Modul 5 - Normen-Welt: ISO 27001, BSI IT-Grundschutz, ISO 22301

Der Auditor stellt fünf Fragen

Es ist Donnerstag, 9:30 Uhr. Im Konferenzraum der xbank sitzt ein externer Auditor — ein Prüfer einer großen Wirtschaftsprüfungsgesellschaft. Die jährliche Prüfung des Informationssicherheits-Managements steht an. Er holt seinen Laptop heraus und stellt fünf Fragen, eine nach der anderen:

1. „Welche ISMS-Norm setzen Sie ein?”
2. „Welche Methodik nutzen Sie für Ihre IT-Risiko-Analyse?”
3. „Wie ist Ihr Vorfallmanagement-Prozess aufgebaut?”
4. „Wie deckt Ihr Business Continuity Management den DORA-Anforderungs-Katalog ab?”
5. „Wie steuern Sie Ihre IKT-Drittparteien?”

Du sitzt der ISMS-Verantwortlichen gegenüber und merkst: jede einzelne Frage hat eine andere Norm-Familie als Antwort. Wer die Landkarte der Normen-Welt nicht kennt, kann ein Audit dieser Art nicht überstehen — und auch keinen Gespräch in der 2. Linie führen, wenn es um aufsichtsrechtliche Begründungen geht.

Genau diese Landkarte liefert dir Modul 5.

Die drei Ebenen der Normen-Welt

Wer die Bank-Normen verstehen will, beginnt mit der Erkenntnis, dass es drei verschiedene Ebenen gibt — und dass diese Ebenen unterschiedliche Fragen beantworten.

Die obere Ebene ist die Pflicht — was die Bank tun muss. Die mittlere Ebene ist das Wie — der organisatorische Rahmen, in dem die Bank diese Pflicht erfüllt. Die untere Ebene sind die Werkzeuge — die Spezialnormen, die einzelne Disziplinen detailliert regeln.

In jedem Audit-Gespräch wirst du zwischen diesen Ebenen wechseln müssen. Der Auditor fragt: „DORA Art. 11 verlangt Business Continuity. Wie setzen Sie das um?” — und du antwortest: „Wir folgen ISO 22301 als Rahmenwerk und BSI 200-4 für die deutsche Detailausgestaltung.” Drei Ebenen, zwei Sätze.

ISO/IEC 27001 — der internationale Goldstandard

ISO/IEC 27001 ist die wichtigste Norm der Bank-IT weltweit. Sie beschreibt die Anforderungen an ein ISMS — ein Informationssicherheits-Managementsystem. Wichtig: Sie zertifiziert nicht einzelne Server oder Anwendungen, sondern das System, mit dem die Bank ihre Informationssicherheit steuert.

Was zertifiziert wird

Eine ISO 27001-Zertifizierung bedeutet: Eine externe, akkreditierte Stelle hat geprüft, dass die Bank

• Sicherheitsrisiken systematisch identifiziert und bewertet,
• angemessene Maßnahmen wählt und umsetzt,
• ihre Wirksamkeit kontinuierlich überprüft,
• und das Ganze nachweisbar dokumentiert.

Die Bank zeigt damit: „Wir haben ein funktionierendes Sicherheits-System, nicht nur einzelne Tools.”

Aufbau der Norm

ISO 27001:2022 hat zwei zentrale Teile:

• Klauseln 4-10 — Die Anforderungen an das ISMS selbst (Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung). Folgt dem PDCA-Zyklus (Plan-Do-Check-Act).
• Annex A — 93 Controls aus ISO/IEC 27002 in vier Themenbereichen: organisatorisch, personell, physisch, technisch.

In der Praxis ist die Frage nicht „Setzt ihr alle 93 Controls um?”, sondern „Welche Controls sind für euch anwendbar, und wie setzt ihr diese konkret um?” Das Statement of Applicability (SoA) ist die Antwort darauf — eine zentrale Audit-Unterlage.

