CyberRisikoCheck nach DIN SPEC 27076: für wen er passt und was ab 50 Mitarbeitenden folgt
Das Wichtigste in Kürze
- Der CyberRisikoCheck ist ein Verfahren des BSI nach DIN SPEC 27076. In einem ein- bis zweistündigen Interview werden 27 Anforderungen aus sechs Themenbereichen abgefragt. Sie erhalten einen Bericht mit Bewertung und priorisierten Handlungsempfehlungen.
- Er richtet sich an kleine und Kleinstunternehmen mit weniger als 50 Beschäftigten. Eine Zertifizierung ist er nicht.
- Durchführen dürfen ihn nur IT-Dienstleister, die das BSI dafür geschult hat.
- Ab 50 Mitarbeitenden mit Microsoft 365 reicht eine Selbstauskunft meist nicht mehr. Kunden, Cyberversicherer und gegebenenfalls NIS2 verlangen Nachweise aus der tatsächlichen Konfiguration.
Viele Geschäftsführungen suchen einen Einstieg in das Thema IT-Sicherheit, der überschaubar ist und eine klare Antwort liefert. Der CyberRisikoCheck des BSI ist genau dafür gebaut. Ob er zu Ihrem Unternehmen passt, hängt vor allem von dessen Größe ab.
Was ist der CyberRisikoCheck?
Ein standardisiertes Beratungsverfahren auf Grundlage der DIN SPEC 27076. Ein geschulter IT-Dienstleister führt mit Ihnen ein ein- bis zweistündiges Interview und erfasst die Antworten in einer Webanwendung des BSI. Abgefragt werden 27 Anforderungen aus sechs Themenbereichen, von der Organisation über Datensicherung bis zum Schutz der IT-Systeme.
Am Ende steht ein Bericht mit einer Bewertung und Handlungsempfehlungen in der Reihenfolge, in der sie die größte Wirkung haben. Der Bericht nennt auch staatliche Fördermaßnahmen, die für die Umsetzung in Frage kommen. Den Aufwand beziffert das BSI auf etwa einen Beratertag.
Für wen ist er gedacht?
Für kleine und Kleinstunternehmen mit weniger als 50 Beschäftigten, typischerweise ohne eigene IT-Abteilung. Das Verfahren setzt bewusst auf ein Gespräch und nicht auf eine technische Prüfung: Es soll schnell zeigen, wo die größten Risiken liegen, ohne dass dafür Zugriff auf Ihre Systeme nötig ist.
Der CyberRisikoCheck ist keine Zertifizierung. Er ersetzt weder ein ISMS nach ISO 27001 noch einen Nachweis gegenüber Aufsicht oder Auditor.
Wer darf ihn durchführen?
Nur IT-Dienstleister, die das BSI qualifiziert hat. Voraussetzungen sind Erfahrung mit Sicherheitsberatungen, Referenzprojekte bei kleinen Unternehmen und eine Schulung zur Interviewmethode. Qualifizierte Dienstleister finden Sie auf der Karte des BSI. Das Schulungskonzept wird derzeit überarbeitet, neue Termine für Dienstleister nennt das BSI noch nicht. Den aktuellen Stand finden Sie auf der Seite des BSI zum CyberRisikoCheck.
Was ändert sich ab 50 Mitarbeitenden?
Mit der Größe wächst die Umgebung: mehr Konten, mehr Geräte, mehr externe Freigaben, oft ein IT-Dienstleister, der Microsoft 365 betreut. Gleichzeitig steigen die Anforderungen von außen.
- Kunden fragen in Lieferantenbewertungen nach MFA, Datensicherung und Zuständigkeiten.
- Cyberversicherer wollen Angaben zu MFA, Endgeräteschutz und Backups, die sich im Schadenfall belegen lassen.
- NIS2 kann ab 50 Beschäftigten greifen, wenn Ihr Unternehmen in einem der erfassten Sektoren tätig ist. Dann muss die Geschäftsleitung die Maßnahmen billigen und ihre Umsetzung überwachen.
Eine Selbstauskunft im Interview hilft hier nur begrenzt. Die Aussage „MFA ist aktiv“ stimmt oft, und trotzdem sind einzelne Konten ausgenommen. Solche Ausnahmen sieht man nur in der Konfiguration.
Was passt ab 50 Mitarbeitenden mit Microsoft 365?
Eine Prüfung, die die tatsächlichen Einstellungen ausliest und jeden Befund belegt. Unser Security Assessment prüft Microsoft 365, Entra ID und Intune mit reinen Leserechten: Anmeldung und MFA, Adminrechte, E-Mail-Schutz, Freigaben, Geräte sowie Protokolle und Datensicherung. Sie erhalten je Befund Fundstelle, Priorität und Aufwand, eingeordnet nach NIS2, ISO 27001 und BSI IT-Grundschutz, zum Festpreis.
Haben Sie bereits einen CyberRisikoCheck durchlaufen, ist der Bericht ein guter Ausgangspunkt. Das Assessment zeigt dann, wie die Punkte in Ihrem Tenant tatsächlich umgesetzt sind.
Häufig gestellte Fragen
Ist der CyberRisikoCheck eine Zertifizierung?
Nein. Er ist eine standardisierte Beratung mit einem Bericht und Handlungsempfehlungen. Ein Zertifikat oder Siegel für Ihr Unternehmen entsteht daraus nicht.
Gilt die DIN SPEC 27076 auch für größere Unternehmen?
Die DIN SPEC 27076 ist für Unternehmen mit weniger als 50 Beschäftigten geschrieben. Größere Unternehmen können die Anforderungen als Orientierung nutzen, brauchen für Kunden, Versicherer und NIS2 aber meist einen belastbaren Nachweis aus ihren Systemen.
Wie lange dauert ein Security Assessment im Vergleich?
Der CyberRisikoCheck dauert etwa einen Beratertag. Ein Security Assessment für Microsoft 365 umfasst Erhebung, Bewertung, Bericht und einen Workshop mit Geschäftsführung und IT. Dauer und Festpreis stehen vor Beginn fest.