Ein Control-Set, zwei Audits: IT-Grundschutz und ISO 27001 nachvollziehbar mappen

Ein Mapping zwischen IT-Grundschutz und ISO 27001 ordnet Anforderungen gemeinsamen Maßnahmen und Nachweisen zu. Es zeigt mögliche Überschneidungen und verbleibende Lücken. Die Zuordnung kann doppelte Pflege reduzieren, beweist aber für sich genommen keine Erfüllung. Für jede Anforderung muss erkennbar sein, welche Umsetzung in welchem Geltungsbereich tatsächlich geprüft wurde.

Ein kleines Sicherheitsteam kann eine Zugriffsprüfung einmal organisieren und anschließend ihre Eignung als Nachweis für mehrere Anforderungen getrennt bewerten. Das folgende Arbeitsmodell ist ein Praxisvorschlag. Es ersetzt weder den Normtext noch die Festlegung des konkreten Auditumfangs.

Zuerst Geltungsbereich und Versionen festhalten

Stellen Sie vor jeder Zuordnung fest, welche Ausgaben verwendet werden. ISO/IEC 27001:2022 und die von Ihnen angewendete Ausgabe des IT-Grundschutz-Kompendiums gehören in den Kopf der Mapping-Datei. Ergänzen Sie maßgebliche Änderungen, Prüfgrundlagen und das Datum der fachlichen Prüfung. Eine Zuordnung aus einer älteren Normausgabe muss vor ihrer Weiterverwendung überprüft werden.

Das BSI hat die Zuordnung zu ISO/IEC 27001:2022 auf Grundlage des Kompendiums 2023 überarbeitet und beim vierten IT-Grundschutz-Tag 2023 über die Veröffentlichung berichtet. Die Tabelle ist ein Ausgangspunkt für Zuordnungen. Maßgeblich bleiben die für Ihr Verfahren geltenden Anforderungen und ihre Umsetzung.

Prüfen Sie außerdem, ob beide Betrachtungen denselben Geltungsbereich haben. Ein Nachweis aus der Verwaltung deckt die Produktion nicht automatisch ab. Prüfen Sie dafür Ihre Grundschutz-Vorgehensweise und den zugehörigen IT-Grundschutz-Rahmen.

Eigene Maßnahmen von Normreferenzen trennen

Geben Sie jeder intern umgesetzten Kontrolle eine stabile Kennung. Beispielsweise beschreibt CTRL-007 die regelmäßige Prüfung privilegierter Zugriffe auf festgelegte Anwendungen. In dieser internen Beschreibung stehen Zuständigkeit, Prüfumfang, Auslöser, Durchführung und Umgang mit Abweichungen. Sie bleibt verständlich, auch wenn sich eine Normreferenz später ändert.

In einer getrennten Zuordnung verbinden Sie diese Kontrolle mit den relevanten Anforderungen. Eine Kontrolle kann zu mehreren Referenzen beitragen. Umgekehrt kann eine einzelne Anforderung mehrere Kontrollen benötigen. Modellieren Sie diese Beziehungen ausdrücklich, statt jeder Kontrolle nur eine Normnummer zu erlauben.

ISO beschreibt ISO/IEC 27001:2022 als Anforderungen an ein Informationssicherheitsmanagementsystem mit einem an die Organisation angepassten Risikomanagement. Erfassen Sie deshalb neben technischen Kontrollen auch die Managementprozesse und die Begründung der Maßnahmenauswahl im jeweiligen Kontext.

Eine Mapping-Vorlage mit Begründung verwenden

Feld	Wozu es dient
Interne Control-ID	Stabile Verbindung zur tatsächlich betriebenen Maßnahme
Beschreibung und Verantwortung	Zeigt, was wer in welchem Umfang ausführt
Normreferenz mit Version	Verhindert die Vermischung unterschiedlicher Ausgaben
Geltungsbereich	Grenzt erfasste Prozesse, Standorte und Systeme ab
Zuordnungsbegründung	Erklärt, welchen Teil der Anforderung die Kontrolle unterstützt
Abdeckung	Unterscheidet vollständig, teilweise und noch ungeprüft
Nachweis und Prüfzeitraum	Verbindet die Zuordnung mit überprüfbarem Betrieb
Restlücke	Zeigt fehlende Umsetzung samt Aufgabe und Verantwortung
Prüfer und Prüfdatum	Macht die fachliche Entscheidung nachvollziehbar

Die Begriffe für Abdeckung sind eigene Arbeitsstatus. Definieren Sie intern, welche Prüfung für „vollständig“ nötig ist. Begründen Sie gesondert, weshalb eine Anforderung nicht anwendbar ist. Fehlende Nachweise sind dafür kein Grund.

