DIN SPEC 27076: CyberRisikoCheck für kleine Firmen

Dieser Beitrag beschreibt ein Verfahren des BSI aus Anwendersicht. TakFlow ist nicht Herausgeber des CyberRisikoChecks und erbringt keine Rechtsberatung.

Ein Betrieb mit fünfzehn Beschäftigten, der wissen möchte, wie es um seine IT-Sicherheit steht, hat bislang eine unangenehme Auswahl: ein Audit nach ISO 27001 oder IT-Grundschutz, das für diese Größe unverhältnismäßig ist, oder eine Checkliste aus dem Internet, die niemand auswertet. Das BSI hat für genau diese Lücke ein Verfahren aufgesetzt – den CyberRisikoCheck auf Grundlage der DIN SPEC 27076.

Der Check ist nützlich, aber er wird häufig für mehr gehalten, als er ist. Dieser Beitrag beschreibt, was dabei tatsächlich entsteht, für wen das Verfahren gedacht ist, was es ausdrücklich nicht leistet und in welchem Verhältnis es zu NIS-2 steht.

DIN SPEC 27076 regelt die Beratung, nicht die Sicherheit

Die aktuelle Fassung ist die DIN SPEC 27076:2023-05 mit dem Titel „IT-Sicherheitsberatung für Klein- und Kleinstunternehmen”. Sie umfasst 34 Seiten, ist im PAS-Verfahren entstanden – also eine Spezifikation und keine DIN-Norm – und steht kostenfrei zum Download bereit. Wer wissen will, wonach gefragt wird, kann das Dokument selbst lesen, ohne es zu kaufen.

Der inhaltliche Ausgangspunkt ist eine Feststellung, die das BSI selbst trifft: Die etablierten Vorgehensweisen seien insbesondere für Unternehmen mit weniger als 50 Beschäftigten nicht optimal geeignet. Für einen Handwerksbetrieb, eine Kanzlei oder ein Planungsbüro ist der Aufbau eines Informationssicherheits-Managementsystems kein realistischer erster Schritt. Die DIN SPEC beschreibt deshalb nicht, wie ein Unternehmen sicher wird, sondern wie eine Beratungsleistung ablaufen soll, an deren Ende ein Unternehmen weiß, wo es steht.

Das BSI hat daraus ein konkretes Verfahren gemacht, den CyberRisikoCheck, und nennt als Finanzierung des Projekts das Bundesministerium für Wirtschaft und Klimaschutz.

Der Check ist ein Interview über 27 Anforderungen, kein technischer Scan

Geprüft werden 27 Anforderungen aus sechs Themenbereichen. Die Erhebung erfolgt nicht durch ein Werkzeug, sondern in einem – so die Formulierung des BSI – „ein- bis zweistündigen Interview zur IT-Sicherheit im Unternehmen”, das ein IT-Dienstleister mit dem Unternehmen führt. Die sechs Themenbereiche und die einzelnen Anforderungen sind in der DIN SPEC ausgeschrieben.

Dieses Format hat eine wichtige Konsequenz, die selten deutlich gesagt wird: Der Check misst, was organisiert ist, nicht was technisch erreichbar ist. Er fragt, ob Backups getrennt liegen und ob eine Wiederherstellung getestet wurde – er stellt nicht fest, ob auf einem Server im Nebenraum eine ungepatchte Anwendung läuft. Ein Interview kann keine Schwachstelle finden.

Daraus folgt die zweite Konsequenz: Das Ergebnis ist nur so belastbar wie die Antworten. Wer im Gespräch das gewünschte Bild zeichnet, bekommt einen Bericht, der dieses Bild bestätigt und wertlos ist. Der Nutzen des Verfahrens liegt vollständig in den Lücken, die es sichtbar macht.

Das Ergebnis ist ein Bericht mit Punktzahl, Handlungsempfehlungen und Förderhinweisen

Nach dem Interview erzeugt die kostenfreie Webanwendung des BSI einen Bericht. Er enthält laut BSI „die Punktzahl und für jede nicht erfüllte Anforderung eine Handlungsempfehlung” – zusätzlich werden passende Fördermöglichkeiten auf Bundes-, Landes- und kommunaler Ebene ausgewiesen.

Drei Eigenschaften dieses Berichts sind praktisch relevant:

Er ist priorisiert. Die Empfehlungen sind auf die Größenordnung kleiner Unternehmen zugeschnitten, nicht auf eine Konzern-IT. Es entsteht keine Liste mit 300 Punkten.
Er gehört dem Unternehmen. Der Bericht geht an das Unternehmen, nicht an eine Aufsichtsbehörde. Es gibt keine Meldung und keine Registrierung, die daraus folgt.
Er ist eine Momentaufnahme. Er beschreibt den Stand am Tag des Interviews. Nach einem Serverwechsel, einem Umzug in die Cloud oder einer Übernahme beschreibt er ihn nicht mehr.

