VdS 10000 vs. ISO 27001: welcher Standard passt zu Ihrem Unternehmen

Die ISO 27001 und die VdS 10000 bauen beide dasselbe: ein Informationssicherheits-Managementsystem mit Leitlinie, Verantwortlichkeiten, Risikobehandlung und Nachweisen. Der Unterschied liegt nicht im Ziel, sondern im Bauprinzip, in der Reichweite der Anerkennung und im Aufwand, den beide Wege verursachen.

Für die Entscheidung hilft es wenig, Anforderungen gegeneinander aufzurechnen. Die beiden Regelwerke sind unterschiedlich konstruiert, deshalb führt eine Zahl gegen Zahl schnell in die Irre. Was zählt, sind drei Fragen: Wer verlangt den Nachweis, wie viel Managementsystem existiert schon, und wie viel Formalisierung verträgt die Organisation. Dieser Beitrag beantwortet sie mit Werten aus beiden Regelwerken.

Was beide verlangen, ist übrigens weitgehend deckungsgleich: eine von der Leitung getragene Leitlinie, benannte Verantwortliche, ein Verzeichnis der IT-Ressourcen, geregelte Zugriffe, Datensicherung mit getesteter Wiederherstellung, ein Verfahren für Sicherheitsvorfälle und eine wiederkehrende Überprüfung des Ganzen. Wer eines der beiden Systeme aufbaut, hat den größten Teil der Arbeit für das andere ebenfalls erledigt. Der Streit dreht sich nicht um die Substanz, sondern um Form und Reichweite.

Die kurze Antwort: welcher Standard zu welcher Ausgangslage passt

Die VdS 10000 ist die richtige Wahl für Unternehmen zwischen etwa 50 und 500 Mitarbeitern, deren Kunden und Aufsichtsbehörden im deutschsprachigen Raum sitzen und die bisher kein ausgebautes Managementsystem haben. Die ISO 27001 ist die richtige Wahl, sobald internationale Anerkennung gefragt ist, ein Konzernkunde sie in seinen Lieferantenanforderungen namentlich nennt, oder ohnehin weitere Managementsystem-Normen im Haus sind.

Es gibt einen dritten Fall, der in Vergleichen selten vorkommt und in der Praxis häufig ist: Für keinen von beiden ist es schon so weit. Wenn der Geltungsbereich nicht feststeht, niemand sagen kann, welche Systeme geschäftskritisch sind, und es kein Verzeichnis der IT-Ressourcen gibt, dann ist die Wahl des Standards nicht die nächste Entscheidung. Diese Vorarbeit fällt bei beiden Wegen an, und sie lässt sich in wenigen Wochen erledigen. Danach ist die Entscheidung meistens ohnehin klar, weil sich zeigt, wie viel Managementsystem schon vorhanden ist.

Wer bei zwei von drei Fragen in der rechten Spalte landet, sollte die ISO nehmen, auch wenn der Einstieg länger dauert. Ein später erzwungener Wechsel kostet mehr als der Mehraufwand am Anfang. Wer NIS2 als Auslöser hat, findet mit der VdS 10100 noch einen dritten Weg, der speziell darauf zugeschnitten ist.

Warum sich die beiden Standards nicht eins zu eins vergleichen lassen

Die ISO 27001 arbeitet mit einem geschlossenen Katalog. Anhang A listet 93 Controls in vier Themengruppen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Dazu kommt eine Pflicht, die den Charakter der Norm prägt. Nach Kapitel 6.1.3 d) muss eine Anwendbarkeitserklärung vorliegen, in der für jedes einzelne Control begründet steht, ob es angewendet wird und warum. Das Dokument ist der zentrale Prüfgegenstand im Audit.

Die VdS 10000 ist anders gebaut. Sie kennt keinen Control-Katalog und kein Gegenstück zu Anhang A. Anforderungen stehen als Fließtext in nummerierten Abschnitten, etwa unter 10.4.2 für Software oder 10.4.4 für Protokollierung, und sind sprachlich abgestuft: MUSS ist verbindlich, SOLL ist zu begründen, wenn davon abgewichen wird, KANN ist ein Umsetzungsvorschlag. Wird eine Anforderung nicht umgesetzt, greift ein Mechanismus im Anhang: Das daraus entstehende Risiko ist zu identifizieren, zu analysieren und zu behandeln.

