VdS 10000 oder ISO 27001? Was Auftraggeber wirklich verlangen

Inhalt in Kürze

• VdS 10000 ist eine deutsche Richtlinie für kleine und mittlere Firmen, ISO 27001 eine internationale Norm. Beide führen zu einem Managementsystem für Informationssicherheit.
• Was reicht, entscheidet der Vertrag mit Ihrem Auftraggeber, nicht die Frage, welcher Weg leichter ist.
• Steht dort „ISO 27001“, brauchen Sie ISO 27001. Steht dort „oder gleichwertig“, fragen Sie nach, bevor Sie ein Projekt starten.
• Ein Gesetz, das ein bestimmtes Zertifikat vorschreibt, gibt es für die meisten Firmen nicht. Auch NIS2 verlangt Maßnahmen, keinen Stempel.

Der Einkauf eines Kunden schickt eine Mail: „Bitte weisen Sie Ihre Informationssicherheit nach.“ Ein Kollege hat von der VdS 10000 gehört, die sei viel kleiner als die ISO 27001. Ein anderer sagt, ohne ISO gehe heute gar nichts mehr. Beide haben ein bisschen recht. Welcher Weg für Sie passt, lässt sich vor dem Projekt klären, und zwar in einer Stunde.

VdS 10000 oder ISO 27001: Was die beiden Wege unterscheidet

Die VdS 10000 stammt von der VdS Schadenverhütung. Sie richtet sich an kleine und mittlere Unternehmen, an Kommunen und Verbände. Nach Angabe des VdS baut sie auf ISO 27001 und dem IT-Grundschutz des BSI auf. Die aktuelle Fassung 2025-01 gilt seit dem 01.01.2025.

Die ISO/IEC 27001 ist die internationale Norm für dasselbe Ziel. Ihr Anhang A nennt 93 Maßnahmen, zu denen jede Firma begründet entscheiden muss, ob sie gelten.

Die Zahl zum Aufwand ist eine Angabe des VdS selbst. Sie ist ein Hinweis auf die Größenordnung, keine Messung für Ihre Firma.

Die drei Stufen der VdS 10000

Der Vorteil der VdS-Welt sind ihre kleinen Zwischenschritte. Sie können anfangen, ohne sich gleich auf eine Zertifizierung festzulegen.

1. Quick-Check: eine Selbstauskunft im Browser. Sie beantworten Fragen zu Organisation, Technik und Vorsorge und sehen, wo Sie stehen.
2. Quick-Audit: baut auf dem Quick-Check auf. Eine unabhängige Stelle prüft, in der Regel einen Tag lang und aus der Ferne, und schreibt einen Bericht. Laut VdS nutzen auch Versicherer das Quick-Audit, um die Versicherbarkeit zu beurteilen.
3. Zertifizierung: die volle Prüfung des Managementsystems nach dem Verfahren VdS 10002.

Für sehr kleine Betriebe gibt es mit der VdS 10005 eine eigene Richtlinie mit Mindestanforderungen und einem Testat.

Was Auftraggeber wirklich verlangen

Hier fällt die Entscheidung. Lesen Sie die Anforderung Ihres Auftraggebers Wort für Wort:

• „Zertifikat nach ISO/IEC 27001“: Dann brauchen Sie genau das. Ein VdS-Zertifikat ersetzt es nicht, egal wie gut es ist.
• „ISO 27001 oder gleichwertig“: Fragen Sie, ob die VdS 10000 als gleichwertig gilt. Lassen Sie sich die Antwort schriftlich geben, bevor Sie ein Projekt beginnen.
• „Nachweis der Informationssicherheit“ ohne Norm: Oft reicht dann ein ausgefüllter Fragebogen mit Belegen. Wie Sie den ohne Zertifikat bestehen, steht in Security Questionnaire ohne ISO 27001 bestehen.
• Autoindustrie: Dort zählt meist TISAX, ein eigener Prüfweg. Den Unterschied erklärt TISAX, ISO 27001 oder NIS2.

NIS2 schreibt kein Zertifikat vor

Viele Anfragen kommen, weil der Auftraggeber unter NIS2 fällt. Dort verlangt § 30 Abs. 2 Nr. 4 BSIG Maßnahmen zur „Sicherheit der Lieferkette“. Ein bestimmtes Zertifikat steht dort nicht, und eine Pflicht, Lieferanten Fragebögen zu schicken, auch nicht.

