ISO 27001 ist ein branchenunabhängiger, weltweit anerkannter Standard für Informationssicherheits-Managementsysteme (ISMS), der flexibel an die Bedürfnisse jeder Organisation angepasst werden kann. Im Gegensatz zu anderen branchenspezifischen Standards gibt ISO 27001 keine festen Maßnahmenkataloge vor, sondern definiert Anforderungen an ein ISMS. Unternehmen besitzen dadurch die Flexibilität, ihr ISMS individuell auf Risikosituation, Geschäftsmodell und Schutzbedarf auszurichten, während gleichzeitig die internationale Vergleichbarkeit und Auditierbarkeit erhalten bleibt. Durch diesen universellen Ansatz eignet sich ISO 27001 für jedes Unternehmen und jede Organisation, unabhängig von Größe, Branche oder Standort.

Der BSI IT-Grundschutz ist ein etablierter deutscher Standard des Bundesamts für Sicherheit in der Informationstechnik und bietet Organisationen eine sehr strukturierte und praxisorientierte Methodik zum Aufbau und Betrieb eines ISMS. Im Gegensatz zu flexibleren Standards arbeitet der IT-Grundschutz mit umfassenden Bausteinen und konkreten Maßnahmenkatalogen, die detaillierte Vorgaben für sichere Infrastrukturen, Prozesse und Rollen enthalten. Der BSI IT-Grundschutz eignet sich besonders für deutsche Behörden, öffentliche Einrichtungen und Unternehmen, die gesetzliche Vorgaben erfüllen oder sehr präzise Handlungsanweisungen umsetzen möchten.

TISAX (Trusted Information Security Assessment Exchange) ist ein branchenspezifischer Sicherheitsstandard der Automobilindustrie für den sicheren Umgang mit sensiblen Informationen und Prototypen, der auf dem VDA-ISA-Assessment basiert.  

TISAX ist speziell für die Lieferkette der Automobilindustrie entwickelt worden und legt besonderen Wert auf Geheimhaltungs- und Prototypenschutz. TISAX ist für Zulieferer, Dienstleister und Partner der Automobilbranche gedacht, bei denen Auftraggeber einen TISAX-Nachweis verlangen.

Die BAIT (Bankaufsichtliche Anforderungen an die IT) und VAIT (Versicherungsaufsichtliche Anforderungen an die IT) sind aufsichtsrechtliche Vorgaben der deutschen Finanzaufsicht (BaFin), die Mindeststandards für IT-Sicherheit, IT-Governance und IT-Risikomanagement definieren. Während BAIT für Banken und Finanzdienstleister gilt, richtet sich VAIT an Versicherungsunternehmen und Pensionsfonds. 

Beide Regelwerke sind verbindlich und werden regelmäßig weiterentwickelt. Sie fordern unter anderem ein belastbares Informationssicherheitsmanagement, IT-Risikomanagement, IT-Betriebssicherheit, Notfallmanagement, klare IT-Governance-Strukturen und stellen Anforderungen an Outsourcing und Drittanbieter. Die Einhaltung wird aktiv durch die Aufsicht überprüft. Bei Verstößen drohen aufsichtsrechtliche Maßnahmen, Auflagen und Bußgelder, weshalb eine strukturierte, nachweisbare und geprüfte Umsetzung essenziell ist.

DORA (Digital Operational Resilience Act) ist eine EU-Verordnung zur Stärkung der digitalen Resilienz des gesamten Finanzsektors. Die Verordnung wurde am 16. Januar 2023 veröffentlicht und ist seit dem 17. Januar 2025 vollständig in Kraft. Sie betrifft Banken, Versicherungen, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Krypto-Dienstleister, Fondsgesellschaften sowie als „kritisch“ eingestufte IT-Drittdienstleister. Gefordert werden Maßnahmen in den Bereichen IKT-Risikomanagement, Meldepflichten bei schweren IT-Vorfällen, Resilienztests, Drittanbieter-Management und Informationsaustausch zu Cyberbedrohungen. Es drohen empfindliche Bußgelder und Sanktionen; die Aufsicht (in Deutschland BaFin) kontrolliert streng.

Die NIS-2-Richtlinie setzt den regulatorischen Rahmen für Cybersicherheit auf europäischer Ebene fort und erweitert diesen signifikant im Vergleich zur Vorgängerrichtlinie. Der Bundestag verabschiedete die Richtlinie am 13. November 2025. Betroffen sind mittlere und große Unternehmen in kritischen und wichtigen Sektoren wie Energie, Gesundheit, Transport, digitale Infrastruktur, Verwaltung, Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, produzierendes Gewerbe, digitale Dienste und Forschung, sofern sie mindestens 50 Beschäftigte oder über 10 Mio. € Umsatz haben. Betreffende Unternehmen müssen umfassende Cybersicherheitsmaßnahmen einführen und Vorfälle melden.

Der EU AI Act ist die weltweit erste umfassende Regulierung für künstliche Intelligenz. Die Umsetzung erfolgt stufenweise: Seit 2. Februar 2025 gelten Verbote bestimmter KI-Systeme und Kompetenzanforderungen, seit 2. August 2025 Regeln für GPAI und Sanktionen, bis August 2027 alle Vorschriften (zuletzt für Hochrisiko-KI). Die Verordnung betrifft Anbieter, Betreiber, Importeure und Händler von KI-Systemen, unabhängig vom Standort des Unternehmens, sofern die Systeme in der EU genutzt oder in Verkehr gebracht werden. Je nach Risikoklasse umfasst die Regulierung Anforderungen an Risikomanagement, Datenqualität, Transparenz, Dokumentation, menschliche Aufsicht und Konformitätsprüfungen. Bei Verstößen drohen Bußgelder von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.

Die Kosten sind abhängig von der Unternehmensgröße, dem Umfang der Dienstleistungen sowie des Reifegrades der bestehenden Prozesse und Dokumentationen. Wir erstellen Ihnen gerne ein individuelles Angebot.

Die BDO Cyber Security GmbH bietet ein umfassendes Spektrum an Dienstleistungen im Bereich der IT-Sicherheit an. Dazu gehören unter anderem: 

• ISMS-Audit
• ISMS-Beratung
• externer Informationssicherheitsbeauftragter (ISB)

Das gesamte Portfolio unserer Dienstleistungen finden Sie hier.  

Wir freuen uns auf Ihre Kontaktaufnahme. 

Der Aufbau eines Informationssicherheitsmanagementsystems (ISMS) ist häufig sinnvoll, um den sicheren Austausch sensibler Informationen zu gewährleisten. Hierbei kann die DIN ISO 27001 als international anerkannter Standard eine geeignete Grundlage bieten. Die Auswahl des passenden Standards sollte jedoch stets auf die spezifischen Bedürfnisse des Unternehmens abgestimmt werden. Gerne helfen wir Ihnen dabei, den perfekten Standard zu bestimmen.

Zu welchen Regulatorien und Standards beraten wir? 

Wir können bei einer Vielzahl von Standards unterstützen, unter anderem 

• ISO/IEC 27001 
• ISO/IEC 27001 nach BSI IT-Grundschutz
• TISAX 

Weitere Informationen finden Sie hier.