VdS 10000: das ISMS für kleine und mittlere Unternehmen

Die Informationssicherheit im Mittelstand scheitert selten am Willen, sondern am Zuschnitt: Die ISO 27001 ist für viele mittelständische Unternehmen eine Nummer zu groß, ein reiner Maßnahmenkatalog ohne Managementsystem dagegen eine Nummer zu klein. Genau in diese Lücke zielt die VdS 10000. Seit Januar 2025 liegt sie in einer überarbeiteten Fassung vor, die auch Kommunen ausdrücklich einschließt und den Weg zur NIS2-Richtlinie VdS 10100 vorbereitet.

Was die VdS 10000 ist und für wen sie gedacht ist

Die VdS 10000 ist eine Richtlinie der VdS Schadenverhütung GmbH in Köln, die Mindestanforderungen an ein Informationssicherheitsmanagementsystem für kleine und mittlere Unternehmen festlegt. Sie beschreibt sowohl das Managementsystem selbst, also Rollen, Leitlinie und Richtlinien, als auch konkrete technische und organisatorische Schutzmaßnahmen. Die aktuelle Ausgabe trägt die Bezeichnung VdS 10000 : 2025-01 (03).

Der Geltungsbereich ist breiter, als der Zusatz "für KMU" vermuten lässt. Die Richtlinie nennt ausdrücklich kleine und mittlere Unternehmen, den gehobenen Mittelstand, Verwaltungen, Kommunen, Verbände und sonstige Organisationen. Kommunen kamen erst mit der Fassung 2025 explizit dazu. Angewendet werden soll die Richtlinie auf die gesamte Organisation, der Geltungsbereich kann aber technisch, geografisch oder organisatorisch eingegrenzt werden. Wer eingrenzt, muss die Wechselwirkungen über die Grenze hinweg trotzdem betrachten.

Verbindlich sind die Anforderungen nicht von sich aus. Die Richtlinie stellt selbst klar, dass sie nur gilt, wenn ihre Verwendung im Einzelfall vereinbart wird. In der Praxis passiert genau das über Verträge, Versicherungsbedingungen oder Ausschreibungen. Innerhalb der Richtlinie unterscheidet VdS zwischen verbindlichen Anforderungen, gekennzeichnet mit MUSS und DARF NICHT, und Empfehlungen, gekennzeichnet mit SOLL und KANN. Diese Abstufung ist der Grund, warum zwei Unternehmen mit derselben Richtlinie zu sehr unterschiedlich tiefen Umsetzungen kommen können.

Für die Umsetzung selbst verweist die Richtlinie auf Fachwissen in Informationssicherheit und Managementsystemen. Fehlt es im Haus, empfiehlt VdS qualifizierte Dienstleister, die ein Anerkennungsverfahren nach VdS 10003 durchlaufen haben. Ergänzend soll die VdS 10000 möglichst gemeinsam mit der VdS 10010 zur Umsetzung der DSGVO angewendet werden, in Produktionsumgebungen zusätzlich mit der VdS 10020 für industrielle Automatisierungssysteme.

Was sich mit der Version 2025 geändert hat

Die Fassung 2025-01 (03) gilt seit dem 1. Januar 2025 und ersetzt die Ausgabe 2018-12 (02). Die Änderungen sind in einem eigenen Anhang B der Richtlinie klauselgenau dokumentiert. Vier davon ändern die Umsetzung spürbar, der Rest ist redaktionell.

Die auffälligste Änderung betrifft die Kapitelzahl. Die Vorversion hatte 18 Kapitel, weil Störungen und Ausfälle in Kapitel 17 und Sicherheitsvorfälle in Kapitel 18 getrennt behandelt wurden. Beide sind jetzt in einem Kapitel 17 zusammengefasst. Deshalb hat die Richtlinie seit 2025 genau 17 Kapitel. Wer noch mit Unterlagen zur alten Fassung arbeitet, muss die Kapitelverweise entsprechend umstellen.

Inhaltlich zieht die Richtlinie an drei Stellen technisch an: Fernzugänge dürfen nur noch mit Multi-Faktor-Authentifizierung abgesichert werden, Echtzeitschutz gegen Schadsoftware ist zur MUSS-Anforderung geworden, und Sicherheitsupdates müssen tatsächlich in Betrieb genommen werden, nicht nur beschafft. Organisatorisch kommt hinzu, dass der Informationssicherheitsbeauftragte und das Informationssicherheitsteam förmlich bestellt werden müssen. Aus einer faktischen Zuständigkeit wird damit ein dokumentierter Akt.

Zwei Punkte lohnen einen zweiten Blick. Bei der Datensicherung nennt VdS das Mehr-Generationen-Prinzip sowie die Verteilung auf verschiedene Orte und Medien, was in vielen mittelständischen Umgebungen einen Umbau der Backup-Strategie bedeutet. Und die neue Vorgabe, bei Sicherheitsvorfällen auch Versicherer und Aufsichtsbehörden zu informieren, verbindet die Richtlinie mit dem, was Unternehmen ohnehin aus Meldepflichten kennen.

