IT-Sicherheitskonzept ohne BSI-Grundschutz-Bürokratie: So geht's im Mittelstand

Was ist BSI-Grundschutz — und warum schreckt er KMU ab?

BSI-Grundschutz ist das Rahmenwerk des Bundesamts für Sicherheit in der Informationstechnik (BSI) für systematische IT-Sicherheit. Es besteht aus dem IT-Grundschutz-Kompendium mit mehreren hundert Bausteinen, detaillierten Sicherheitsanforderungen und einem aufwendigen Dokumentationsverfahren. Das Ziel ist berechtigt: Wer alle Bausteine konsequent umsetzt, erhält eine nachvollziehbare, auditierfähige IT-Sicherheitsarchitektur.

Doch diese Vollständigkeit hat ihren Preis. Ein typisches Grundschutz-Projekt dauert in mittelständischen Unternehmen 12 bis 24 Monate und bindet erhebliche personelle Ressourcen — entweder durch eigene Fachleute oder externe Berater. Die Kosten für eine vollständige BSI-Grundschutz-Implementierung inklusive Zertifizierung bewegen sich erfahrungsgemäß zwischen 40.000 und 150.000 Euro, abhängig von Unternehmensgröße und Ausgangslage. Mehrere tausend Seiten Sicherheitskonzept sind keine Seltenheit.

Für Betriebe mit 20 bis 150 Mitarbeitenden ist das selten im Verhältnis zum Nutzen — insbesondere dann, wenn weder ein gesetzlicher Zwang noch ein konkreter Kundenanspruch nach BSI-Zertifizierung besteht. In der Praxis gilt deshalb: Grundschutz wird gewählt, wenn er verlangt wird — nicht weil er freiwillig attraktiv wäre.

Für wen ist BSI-Grundschutz wirklich Pflicht?

BSI-Grundschutz ist nicht flächendeckend gesetzlich verpflichtend. Die tatsächliche Pflicht trifft zwei klar definierte Gruppen.

KRITIS-Betreiber müssen nach § 8a BSIG den „Stand der Technik“ in der IT-Sicherheit einhalten und alle zwei Jahre nachweisen. Der BSI-Grundschutz gilt hier als anerkannter Nachweis — er ist aber nicht das einzige akzeptierte Framework. Zu den betroffenen Sektoren gehören Energie, Wasser, Ernährung, Gesundheit, Finanzwesen, Transport und digitale Infrastruktur. Als KRITIS gilt, wer mit seinen Anlagen einen Schwellenwert von 500.000 versorgten Personen überschreitet. Für die überwiegende Mehrheit der KMU gilt das schlicht nicht.

Bundesbehörden und bestimmte öffentliche Stellen müssen IT-Grundschutz umsetzen, da das BSI als zuständige Behörde des Bundes eine entsprechende Verbindlichkeit vorgibt. Auch Zulieferer für Bundeskunden können im Einzelfall vertraglich zur Grundschutz-Zertifizierung verpflichtet werden.

Alle anderen Unternehmen — das ist der weitaus größte Teil des deutschen Mittelstands — unterliegen keiner Grundschutz-Pflicht. Was sie benötigen, ist kein Zertifikat, sondern ein wirksames, dem Risikoprofil angepasstes Sicherheitskonzept.

Was ändert NIS2 für den Mittelstand?

Die NIS2-Richtlinie der EU erweitert den Kreis der verpflichteten Unternehmen erheblich. Betroffen sind mittelgroße und große Unternehmen in insgesamt 18 Sektoren — von Energie über Gesundheit bis hin zu digitalem Service und verarbeitendem Gewerbe. Die Schwelle: mindestens 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz, sofern der Sektor als „wichtig“ oder „wesentlich“ eingestuft ist.

NIS2 schreibt keine Grundschutz-Zertifizierung vor. Die Richtlinie fordert die Umsetzung geeigneter technischer und organisatorischer Maßnahmen — also ein dokumentiertes Risikomanagement, Zugriffskontrollen, Backup-Konzepte, Meldepflichten bei Sicherheitsvorfällen und ein Incident-Response-Verfahren. Welches Framework Sie dafür nutzen, bleibt offen: BSI-Grundschutz, ISO 27001, CIS Controls — oder ein pragmatisch zugeschnittenes Eigenkonzept. Entscheidend ist die nachweisbare Umsetzung, nicht das gewählte Rahmenwerk. Ob Ihr Unternehmen betroffen ist, klärt der NIS2-Betroffenheitscheck in wenigen Minuten.

Wichtig: NIS2 trifft auch Unternehmen, die selbst nicht direkt betroffen sind, wenn sie Dienstleistungen für NIS2-Pflichtige erbringen. Lieferketten werden aktiv in die Pflicht genommen — das betrifft IT-Dienstleister, Softwareanbieter und andere kritische Zulieferer. Die Konsequenzen und Umsetzungsoptionen für den Mittelstand erklärt der Beitrag zur NIS2-Beratung für Mittelständler.

Welche Alternativen zum BSI-Grundschutz gibt es für KMU?