Ihr Auftraggeber darf trotzdem im Vertrag ein Zertifikat verlangen. Dann gilt der Vertrag, nicht das Gesetz. Was Zulieferer auf NIS2-Fragebögen antworten, steht in unserem Leitfaden für Zulieferer. Wie sich NIS2 und ISO 27001 überschneiden, zeigt NIS2 vs. ISO 27001.

Weitere Wege, die Sie kennen sollten

• DIN SPEC 27076: eine Beratung für kleine und Kleinstunternehmen durch vom BSI geschulte IT-Dienstleister. Ein Bericht, kein Zertifikat.
• IT-Grundschutz des BSI: Mit dem Grundschutz++ (BSI-Standard 300-1) soll eine Zertifizierung ab 2027 möglich sein.
• Eigene Nachweise: Für viele Kunden reicht eine geordnete Selbstauskunft mit Belegen, solange sie ehrlich ist.

Aus der Praxis

Wir haben Mandanten, die sitzen seit drei Tagen an einem 120-Fragen-Excel und sind überzeugt, der Deal ist weg. Dann gehen wir das Ding gemeinsam in zwei Stunden durch – und am Ende gewinnen sie den Auftrag. Ohne Zertifikat, nur mit sauberen Antworten und den richtigen Dokumenten. Der Unterschied ist nicht, was Sie haben. Der Unterschied ist, was Sie aufschreiben können.

Jens HagelIT-Sicherheitsexperte bei frag.hugo

So entscheiden Sie in einer Stunde

• Anforderung im Wortlaut holen. Vertrag, Ausschreibung oder Mail des Einkaufs, nicht die Zusammenfassung eines Kollegen.
• Norm und Frist notieren. Welcher Nachweis, bis wann, für welchen Teil Ihrer Firma?
• Bei „gleichwertig“ nachfragen. Schriftlich, mit dem Namen der Richtlinie, die Sie planen.
• Stand ehrlich bestimmen. Was haben Sie heute schon, was können Sie belegen?
• Erst dann den Weg wählen. VdS 10000, ISO 27001 oder ein geordneter Nachweis ohne Zertifikat.

Für den ehrlichen Stand gibt es unseren kostenlosen IT-Sicherheits-Check: 30 Fragen, die Antworten bleiben in Ihrem Browser. In Hugo wird daraus eine Nachweismappe, die nur zeigt, was belegt ist. Wer sich für die ISO 27001 entscheidet, findet in ISO 27001 ohne Berater den Weg Schritt für Schritt und in Hugo ISMS den passenden Fahrplan.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der Leitfaden für den deutschen Mittelstand“ ausführlich behandelt. Jetzt herunterladen →

Ihr nächster Schritt

Häufige Fragen (FAQ)

Was ist die VdS 10000?

Die VdS 10000 ist eine Richtlinie der VdS Schadenverhütung für ein Managementsystem der Informationssicherheit in kleinen und mittleren Unternehmen. Sie baut nach Angabe des VdS auf ISO 27001 und IT-Grundschutz auf. Die aktuelle Fassung 2025-01 gilt seit dem 01.01.2025.

Ersetzt ein VdS-10000-Zertifikat die ISO 27001?

Nur, wenn Ihr Auftraggeber es so akzeptiert. Verlangt ein Vertrag ausdrücklich ISO 27001, reicht ein VdS-Zertifikat nicht. Steht dort „ISO 27001 oder gleichwertig“, fragen Sie nach und lassen sich die Antwort schriftlich geben.

Welche Stufen hat die VdS 10000?

Drei: den Quick-Check als Selbstauskunft im Browser, das Quick-Audit mit Bericht einer unabhängigen Stelle (in der Regel ein Tag, aus der Ferne) und die Zertifizierung nach dem Verfahren VdS 10002.

Verlangt NIS2 ein ISO-27001-Zertifikat?

Nein. § 30 BSIG verlangt Risikomanagementmaßnahmen, darunter die Sicherheit der Lieferkette. Ein bestimmtes Zertifikat schreibt das Gesetz nicht vor. Auftraggeber dürfen trotzdem eines im Vertrag verlangen.

Ist der Umstieg von VdS 10000 auf ISO 27001 später möglich?

Ja. Der VdS beschreibt seine Richtlinie als aufwärtskompatibel und als Einstieg in die ISO-27000-Reihe. Für die ISO 27001 kommen vor allem die Anwendbarkeitserklärung für alle 93 Maßnahmen aus Anhang A, das interne Auditprogramm und die Prüfung durch eine akkreditierte Zertifizierungsstelle dazu.