Der Betrieb und die Entwicklung von LamaPoll sind durch die Zertifizierungsstelle der TÜV SÜD Management Service GmbH nach ISO/IEC 27001:2022 zertifiziert. Eine Zertifizierung nach „ISO 27001 auf der Basis von IT-Grundschutz“ liegt für LamaPoll nicht vor. Unsere Infrastruktur und damit auch Ihre Daten werden parallel und redundant über Rechenzentren mehrerer deutscher Anbieter betrieben. Die eingesetzten Rechenzentren verfügen über ISO/IEC-27001-Zertifizierungen; einzelne Anbieter sind zusätzlich auf Basis des BSI IT-Grundschutzes zertifiziert. ISO 27001 legt Anforderungen an die Einführung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS (Informationssicherheits-Managementsystems) fest und verfolgt dabei einen risikobasierten Ansatz. Der BSI IT-Grundschutz verbindet die BSI-Standards der Reihe 200-x mit dem IT-Grundschutz-Kompendium und arbeitet mit einer strukturierten Methodik aus Bausteinen und konkreten Anforderungen. Er ist mit ISO 27001 kompatibel; das BSI bietet hierfür das Zertifizierungsschema „ISO 27001 auf der Basis von IT-Grundschutz“ an. Im Folgenden zeigen wir die wichtigsten Gemeinsamkeiten und Unterschiede und erläutern, was beide Ansätze für den Schutz Ihrer Daten bedeuten.
Inhaltsverzeichnis
a. Vergleich BSI IT-Grundschutz und ISO 27001: Maßnahmen und Controls
| ISO 27001 | BSI IT-Grundschutz |
|---|---|
| ISO/IEC 27001 legt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) fest. Anhang A enthält 93 Informationssicherheits-Controls; ISO/IEC 27002:2022 erläutert diese Controls und gibt Hinweise zu ihrer Umsetzung. | Der IT-Grundschutz verbindet die BSI-Standards der Reihe 200-x mit dem IT-Grundschutz-Kompendium. Das Kompendium enthält Bausteine mit konkreten Anforderungen für typische Prozesse, Anwendungen, IT-Systeme, Netze und Infrastrukturen. |
b. Vergleich ISO 27001 und BSI IT-Grundschutz: risikobasierter Ansatz
| Aspekt | ISO 27001 | BSI IT-Grundschutz |
|---|---|---|
| Grundlage | Abschnitt 6.1.2: Informationssicherheits-Risikobewertung; Abschnitt 6.1.3: Informationssicherheits-Risikobehandlung. | BSI-Standard 200-2 beschreibt die IT-Grundschutz-Methodik; BSI-Standard 200-3 die Risikoanalyse auf Basis von IT-Grundschutz. |
| Ziel | Informationssicherheitsrisiken systematisch identifizieren, analysieren, bewerten und behandeln. | Ein angemessenes Sicherheitsniveau durch strukturierte Modellierung, Schutzbedarfsfeststellung, IT-Grundschutz-Check und ergänzende Risikoanalyse erreichen. |
| Vorgehensweise |
|
|
| Vergleich | Stärker risikobasiert und offen für organisationsspezifische Maßnahmen, sofern die Anforderungen der Norm erfüllt und die Entscheidungen nachvollziehbar begründet werden. | Stärker methodisch vorstrukturiert: Bausteine und Anforderungen geben für typische Zielobjekte einen detaillierten Rahmen vor; ergänzende Risikoanalyse bleibt Bestandteil der Methodik. |
c. Ziele, Vorteile und Grenzen: ISO 27001 vs. BSI IT-Grundschutz
| ISO 27001 | BSI IT-Grundschutz | |
|---|---|---|
| Ziel | Ein wirksames ISMS aufbauen, betreiben, überwachen und kontinuierlich verbessern. Die Norm ist international anwendbar und organisationsunabhängig formuliert. | Ein ISMS mit einer vom BSI definierten Methodik und konkreten Anforderungen aus dem IT-Grundschutz-Kompendium aufbauen und betreiben. |
| Vorteile |
|
|
| Grenzen |
|
|
d. Beispiel: Absicherung von Netzwerken und Firewalls
| Aspekt | ISO 27001 / ISO 27002 | BSI IT-Grundschutz |
|---|---|---|
