BSI Zertifizierungsbegleitung & Audit-Support: Erfolgreich zum Zertifikat

Die BSI Zertifizierung nach IT-Grundschutz folgt einem mehrstufigen Prozess. Zunächst wird der Informationsverbund definiert und der Schutzbedarf festgestellt. Darauf folgt die Modellierung nach dem IT-Grundschutz-Kompendium, die Umsetzung der Bausteine und die Erstellung der Referenzdokumente. Im Anschluss prüft ein vom BSI zertifizierter Auditor die Dokumentation und führt eine Vor-Ort-Prüfung durch. Bei positivem Ergebnis erteilt das BSI das Zertifikat. Der gesamte Zyklus umfasst drei Jahre mit jährlichen Überwachungsaudits.

Die Kosten einer BSI Zertifizierung variieren je nach Größe des Informationsverbunds, Reifegrad des bestehenden ISMS und Branche. Typische Projekte liegen zwischen 50.000 und 200.000 Euro für Beratung und Audit-Gebühren. Die Dauer beträgt in der Regel 9 bis 18 Monate – abhängig davon, wie weit die vorhandene Dokumentation und die technischen Maßnahmen bereits den Anforderungen des IT-Grundschutz-Kompendiums entsprechen.

Die ISO 27001 auf Basis von IT-Grundschutz kombiniert die internationale ISO‑27001-Norm mit der detaillierten Methodik des BSI IT-Grundschutz-Kompendiums. Während die reine ISO 27001 den Organisationen bei der Risikoanalyse und Maßnahmenauswahl großen Spielraum lässt, gibt der IT-Grundschutz konkrete Bausteine und Anforderungen vor. Das Ergebnis ist ein höheres Standardisierungsniveau und eine bessere Vergleichbarkeit – besonders relevant für öffentliche Auftraggeber und KRITIS-Betreiber.

Für ein erfolgreiches BSI Audit müssen mehrere Voraussetzungen erfüllt sein: ein dokumentiertes ISMS mit Leitlinie und Richtlinien, eine vollständige Strukturanalyse und Schutzbedarfsfeststellung, die Modellierung nach dem IT-Grundschutz-Kompendium, Nachweise über umgesetzte technische und organisatorische Maßnahmen sowie eine durchgeführte Risikoanalyse für erhöhten Schutzbedarf. Außerdem müssen interne Audits und ein Management-Review vorliegen.

Eine BSI Zertifizierung ist besonders relevant für Betreiber kritischer Infrastrukturen (KRITIS), Bundesbehörden und deren Dienstleister, Unternehmen in regulierten Branchen wie Finanzwesen oder Gesundheitswesen sowie Organisationen, die an öffentlichen Ausschreibungen teilnehmen. Auch Unternehmen, die NIS2-Anforderungen erfüllen müssen, profitieren von der BSI Zertifizierung als Nachweis ihrer Informationssicherheit.

Unsere Vorbereitung beginnt mit einem Pre-Audit Assessment: Wir prüfen den Ist-Zustand Ihres ISMS gegen die Anforderungen des IT-Grundschutz-Kompendiums und identifizieren Lücken. Darauf folgt eine priorisierte Maßnahmenplanung, die Erstellung fehlender Referenzdokumente und die Durchführung eines internen Probeaudits. Während des eigentlichen Audits begleiten wir Ihre Teams bei Interviews und Dokumentenprüfungen. Nach dem Audit unterstützen wir bei der Nachbearbeitung etwaiger Abweichungen.

Nach der Erstzertifizierung folgen jährliche Überwachungsaudits, bei denen der Auditor die fortlaufende Wirksamkeit des ISMS prüft. Nach drei Jahren steht die Rezertifizierung an. Dazwischen müssen Änderungen am Informationsverbund dokumentiert, interne Audits durchgeführt und das IT-Grundschutz-Kompendium bei Aktualisierungen angepasst werden. ADVISORI unterstützt Sie kontinuierlich bei der Aufrechterhaltung und Weiterentwicklung Ihres ISMS.