Aufbau der Richtlinie: 17 Kapitel im Überblick

Die 17 Kapitel folgen einer erkennbaren Logik. Die Kapitel 1 bis 3 setzen den Rahmen mit Allgemeinem, normativen Verweisungen und Begriffen. Die Kapitel 4 bis 8 bauen die Organisation auf: Rollen, Leitlinie zur Informationssicherheit, Richtlinien, Mitarbeiter und Wissen. Kapitel 9 ist das Scharnier, weil dort die kritischen Informationen und IT-Ressourcen identifiziert werden. Die Kapitel 10 bis 17 enthalten die technischen und operativen Anforderungen. Anforderungen tragen damit 14 der 17 Kapitel, dazu kommen Anhang A zu Verfahren und Risikomanagement sowie Anhang B mit der Änderungsliste.

Die 17 Kapitel der VdS 10000 in ihrer inhaltlichen Logik. Kapitel 9 ist das Scharnier zwischen Organisation und Technik.

Wichtig für alle, die von der ISO 27001 kommen: Die VdS 10000 hat keinen nummerierten Control-Katalog wie den Anhang A der ISO. Die Anforderungen stehen als Fließtext in den Klauseln und sind über MUSS, SOLL und KANN abgestuft. Eine Zahl wie "so viele Controls hat die VdS 10000" lässt sich deshalb nicht seriös angeben. Wer eine Gegenüberstellung braucht, arbeitet auf Kapitelebene, nicht auf Control-Ebene.

Das zweite Strukturprinzip zieht sich durch fast alle technischen Kapitel: Auf die Grundlagen folgt der Basisschutz, danach kommt ein Abschnitt mit zusätzlichen Maßnahmen für kritische IT-Systeme oder Ressourcen. Diese Abstufung findet sich in den Kapiteln 10 bis 17 durchgängig wieder. Für die Umsetzung heißt das: Ohne eine belastbare Kritikalitätsbewertung lässt sich der halbe Anforderungsteil nicht sinnvoll anwenden.

Quick-Check, Quick-Audit und Zertifizierung: die drei Stufen

VdS bietet drei aufeinander aufbauende Stufen an, die sich in Aufwand und Nachweiswert deutlich unterscheiden. Der Unterschied zwischen Testat und Zertifikat wird dabei häufig übersehen, obwohl er für die Verwendung nach außen den größten Unterschied macht.

Der Quick-Check ist eine webbasierte Plattform, auf der Organisationen per Selbstauskunft eine Risikobewertung ihres Informationssicherheits- und Datenschutzmanagements erhalten. Der Zugang läuft über den VdS-Webshop, die Nutzung ist kostenpflichtig. Wer im Anschluss ein Quick-Audit beauftragt, bekommt die Kosten für den Quick-Check bei der Rechnungsstellung erstattet.

Das Quick-Audit nach VdS 10001 setzt einen vollständig durchgeführten Quick-Check samt heruntergeladenem Ergebnisbericht voraus. Ein VdS-Auditor oder ein von VdS beauftragter, dafür qualifizierter Auditor prüft vor Ort, ob die Angaben aus der Selbstauskunft mit den Gegebenheiten übereinstimmen. Remote-Audit-Techniken sind nur im Ausnahmefall vorgesehen. Das Ergebnis ist ein Testat, und dieses Testat bestätigt ausschließlich diese Übereinstimmung. Ein Erfüllungsgrad gegenüber Anforderungen wird ausdrücklich nicht bewertet. Werbung mit dem Durchlaufen des Verfahrens ist nicht erlaubt, eine unveränderte Kopie des Testats darf Dritten aber zu Nachweiszwecken übergeben werden. Wird das Verfahren nicht binnen sechs Monaten abgeschlossen, bricht VdS den Auftrag ab.

Die Zertifizierung läuft nach VdS 10002 in der Fassung 2026-05 (03), die seit dem 1. Mai 2026 gilt und die Ausgabe 2019-11 (02) ersetzt. Sie ist die einzige Stufe, die ein Zertifikat hervorbringt.

Nur die Zertifizierung nach VdS 10002 führt zu einem Zertifikat. Das Quick-Audit endet mit einem Testat.

Zwei Punkte, die in beiden Verfahrensrichtlinien stehen und die Planung beeinflussen: In den Verfahren wird nicht beraten. Die Vorbereitung bleibt Sache des Unternehmens oder eines separaten Dienstleisters. Und Preise stehen in keiner der beiden Richtlinien. Beide verweisen auf die Preisliste der Zertifizierungsstelle, die auf Anfrage zugesandt wird. Wer kalkuliert, arbeitet deshalb mit den belegbaren Kostentreibern: Umfang und Detaillierungsgrad der eingereichten Informationen, Betriebsgröße, die beiden Überwachungsaudits, Reisekosten und die Stornoregeln bei kurzfristig abgesagten Terminen. Wer die Anforderungen ohnehin in einem ISMS-Werkzeug führt, geht mit fertigen Nachweisen statt mit Ordnern ins Audit. Plattformen wie das Digital Compliance Office von SECJUR bilden Standards als laufenden Prozess ab, sodass ein Überwachungsaudit keine Neuaufnahme des Projekts erzwingt.