Drei Ansätze haben sich im Mittelstand als tragfähige Alternativen bewährt:

ISO 27001 ohne Zertifizierung. ISO 27001 beschreibt ein Informationssicherheits-Managementsystem (ISMS), das risikobasiert und skalierbar aufgebaut ist. Gegenüber dem BSI-Grundschutz ist der Dokumentationsaufwand geringer, und die Norm ist international anerkannt. Viele KMU nutzen ISO 27001 als strukturierten Rahmen, ohne eine formale Zertifizierung anzustreben — das ist legitim und deutlich günstiger. Eine Zertifizierung kostet in mittelständischen Unternehmen typischerweise 15.000 bis 40.000 Euro; ein gut umgesetztes ISMS ohne Audit ist erheblich günstiger.

CIS Controls (Center for Internet Security). Die 18 CIS Controls sind eine priorisierte Liste von Sicherheitsmaßnahmen, bewusst pragmatisch und umsetzungsorientiert gestaltet. Die ersten sechs Controls — auch „Basic“ genannt — decken die häufigsten Angriffsvektoren ab: Asset-Management, Software-Management, Datensicherung, Zugriffskontrollen und Netzwerkschutz. Für KMU ohne eigene Sicherheitsabteilung ist dieser Ansatz ideal: klare Prioritäten, überschaubare Maßnahmen, messbarer Fortschritt.

Maßgeschneidertes Sicherheitskonzept. Der pragmatischste Weg für viele KMU ist eine individuelle Risikoanalyse mit anschließendem Maßnahmenpaket. Was sind die tatsächlichen Risiken? Welche Systeme sind geschäftskritisch? Was würde ein Ausfall kosten? Daraus lassen sich konkrete, priorisierte Maßnahmen ableiten — ohne Framework-Overhead, aber mit nachvollziehbarer Struktur und Dokumentation.

Wie sieht ein pragmatisches IT-Sicherheitskonzept für KMU aus?

Ein praxistaugliches IT-Sicherheitskonzept für den Mittelstand besteht aus vier aufeinander aufbauenden Elementen:

Bestandsaufnahme und Risikoanalyse. Welche Systeme, Daten und Prozesse sind geschäftskritisch? Welche Bedrohungen sind für Ihr Unternehmen realistisch? Wo sind Sie heute angreifbar? Die Antworten unterscheiden sich erheblich zwischen einem Produktionsbetrieb und einer Steuerberatungskanzlei — und bestimmen die Prioritäten des Konzepts.

Technische Basismaßnahmen. Die häufigsten Angriffsvektoren lassen sich mit konsequent umgesetzten Kernmaßnahmen schließen: aktuelles Patch-Management für alle Endgeräte und Server, Multi-Faktor-Authentifizierung für alle externen Zugänge, regelmäßige und getestete Backups nach der 3-2-1-Regel sowie Netzwerksegmentierung zwischen Arbeitsplätzen, Servern und IoT-Geräten. Wer diese vier Bausteine sauber umsetzt, eliminiert die Mehrzahl realer Angriffswege — das BSI selbst nennt Patch-Management und MFA als die beiden effektivsten Einzelmaßnahmen.

Organisatorische Maßnahmen. Technik schützt nur so weit, wie Menschen sie korrekt nutzen. Dazu gehören klare Zuständigkeiten für IT-Sicherheit, ein Meldeprozess für Sicherheitsvorfälle, regelmäßige Awareness-Schulungen gegen Phishing sowie ein IT-Notfallplan für den Fall eines erfolgreichen Angriffs.

Dokumentation und Review. Ein Sicherheitskonzept ohne Dokumentation ist kaum nachweisbar — und kaum reproduzierbar. Ein schlankes Konzept von 15 bis 30 Seiten, das Ist-Situation, Risiken und Maßnahmen beschreibt, genügt für die meisten KMU vollständig. Jährliche Reviews stellen sicher, dass das Konzept mit dem Unternehmen mitwächst.

Sie zögern noch? Wann ein IT-Sicherheitskonzept wirklich passt

Ein IT-Sicherheitskonzept lohnt sich praktisch immer — die Frage ist, welchen Aufwand es rechtfertigt. Drei typische Ausgangssituationen:

• Kein Konzept vorhanden: Dann ist jetzt der richtige Zeitpunkt. Ein Einstiegsprojekt mit Bestandsaufnahme und Maßnahmenplan dauert in typischen KMU 4 bis 6 Wochen.
• Bestehendes Konzept veraltet: IT-Sicherheitskonzepte aus der Zeit vor 2020 entsprechen selten dem heutigen Bedrohungsbild. Cloud, mobiles Arbeiten und Ransomware haben die Anforderungen grundlegend verändert.
• Erstmaliger Kundendruck oder Versicherungsanforderung: Wenn Auftraggeber oder Cyber-Versicherer nach einem nachvollziehbaren Sicherheitskonzept fragen, ist ein strukturierter Rahmen — ISO 27001 oder CIS Controls — der direkteste Weg zur Antwort.

BSI-Grundschutz ist mächtig, aber für die meisten KMU überdimensioniert. Ein pragmatisches Konzept bietet 80 Prozent des Schutzes bei einem Bruchteil des Aufwands.

implec begleitet mittelständische Unternehmen im Rheinland seit 2002 beim Aufbau praxistauglicher IT-Sicherheitskonzepte — angepasst an tatsächliche Risiken, ohne Bürokratie-Overhead, mit nachvollziehbarer Dokumentation. Wenn Sie wissen möchten, wo Ihre IT heute steht, finden wir das in einem unverbindlichen Sicherheits-Check gemeinsam heraus.