Am Beispiel einer Zugriffsprüfung die Grenzen erkennen

Im fiktiven Beispiel prüft der Anwendungsverantwortliche vierteljährlich privilegierte Konten. Das Nachweispaket enthält die zum Stichtag vollständige Kontenliste, dokumentierte Entscheidungen und Belege für tatsächlich entfernte Rechte. Dieses Paket kann mehrere Anforderungen zu Zugriffsrechten unterstützen.

Für die Genehmigung neuer Berechtigungen, die zeitnahe Bearbeitung von Austritten und die Überwachung technischer Konten brauchen Sie ergänzende Abläufe und Belege. Die Zuordnung bleibt deshalb teilweise, wenn eine Anforderung einen größeren Umfang hat als der vorhandene Prozess.

Die Grundschutz-Modellierung hilft, Anforderungen den richtigen Zielobjekten zuzuweisen. Mit dem Grundschutz-Check prüfen Sie danach den Umsetzungsstand. Beides bleibt erforderlich, auch wenn eine Mapping-Tabelle bereits viele Verbindungen enthält.

Wenn Ihr Team mehrere Regelwerke gemeinsam betreut, prüfen Sie KaitoSec für den Mittelstand anhand dieses Beispiels: eine interne Maßnahme, mehrere Referenzen und ein nachvollziehbar begründeter Abdeckungsstand.

Zwei Audits aus demselben Bestand vorbereiten

Erzeugen Sie je Audit eine Sicht auf den benötigten Geltungsbereich und die geltenden Referenzen. Der gemeinsame Nachweis bleibt derselbe, aber Auswahl und Begründung werden passend zusammengestellt. Prüfen Sie vor der Bereitstellung, ob Links erreichbar sind, der Zeitraum passt und die Prüfer die notwendigen Zugriffsrechte haben.

Unterscheiden Sie dabei ein eigenständiges ISO-27001-Audit und eine ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz. Für Letztere veröffentlicht das BSI eigene Prüfgrundlagen. Welche Prüfungen tatsächlich erforderlich sind, muss zu Ihrem Zertifizierungsziel passen.

Ordnen Sie nach dem Audit die Feststellungen der gemeinsamen Maßnahme zu. Anschließend prüfen Sie, welche weiteren Zuordnungen betroffen sind. Wird etwa der Umfang einer Zugriffsprüfung als unvollständig erkannt, darf derselbe Nachweis in einer anderen Sicht nicht ungeprüft grün bleiben.

Häufige Fragen zum Mapping

Ist ein Mapping ein Konformitätsnachweis?

Es belegt zunächst die Zuordnung. Die Erfüllung ergibt sich erst aus angemessener Umsetzung, passenden Nachweisen und der Prüfung im jeweiligen Geltungsbereich.

Muss jede Anforderung genau einer Kontrolle entsprechen?

Nein. Mehrfachzuordnungen in beide Richtungen sind sinnvoll. Entscheidend ist, dass Begründung und Restlücken sichtbar bleiben.

Kann derselbe Nachweis in beiden Audits verwendet werden?

Ja, wenn Inhalt, Zeitraum und Geltungsbereich für die jeweilige Prüfung passen. Seine Eignung wird pro Anforderung begründet.

Wie bleibt das Mapping aktuell?

Benennen Sie eine verantwortliche Rolle und prüfen Sie Zuordnungen bei Normänderungen, geänderter Umsetzung und Auditfeststellungen erneut.

Stand: 5. September 2026. Mapping-Felder und Control-Beispiel sind eigene Praxisvorschläge.