Der Weg von der VdS 10000 zur ISO 27001

Die VdS-Richtlinien sind aufwärtskompatibel gestaltet. VdS formuliert das so, dass eine Zertifizierung nach VdS 10000 jederzeit der Einstieg in die ISO-27000er-Reihe sein kann. Diese Aussage lässt sich an der Richtlinie selbst nachvollziehen, nicht nur an der Werbung dafür.

Die VdS 10000 verweist in ihren normativen Verweisungen unter anderem auf ISO/IEC 27001 und ISO/IEC 27005. Die Systematik in Anhang A folgt derselben Logik, die die ISO 27001 verlangt: Methodik festlegen, Risiken identifizieren, analysieren, behandeln, Ergebnisse wiederholen und anpassen, dazu eine Risikoakzeptanzschwelle und die Annahme wesentlicher Risiken durch das Topmanagement. Wer die VdS 10000 sauber betreibt, hat damit Leitlinie, Richtlinien, Rollen, ein Inventar kritischer Ressourcen und einen laufenden Risikoprozess bereits stehen. Das sind die Bausteine, an denen ISO-27001-Projekte im Mittelstand typischerweise am längsten hängen.

Den Aufwandsvorteil beziffert VdS mit rund 20 Prozent des Aufwands im Vergleich zur ISO 27001. Das ist eine Angabe des Herausgebers und keine unabhängig erhobene Zahl, als Größenordnung für die Einstiegshürde aber brauchbar. Welcher der beiden Standards im Einzelfall passt, hängt an Aufwand, Anerkennung im Zielmarkt und Kundenanforderungen. Das haben wir in VdS 10000 oder ISO 27001 nebeneinandergestellt. Die Schritte vom leeren Blatt zum laufenden Managementsystem beschreibt unser Leitfaden zum ISMS aufbauen. Für den späteren Umstieg gilt: Mit einer ISMS-Plattform wie SECJUR lässt sich die Vorbereitungszeit erfahrungsgemäß um bis zu 50 Prozent verkürzen, weil die Nachweise aus dem VdS-Betrieb nicht neu erhoben, sondern auf die ISO-Struktur gemappt werden.

"Der Umstieg von der VdS 10000 auf die ISO 27001 scheitert selten am Fachlichen. Er scheitert daran, dass die Nachweise aus dem VdS-Betrieb nirgends sauber weitergeführt wurden. Wer vom ersten Tag an dokumentiert, als würde er später auditiert, spart sich beim Upgrade ein halbes Projekt."

Amin Abbaszadeh, Informationssicherheitsexperte bei SECJUR

VdS 10000, CISIS12 und BSI-Grundschutz: die deutschen Alternativen

Neben der VdS 10000 gibt es zwei weitere deutsche Wege zu einem Managementsystem, und sie konkurrieren weniger miteinander, als es wirkt. VdS schreibt selbst, dass die VdS 10000 auf ISO 27001 und BSI-Grundschutz basiert, und verweist in Kapitel 2 normativ auf die BSI-Standards 200-2 bis 200-4.

Der BSI IT-Grundschutz ruht auf vier Standards: 200-1 zu Managementsystemen für Informationssicherheit, 200-2 zur IT-Grundschutz-Methodik, 200-3 zum Risikomanagement und 200-4 zum Business Continuity Management. Der 200-2 kennt drei Vorgehensweisen, nämlich Basis-, Kern- und Standard-Absicherung. Eine Entwicklung gehört 2026 in jede Planung: Das BSI stellt den IT-Grundschutz auf ein prozessorientiertes, digitales Regelwerk im JSON-Format um, das das IT-Grundschutz-Kompendium ablösen soll. Der bisherige IT-Grundschutz bleibt während einer mehrjährigen Übergangsphase anwendbar.

CISIS12 ist die Weiterentwicklung von ISIS12 und entspricht der Version 3 dieses Vorgehens. Der Name steht für ein Compliance-Informations-Sicherheits-Management-System in zwölf Schritten, die Marke liegt beim IT-Sicherheitscluster e.V. Das Verfahren ist unabhängig zertifizierbar und adressiert ebenfalls Mittelstand und Kommunen.

Für Unternehmen, die unter NIS2 fallen, verweist die VdS 10000 selbst auf die VdS 10100 und empfiehlt, deren Umsetzung zu prüfen. Was diese Richtlinie zusätzlich verlangt, haben wir in NIS2 nach VdS 10100 aufgeschlüsselt.