Die Abstufung in MUSS, SOLL und KANN wirkt im Audit anders, als sie klingt. Ein SOLL ist keine Empfehlung, die man folgenlos übergeht: Wer davon abweicht, muss das begründen und die verbleibende Unsicherheit über die Risikobehandlung auffangen. Die Freiheit liegt also nicht darin, weniger zu tun, sondern darin, den Umfang an die eigene Lage anzupassen, ohne das für jedes einzelne Control formal erklären zu müssen.

Diese Unterscheidung ist keine Formalie, sie bestimmt den Charakter der Arbeit. Nach ISO 27001 arbeiten Sie gegen eine Liste und müssen zu jedem Punkt Stellung nehmen. Nach VdS 10000 arbeiten Sie an Themen entlang und entscheiden innerhalb jedes Themas, wie weit Sie gehen. Für Organisationen ohne eigene ISMS-Rolle ist der zweite Weg zugänglicher. Für Organisationen, die einen lückenlosen Nachweis gegenüber Dritten führen müssen, ist der erste der belastbarere. Welche Controls das im Einzelnen sind, steht in unserem Beitrag zu Anhang A.

Aufwand und Umfang im Vergleich

Der Umfang der Regelwerke gibt eine erste Orientierung. Die VdS 10000 in der Ausgabe 2025-01 (03) umfasst 44 Seiten mit 17 Kapiteln und zwei Anhängen. Die ISO 27001:2022 kommt mit den Normkapiteln 4 bis 10 und Anhang A auf einen vergleichbaren Seitenumfang, verweist für die Umsetzungshinweise zu jedem Control aber zusätzlich auf die ISO 27002, die selbst mehrere hundert Seiten stark ist. Der dokumentierte Sachverhalt ist also deutlich umfangreicher, als der Normtext allein vermuten lässt.

Beide Standards bauen ein ISMS, unterscheiden sich aber im Aufbau: Themenkapitel mit abgestuften Anforderungen gegen Normkapitel plus geschlossenen Control-Katalog.

Wichtiger als der Seitenumfang sind die Treiber, die den Aufwand in Ihrem Haus tatsächlich bestimmen. Sie sind bei beiden Standards dieselben, wirken bei der ISO aber stärker, weil dort jede Entscheidung dokumentiert werden muss.

Belastbare Preise für die Zertifizierung nennen beide Regelwerke nicht. Die VdS 10002 verweist in Kapitel 7 auf die Preisliste der Zertifizierungsstelle, die auf Anfrage zugeschickt wird, und regelt dort nur die Stornokosten. Für die ISO-Seite haben wir die Kostentreiber in einem eigenen Beitrag zu den Kosten der ISO-27001-Zertifizierung aufgeschlüsselt. Der Aufbau selbst bleibt in beiden Fällen der größere Posten, und er lässt sich beeinflussen: Mit einer Plattform wie SECJUR läuft er nach unserer Projekterfahrung bis zu 50 Prozent schneller als im klassischen Beratungsmodell, weil Richtlinien, Risikoregister und Nachweise aus einem geführten Prozess entstehen statt aus Vorlagen.

Anerkennung: wer akzeptiert welchen Nachweis

Hier liegt der Unterschied, der eine Fehlentscheidung teuer macht. Die ISO 27001 ist eine internationale Norm, weltweit bekannt und in Lieferantenanforderungen großer Unternehmen der Standardbegriff. Die VdS 10000 ist ein Regelwerk der VdS Schadenverhütung mit Sitz in Köln, die Zertifizierung erfolgt durch die VdS-Zertifizierungsstelle, und das Zertifikat wird nach VdS 10002 in deutscher Sprache ausgestellt, auf Wunsch mehrsprachig.

Im Inland ist die Anerkennung solide. Versicherer kennen die Marke aus dem Brand- und Einbruchschutz, öffentliche Auftraggeber akzeptieren sie als Nachweis strukturierter Informationssicherheit, und für Mittelständler mit regionalem Kundenkreis reicht sie in aller Regel aus. Sobald ein Kunde außerhalb der DACH-Region sitzt oder ein Konzern seine Lieferantenanforderungen auf eine benannte Norm stützt, ändert sich das Bild.

Eine Sonderrolle spielt die Automobilbranche. Wer dorthin liefert, braucht in der Regel TISAX, und das setzt auf dem VDA ISA auf, der wiederum auf der ISO 27001 fußt. In diesem Umfeld ist die ISO die tragfähigere Grundlage, weil die Vorarbeit doppelt verwertbar ist.

Die Zertifizierungsverfahren nebeneinander

Beide Zertifikate laufen drei Jahre. Der Unterschied liegt im Rhythmus der Überwachung und im Rahmen, in dem die Zertifizierungsstelle arbeitet.

