Gratis-Download: Vergleich und Auswahlkriterien von ISMS-Standards

Im Whitepaper erhalten Sie eine kurze Übersicht zu den ISMS-Standards ISO/IEC 27001, BSI IT-Grundschutz und VdS 10000. Die ISMS-Standards werden miteinander verglichen und Auswahlkriterien für die Auswahl des passenden ISMS-Standards benannt.

Handlungsempfehlungen für die Praxis

Um den passenden ISMS-Standard auszuwählen, sind einige Faktoren relevant:

• Ist die Organisation international tätig?
• Wird eine Zertifizierung angestrebt?
• Wie viele Ressourcen stehen für die Einführung und den Betrieb des ISMS zur Verfügung?
• Ist die Organisation in einem Sektor tätig, für den es branchenspezifische Standards gibt?
• Gibt es regulatorische oder vertragliche Anforderungen, nach bestimmten Standards zu arbeiten?

Unabhängig davon, welcher Standard letztlich genutzt wird, ist es sinnvoll, andere Standards nicht außer Acht zu lassen. Der IT-Grundschutz kann bei einer ISMS-Einführung nach ISO 27001 als Katalog von Beispielmaßnahmen herangezogen werden. Umgekehrt können die Standards der ISO-27.0xx-Reihe weitergehende Hintergrundinformationen zu Prozessen liefern.

Zuletzt sind sich viele Standards bei der Vorgehensweise ähnlich. Dadurch ist es auch nach der Wahl eines Standards noch möglich, auf einen anderen ISMS-Standard zu wechseln.

Fazit: Der Standard muss zur Organisation passen

Die grundlegende Vorgehensweise bei IT-Grundschutz und ISO 27001 ist zwar ähnlich, insgesamt gibt es aber doch große Unterschiede. Der IT-Grundschutz ist durch die zur Verfügung stehenden Materialien, die klareren Anforderungen und die zur Verfügung stehenden Absicherungsstufen besonders gut für Einsteiger im Themenbereich ISMS geeignet. Auch die Rücksichtnahme auf Besonderheiten in Deutschland spricht für diesen Standard.

Wenn eine international anerkannte Zertifizierung gewünscht ist, fällt die Wahl in der Regel auf die ISO 27001. Auch die höheren Freiheitsgrade bei der Umsetzung können für diesen Standard sprechen.

Letztlich sollte die Wahl so getroffen werden, dass sie den Bedürfnissen der Organisation entspricht. Auch branchenspezifische ISMS-Standards sollten, sofern vorhanden, in Betracht gezogen werden. Nach der Wahl eines bestimmten Standards können die anderen Standards weiterhin als ergänzende Ressourcen mit einbezogen werden.