Was eine Bank davon hat

• Markterwartung: Internationale Banken-Kunden, Korrespondenzbanken und Rating-Agenturen erwarten ISO 27001 als Mindeststandard.
• DORA-Belegmittel: ISO 27001 ist ein anerkanntes Mittel, um DORA-Konformität zu belegen — nicht zwingend, aber in der Praxis sehr wirksam.
• MaRisk-Konformität: Auch die MaRisk-Anforderungen (parallel zu DORA gültig) lassen sich auf ISO 27001-Annex-A-Controls abbilden. Für die wenigen Nicht-DORA-Institute gilt zusätzlich noch BAIT in der Übergangsfrist bis 01.01.2027.

BSI IT-Grundschutz — die deutsche Detailschule

Wenn ISO 27001 das internationale Rahmenwerk ist, dann ist der BSI IT-Grundschutz das deutsche Pendant — bzw. genauer: ein viel detaillierteres operatives Leitwerk, das in Deutschland und im DACH-Raum dominiert.

Die vier BSI-200er-Standards

Plus das IT-Grundschutz-Kompendium: 111 Bausteine mit konkreten Maßnahmen für jede technische und organisatorische Disziplin (Edition 2023). Das ist der Hauptunterschied zu ISO: BSI ist konkreter. Wo ISO 27002 sagt „Patch-Management muss geregelt sein”, sagt BSI-Baustein OPS.1.1.3 „welche Schritte, in welcher Reihenfolge, mit welcher Dokumentation”.

Wann BSI statt ISO?

In der Praxis ist es selten entweder/oder. Deutsche Banken kombinieren beide:

• ISO 27001 für die Zertifizierung und internationale Anschlussfähigkeit
• BSI IT-Grundschutz für die operative Detailausgestaltung und DACH-spezifische Themen
• BSI C5 als Cloud-Audit-Kriterium, das in Banken zunehmend gefordert wird

ISO 22301 — Business Continuity Management

ISO 22301 deckt einen Bereich ab, der in DORA und MaRisk explizit gefordert wird: was tut die Bank, wenn der Geschäftsbetrieb gestört ist?

Der BCM-Lifecycle nach ISO 22301:

1. Business Impact Analysis (BIA) — welche Geschäftsprozesse sind wie kritisch?
2. Recovery-Ziele festlegen — RTO (Recovery Time Objective: maximale Ausfallzeit) und RPO (Recovery Point Objective: maximaler Datenverlust).
3. Business Continuity Plans (BCPs) — konkrete Schritt-für-Schritt-Anweisungen für Krisenfälle.
4. Tests und Übungen — Tabletop-Übungen, Krisenstabsübungen, technische Wiederherstellungstests.
5. Kontinuierliche Verbesserung — Lessons Learned aus echten Vorfällen einarbeiten.

ISO 22301 ist seit DORA Art. 11 (in Kraft seit 17.01.2025) faktisch Pflicht für jede Finanzeinrichtung in der EU. Die deutsche Variante ist BSI 200-4 — beide sind kompatibel und werden in vielen Banken parallel genutzt.

Spezialnormen-Überblick — wann welche

Das ISMS-Rahmenwerk legt das System fest. Für einzelne Disziplinen gibt es spezialisierte Normen:

Wie eine Bank das in der Praxis kombiniert

Es gibt keine einzelne Bank, die nur ISO oder nur BSI nutzt. Die typische deutsche Mid-Cap-Bank kombiniert:

• ISO 27001-Zertifizierung als Visitenkarte und DORA-Belegmittel
• BSI IT-Grundschutz für die Detailausgestaltung der Maßnahmen (Bausteine als „Werkzeugkasten”)
• ISO 22301 und BSI 200-4 für BCM (oft kombiniert)
• ISO 27035 als Methodik für das CSIRT-Verfahren (Modul 9)
• ISO 27036 für die Steuerung der IKT-Drittparteien (Modul 7)
• BSI C5 für Cloud-Audits und Drittparteien-Steuerung