Ein Unterschied fällt in der Planung stärker ins Gewicht als die Tabelle vermuten lässt: Die ISO-Erstzertifizierung läuft zweistufig. In Stufe 1 prüft der Auditor die Dokumentation und beurteilt, ob das Managementsystem überhaupt auditreif ist. Erst danach folgt Stufe 2 mit der Prüfung der tatsächlichen Umsetzung vor Ort. Zwischen beiden Stufen liegen typischerweise mehrere Wochen, in denen Feststellungen aus Stufe 1 abgearbeitet werden. Das VdS-Verfahren kennt diese Trennung nicht und kommt mit einem Audittermin aus, was den Kalender deutlich entlastet.

Praktisch relevant ist außerdem die Terminverfügbarkeit. Auditoren sind knapp, und beide Verfahren binden den Termin früh: Die VdS-Zertifizierungsstelle bearbeitet Aufträge nach Eingangsreihenfolge, und wer einen vereinbarten Audittermin kurzfristig absagt, zahlt gestaffelte Stornokosten von 25 Prozent bei weniger als acht Wochen bis zu 100 Prozent bei weniger als zwei Wochen Vorlauf. Wer den Termin an den erwarteten Projektabschluss legt und nicht an den optimistischen, spart sich diese Rechnung.

Ein Punkt aus der VdS 10002 verdient Aufmerksamkeit, weil er für die Planung wichtiger ist als jede Frist: Im Zertifizierungsverfahren wird ausdrücklich nicht beraten. Wer eine Zertifizierungsstelle beauftragt, bekommt eine Prüfung und ein Urteil, keine Umsetzungshilfe. Für die ISO 27001 gilt dasselbe Trennungsgebot, dort ergibt es sich aus den Unabhängigkeitsanforderungen an akkreditierte Stellen. Die Vorbereitung bleibt in beiden Fällen im Unternehmen oder bei einem separaten Partner. Wie der ISO-Ablauf im Einzelnen aussieht, steht im Beitrag zur ISO-27001-Zertifizierung.

Der Upgrade-Pfad von der VdS 10000 zur ISO 27001

Die VdS-Richtlinien sind bewusst aufwärtskompatibel angelegt. Der Normgeber beschreibt die eigenen Anforderungen als Teilmenge dessen, was die ISO 27001 verlangt, und empfiehlt für die Klassifizierung ausdrücklich eine Schutzbedarfsanalyse nach ISO/IEC 27001 oder BSI-Standard 200-2. Wer diese Empfehlung von Anfang an befolgt, macht sich den späteren Umstieg deutlich leichter.

Nützlicher als eine Prozentangabe zur Abdeckung ist die Frage, was beim Umstieg tatsächlich fehlt. Fünf Elemente verlangt die ISO 27001, die in der VdS 10000 kein Gegenstück haben.

Der Weg von der VdS 10000 zur ISO 27001: die technischen und organisatorischen Maßnahmen tragen weitgehend, ergänzt werden müssen vor allem die formalen Managementsystem-Elemente.

"Im Audit fällt selten die Technik durch. Was fehlt, sind die formalen Teile: die Anwendbarkeitserklärung, das Auditprogramm, die Managementbewertung. Wer von der VdS 10000 auf die ISO 27001 wechselt, hat die Sicherheit meistens schon. Er muss sie nur noch in der Form nachweisen, die die Norm verlangt."

Bettina Stearn, ISO/IEC 27001 Auditorin bei SECJUR

Praktisch heißt das: Wer den Umstieg plant, sollte die Anwendbarkeitserklärung zuerst angehen und nicht zuletzt. Sie zwingt dazu, jedes Control anzusehen, und deckt dabei die Lücken auf, die in den übrigen vier Punkten sowieso zu schließen sind. Im SECJUR Digital Compliance Office liegt dieser Unterbau in einem System, aus dem sich die Nachweise für mehrere Rahmenwerke parallel erzeugen lassen, sodass ein Wechsel keine Neuaufnahme bedeutet.

Bleibt die Frage nach dem Einstieg. Wer noch gar nichts hat und im Inland unterwegs ist, kommt mit der VdS 10000 schneller zu einem vorzeigbaren Ergebnis. Wer die internationale Anforderung absehbar bekommt, spart sich mit der ISO 27001 einen Zwischenschritt. Beide Wege beginnen mit derselben Arbeit: einer Bestandsaufnahme, die zeigt, was schon da ist. Die Abgrenzung zum BSI-Grundschutz als drittem Rahmen behandeln wir separat, und die Grundlagen der VdS-Route stehen im Beitrag zur VdS 10000.