| Aktueller Bezug | ISO/IEC 27001:2022 enthält in Anhang A technologische Controls. ISO/IEC 27002:2022 erläutert unter anderem Netzwerksicherheit, Sicherheit von Netzwerkdiensten, Segmentierung, Protokollierung, Überwachung und Konfigurationsmanagement. | Der Baustein NET.3.2 „Firewall“ des IT-Grundschutz-Kompendiums enthält konkrete Anforderungen für Beschaffung, Aufbau, Konfiguration und Betrieb netzbasierter Firewalls. |
| Ziel | Netze und Netzwerkdienste so schützen, dass Vertraulichkeit, Integrität und Verfügbarkeit entsprechend den identifizierten Risiken gewährleistet werden. | Firewalls innerhalb der modellierten Netzarchitektur sicher planen, konfigurieren, betreiben und überwachen. |
| Umsetzung |
|
|
| Stand LamaPoll | Die relevanten Anforderungen des ISO-27001-ISMS sind umgesetzt, werden überwacht und kontinuierlich verbessert. Das ISMS wird regelmäßig intern und extern auditiert. | Bei LamaPoll wird Netzwerkverkehr durch Firewalls geschützt; nur erforderliche Dienste und Ports werden freigegeben, Regeln regelmäßig überprüft und Logs überwacht. |
| Vergleich | ISO 27001 definiert den Management- und Risikorahmen; ISO 27002 liefert dazu konkrete Controls und Umsetzungshinweise, ohne eine bestimmte Netzwerkarchitektur pauschal vorzuschreiben. | IT-Grundschutz geht für modellierte Zielobjekte stärker ins technische Detail und beschreibt im Baustein NET.3.2 konkrete Anforderungen für Firewalls. |
| Fazit | Der Unterschied liegt daher nicht darin, dass ISO 27001 „keine Firewall verlangt“, während IT-Grundschutz immer eine Firewall vorschreibt. Entscheidend ist die Methodik: ISO 27001 verlangt eine nachvollziehbare, risikobasierte Auswahl geeigneter Maßnahmen. IT-Grundschutz arbeitet zusätzlich mit konkreten Bausteinen und Anforderungen für die jeweils modellierten Zielobjekte. | |
e. Fazit
ISO 27001 und BSI IT-Grundschutz verfolgen dasselbe Grundziel: Informationssicherheit systematisch zu steuern und dauerhaft zu verbessern. ISO 27001 definiert international anerkannte Anforderungen an ein ISMS und lässt bei der konkreten Umsetzung bewusst Spielraum für risikobasierte Entscheidungen. Der BSI IT-Grundschutz ergänzt eine strukturierte Methodik mit detaillierten Bausteinen und Anforderungen für typische Zielobjekte.
Auch die Zertifizierungswege unterscheiden sich: Eine ISO-27001-Zertifizierung bestätigt die Konformität eines ISMS mit ISO/IEC 27001. Das BSI bietet daneben die „ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz“ an, bei der zusätzlich die IT-Grundschutz-Methodik und das IT-Grundschutz-Kompendium als Prüfgrundlagen dienen.
Für LamaPoll bedeutet der risikobasierte ISO-27001-Ansatz nicht weniger konkrete Sicherheit. Unser zertifiziertes und regelmäßig auditiertes ISMS verbindet die Anforderungen der Norm mit technischen und organisatorischen Maßnahmen, die auf unsere Systeme, Risiken und Schutzbedarfe zugeschnitten sind und kontinuierlich überprüft und verbessert werden.
Zusammen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) haben wir erstmals eine Sicherheitsumfrage durchgeführt. Für Datenschutz, Cybersicherheit und Anonymität bestanden hohe Anforderungen seitens der Unternehmen. Lamapoll konnte diese technisch und organisatorisch bestens umsetzen. Zudem war bei jeder Gelegenheit ein Ansprechpartner zur Stelle. Wir sind mit der Zusammenarbeit äußerst zufrieden.
Haben Sie Fragen an unser Team?
Wir beantworten Ihnen gern alle Fragen rund um das Thema Sicherheit bei LamaPoll.
Zögern Sie nicht, uns zu kontaktieren.