Eine Bank-Antwort auf die Auditor-Frage „Welche Normen?” könnte in der Realität so klingen:

„Wir sind ISO 27001-zertifiziert seit 2019, nutzen den BSI-IT-Grundschutz für die Bausteinwahl in unserer Detailausgestaltung, ISO 27035 für unser CSIRT-Verfahren und ISO 27036 plus BSI C5 für die Drittparteien-Steuerung. BCM läuft nach ISO 22301 mit Test-Frequenz quartalsweise.”

Das ist die Sprache des 2nd-Line-Risikomanagements.

Praxis-Mapping: DORA → ISO → BSI

Das wirkliche Audit-Werkzeug ist die Fähigkeit, eine konkrete regulatorische Anforderung auf die zugrundeliegenden Normen-Bausteine abzubilden. Seit dem 17.01.2025 ist DORA das primäre Ankerwerk für IKT-Risikomanagement in EU-Banken — BAIT ist für DORA-Institute außer Kraft (bis 01.01.2027 als Übergangsfrist für die wenigen verbliebenen Nicht-DORA-Institute).

Das Mapping läuft heute also von DORA, nicht mehr von BAIT, in Richtung ISO und BSI. Ein Beispiel zur Patch-Management-Anforderung:

Genau dieses Mapping zwischen den Ebenen ist die Tagesarbeit der 2. Linie. Modul 6 vertieft die DORA-Struktur mit allen relevanten Artikeln und ihren ISO/BSI-Bezügen. Wer es einmal verstanden hat, kann jede regulatorische Frage auf die zugehörige Norm und den zugrundeliegenden BSI-Baustein herunterbrechen.

Das Referenzhandbuch — euer Nachschlagewerk

Modul 5 hat den Überblick geliefert. Für die Tiefe jedes einzelnen Norms — Klausel-Texte, Controls-Listen, Mehrteiligkeiten, Mapping-Tabellen — hat Marcus ein vollständiges Informationssicherheits-Normen Referenzhandbuch erstellt:

Im weiteren Verlauf der Academy verweisen wir an den passenden Stellen auf einzelne Sektionen des Handbuchs:

• Modul 6 — Regulatorik: vertieft DORA, NIS2, MaRisk, BAIT
• Modul 7 — Drittparteien: vertieft ISO 27036 und DORA Art. 28-44
• Modul 8 — Vorfallmanagement: vertieft ISO 27035 und DORA-Meldefristen

Das Handbuch ist also nicht ein einmaliger Verweis, sondern dein dauerhafter Begleiter durch die Academy.

Die fünf Merksätze für Modul 5

1. Drei Ebenen, drei Fragen. Regulatorik = was muss erfüllt werden, ISMS-Rahmenwerke = wie wird es organisiert, Spezialnormen = welche Detaillösungen helfen.

2. ISO 27001 zertifiziert das System, nicht die Server. Eine Zertifizierung sagt aus: Es gibt ein funktionierendes Steuerungs-System für Informationssicherheit — nicht jedes einzelne Tool wurde geprüft.

3. BSI IT-Grundschutz ist das deutsche Detailwerk, ISO 27001 das internationale Rahmen-Werk. Banken in Deutschland nutzen typischerweise beides parallel — ISO für die Zertifizierung, BSI für die operative Tiefe.

4. ISO 22301 ist seit DORA faktisch BCM-Pflicht. BCP, BIA, RTO/RPO sind keine optionalen Themen mehr, sondern aufsichtsrechtlich erwartet.

5. Norm-zu-Realität-Mapping ist die Tagesarbeit der 2. Linie. Wer eine DORA- oder MaRisk-Anforderung auf ISO 27001-Annex-A und einen BSI-Baustein abbilden kann, ist im Audit-Gespräch souverän.