT/IoT-Mix): ISO-Kern + gezielte BSI-Bausteine.

Praktischer Unterschied (nur das Relevante)

ISO 27001 = Managementsystem + risikobasierte Controls (Annex A). Zertifiziert das System, nicht ein fixes Niveau.
Grundschutz = Maßnahmenkatalog (Bausteine) + Modellierung. Zertifizierung spiegelt Absicherungsgrad.

ISO für Tempo, Flexibilität, globale Anerkennung.
Grundschutz für konkrete Tiefe & deutsche Akzeptanz.

ISO 90-Tage-Starter (schlank, aber zertifizierungsfähig)

Ziel: Minimal Viable ISMS, das skaliert.
Must-haves: Scope (§4.3), Kontext & Stakeholder, Risiko-Methode & Kriterien, Risikoregister, SoA (Annex A:2022, 93 Controls), IS-Ziele+KPIs, Auditplan, Management-Review-Takt.

Zeitplan

Woche 1–3: Scope, RACI, Risikomethode; Top-20 Assets/Prozesse inventarisieren; schnelle CIA-Bewertung.
Woche 4–7: Risiko-Workshops; Controls wählen; SoA entwerfen; Behandlungsplan (Owner/Fristen).
Woche 8–10: Top-10 High-Impact-Controls umsetzen (IDM, Backup, Vuln-Mgmt, Incident-Flow, Logging).
Woche 11–12: Internes Audit (Stichprobe), KPI-Baseline, Mgmt-Review #1; Lücken schließen.

Tipp: BSI punktuell nutzen (Windows/AD, Netzwerk, Backup-Härtung), aber ISO-zentriert bleiben.

Grundschutz Fast-Track (für ISO-Leute)

Denke anders als ISO: erst Struktur → Schutzbedarf → Modellierung, dann Risiko.
Controls kommen aus Bausteinen (Basis/Standard/Hoch). GS-Check zeigt Absicherungsgrad.

Minimalpfad

Strukturanalyse: TOGs bilden (Server, Clients, Netz, Apps, Standorte).
Schutzbedarf (CIA): normal/hoch/sehr hoch; Vererbung nutzen (Prozess → App → System, Kumulation beachten).
Modellierung: Bausteine zuordnen, Abweichungen dokumentieren.
GS-Check: Lücken schließen; bei „hoch“ ergänzende Risikoanalyse.
Nachweise: Umsetzung, Zuständigkeiten, Evidenzen.

Tipp: ISO-Risikoregister weiterverwenden und Einträge auf Bausteine taggen → kein Doppelaufwand.

Hybrid-Rezept (Best of both)

ISO als Rahmen: Scope, Governance, Risiko, SoA, KPIs, Audits.
BSI für Tiefe: Bausteine nur für High-Impact-TOGs (AD/Entra ID, Server, Netz, Backup, Remote).
Ein Register: Risiken & Controls in einem Katalog; Tags ISO:A.x / BSI:<Baustein-ID>.
SoA + GS-Check: gleiche Datenbasis, zwei Sichten.
Zertifizierungspfad: zuerst ISO (Tempo), dann Grundschutz, wenn gefordert.

Wann nutze ich was — nach Szenario

ÖV/KRITIS: Grundschutz oder Hybrid (BSI-Sprache, Baustein-Evidenzen).
Internationaler Konzern/Lieferkette: ISO (Auditoren weltweit, Anerkennung).
MSP/MSSP: ISO-Baseline; BSI-Tiefe für AD, Backup, Remote-Admin.
Startups/Scaleups: ISO (lean); BSI-Checklisten für schnelle Härtung.
OT/IoT: ISO als Risiko-Motor + BSI-Bausteine für OT-Kontrollen.

Kontrollen pragmatisch auswählen

ISO-first?

SoA mit Annex A aufbauen; N/A sauber risikobasiert begründen.
Wo dünn, BSI-Maßnahmen importieren (Härtung/Checklisten).

Grundschutz-first?

Baustein-Anforderungen als Default-Controls.
Wo BSI still oder zu allgemein (z. B. spezielle SaaS-Tenants), ISO-Risiko-Kontrollen ergänzen.

Dokumentation, die Sie wirklich brauchen (ohne Ballast)

Bereich	ISO-Artefakt	BSI-Artefakt	Hybrid-Abkürzung
Scope & Kontext	Scope, Stakeholder/Issues	Geltungsbereich im Strukturmodell	Ein Scope-Doc, zwei Kurz-Summarys
Risiko	Methode, Kriterien, Register, Plan	Ergänzende Risikoanalyse (bei „hoch“)	Ein Prozess, BSI-Zusatzabschnitt
Controls	SoA (Annex A)	Baustein-Umsetzung & GS-Check	Ein Katalog mit Cross-Refs
Evidenz	KPIs, Audits, Mgmt-Review	Maßnahmennachweise, GS-Check-Protokoll	Gemeinsame Evidenz-Ablage

Häufige Stolpersteine (und Abhilfe)

Papier-ISMS (ISO) ohne echte Controls → Jedes Top-Risiko an getestete Maßnahme + Evidenz koppeln; KPIs früh.
Dokuschwemme (Grundschutz) → TOGs grob bündeln; GS-Lücken risikobasiert priorisieren; iterieren.
Zwei Welten (ISO vs. BSI) → Eine Taxonomie (Assets, Risiken, Controls) mit Tags.
SoA/GS-Check veralten → Update bei jedem Change-Fenster; Control-Owner mit Termin.

KPIs, die Wirkung belegen (beide Welten)

Patch-SLA (%), Backup-Erfolg (%), Incident-MTTR, Abschlusszeit Zugriffsreviews, Phishing-Fail-Rate, Log-Abdeckung (% kritischer Systeme), Recovery-Test-Erfolg.