Zertifizierung ab 2027
Laut Meilensteinplan des BSI können Zertifizierungsanträge für ISO 27001 auf Basis von Grundschutz++ ab dem 01.01.2027 gestellt werden. Ein Prüf- und Zertifizierungsschema für Grundschutz++ hatte das BSI am 26.10.2026 noch nicht veröffentlicht. Die geltende Prüfgrundlage und die Auditierungsschemata beziehen sich weiterhin auf das IT-Grundschutz-Kompendium.
Für bestehende Auditteamleiter und IT-Grundschutz-Berater kündigt das BSI Fortbildungen ab dem ersten Quartal 2027 an. Meilensteinplan beim BSI →
Zertifizierung und Audit: was steht, was fehlt
| Dokument oder Verfahren | Stand 27.10.2026 |
|---|---|
| BSI-Standard 300-1 (Methodik) | veröffentlicht Version 1.0, Zielgruppe Early Adopters |
| Anwenderkatalog in der Stand-der-Technik-Bibliothek | veröffentlicht laufende Builds, Abgleich mit dem Standard offen |
| Zertifizierungsanträge ISO 27001 auf Basis GS++ | ab 01.01.2027 |
| Personenzertifizierung GS++-Berater und GS++-Auditteamleiter | ab 01.01.2027 Fortbildung für bestehende Zertifikatsinhaber ab Q1 2027 |
| Schulungskonzepte GS++-Praktiker und GS++-Berater | 30.11.2026 |
| Anwendungsbeispiel „BDIT“ | Dezember 2026 |
| Konzept zur Leistungsmessung, Kennzahlen je Praktik | 26.02. und 31.03.2027 |
| Zertifizierungsschema und Auditierungsschema für GS++ | offen bestehende Schemata beziehen sich auf das Kompendium |
| Testat unterhalb der Zertifizierung | offen siehe WiBA und Testat |
| Nachfolger BSI-Standard 200-3 | nicht angekündigt Risikobetrachtung in 300-1, Anhang 3 |
Für Auditoren ist das Auditierungsschema die zentrale Lücke: Es legt fest, wie Stichproben gezogen, Abweichungen bewertet und Berichte aufgebaut werden. Bis es vorliegt, sollten Early Adopters ihre Nachweise so führen, dass sie sich jeder Anforderung des Anwenderkatalogs eindeutig zuordnen lassen.
Worauf Auditoren achten werden
Aus dem Standard selbst lassen sich die Schwerpunkte künftiger Audits ableiten:
- Methodik als Anforderung: Die fünf Prozessschritte sind selbst prüfbare Anforderungen, verpflichtend für jeden Informationsverbund.
- Geschäftsprozesse: Dokumentation, Schutzbedarf und die Herleitung der Assets.
- Anforderungspaket: Zuordnung der Zielobjektkategorien einschließlich der Elternknoten, gewählte Blaupausen mit Version.
- Parameter: Wie wurde „regelmäßig“ und Ähnliches konkretisiert, und ist das angemessen?
- MUSS-Anforderungen: Hier gibt es keinen Ermessensspielraum.
- Risikomethode: Abdeckung der 35 Mindestkriterien aus Anhang 3.
- Nachweise: Bei Werkzeugen und Scans zählen Tool, Zeitpunkt und Ergebnis.
Noch nicht entschieden
Version 1.0 richtet sich an Early Adopters. Einige Fragen sind offen, etwa die Ausgestaltung der Leistungsbewertung nach Kapitel 5.1, für die das BSI Konzepte für 2027 angekündigt hat, und die Abstimmung zwischen Anwenderkatalog und Standard. Die Fachdiskussion dazu läuft öffentlich in der Stand-der-Technik-Bibliothek.
Wir setzen uns in der ISACA-Fachgruppe Informationssicherheit und im TeleTrusT-Arbeitskreis „Stand der Technik“ für einheitliche Prüfmaßstäbe ein.
Audit aus erster Hand
Erik Gremeyer ist vom BSI zertifizierter Auditteamleiter für ISO 27001 auf Basis von IT-Grundschutz, ISO/IEC 27001 Lead Auditor, CISA und CISM. ATM Consulting führt Audits nach IT-Grundschutz und ISO 27001 durch und begleitet Organisationen bei der Vorbereitung. Beratung und Prüfung trennen wir dabei strikt.