Der Hinweis auf Fördermöglichkeiten ist der Teil, der am häufigsten übersehen wird. Ob ein konkretes Programm im Einzelfall passt und ob die Voraussetzungen erfüllt sind, muss allerdings vor der Beauftragung geklärt werden – der Bericht weist auf Programme hin, er bewilligt nichts.

Gedacht ist das Verfahren für Klein- und Kleinstunternehmen

Die Zielgruppe ist im Titel der DIN SPEC benannt und vom BSI mit der Größenordnung von weniger als 50 Beschäftigten umrissen. Für Unternehmen in dieser Größe ist der Check ein sinnvoller erster Schritt, weil er wenig Zeit kostet und trotzdem strukturiert vorgeht.

Für ein Unternehmen mit mehreren hundert Beschäftigten, eigener IT-Abteilung oder bereits laufendem Sicherheitsmanagement ist er dagegen der falsche Maßstab. Dort sind IT-Grundschutz oder ISO 27001 die passende Spur, und ein Check mit 27 Anforderungen würde ein Sicherheitsniveau bescheinigen, das für diese Organisationsgröße ohnehin zu niedrig angesetzt ist. Auch das gehört zu einer ehrlichen Einordnung: Nicht jedes Unternehmen sollte diesen Check machen.

Was der CyberRisikoCheck ausdrücklich nicht ist

Diese Abgrenzung ist der wichtigste Abschnitt dieses Beitrags, weil sich um das Verfahren herum bereits Marketing gebildet hat.

Keine Zertifizierung. Es gibt kein Zertifikat, kein Siegel für die Unternehmenswebsite und keine Bescheinigung eines Sicherheitsniveaus gegenüber Dritten. Was es gibt, ist ein Bericht für das eigene Haus.
Kein Penetrationstest und kein Schwachstellenscan. Es wird nichts aktiv geprüft, nichts angegriffen und nichts gescannt.
Keine Aussage zur NIS-2-Konformität. Die 27 Anforderungen sind nicht aus dem BSI-Gesetz abgeleitet. Ein guter Punktwert ist kein Nachweis gesetzlicher Pflichten, und er sollte auch nirgends als solcher eingereicht werden.
Kein Ersatz für IT-Grundschutz oder ISO 27001. Das Verfahren ersetzt kein Managementsystem, es ersetzt das Nichts, das vorher da war.
Keine Rechts- oder Datenschutzberatung. Der Check bewertet keine DSGVO-Pflichten und keine Vertragslage.
Kein Dauerzustand. Ohne Umsetzung ändert der Bericht nichts. Er ist eine Diagnose, keine Behandlung.

Für NIS-2 sagt ein guter Check nichts aus – für Ihre Kunden möglicherweise doch

Das deutsche NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Anfang Januar 2026 hat das BSI den zweiten Schritt der Registrierung freigeschaltet und beziffert die Zahl der betroffenen Unternehmen und Bundeseinrichtungen auf rund 29.500.

Ob ein Unternehmen dazugehört, entscheidet sich zuerst über den Sektor: Nur wer unter eine der Einrichtungsarten der Anlagen 1 oder 2 des BSIG fällt, kommt überhaupt in Betracht. Erst danach greifen die Größenkriterien – für besonders wichtige Einrichtungen mindestens 250 Beschäftigte oder ein Jahresumsatz über 50 Millionen Euro und zudem eine Jahresbilanzsumme über 43 Millionen Euro, für wichtige Einrichtungen mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro. Die Unternehmensgröße allein löst NIS-2 nie aus. Wer diese Prüfung sauber führen will, findet die praktischen Schritte im Beitrag zum pragmatischen Einstieg in NIS-2.

Für die Zielgruppe des CyberRisikoChecks – Betriebe unter 50 Beschäftigten – bedeutet das in den allermeisten Fällen: nicht direkt betroffen. Damit ist das Thema aber nicht erledigt, und zwar aus zwei Richtungen:

Über die Lieferkette. Zu den Risikomanagementmaßnahmen, die § 30 BSIG von regulierten Einrichtungen verlangt, gehört die Sicherheit der Lieferkette. Regulierte Kunden geben diese Anforderung weiter – in Ausschreibungen, Lieferantenfragebögen und Verträgen. Ein kleiner Zulieferer bekommt die Anforderungen dann vertraglich, nicht gesetzlich. Sie sind deshalb nicht weniger verbindlich.

Über die Inhalte. Die Grundlagen, die ein CyberRisikoCheck abfragt – Zugänge und Rechte, Mehrfaktor-Authentifizierung, Datensicherung und Wiederherstellung, Updates, Umgang mit Vorfällen, Dienstleistersteuerung –, sind genau die Punkte, nach denen ein regulierter Kunde fragen wird. Die Vorbereitung überschneidet sich also erheblich.

Überschneidung ist jedoch keine Gleichsetzung. Ein Bericht mit guter Punktzahl beantwortet den Fragebogen eines Kunden inhaltlich vielleicht zu großen Teilen. Als Konformitätsnachweis taugt er nicht, und er sollte auch nicht so präsentiert werden.

Qualifizierte Anbieter stehen im Verzeichnis des BSI

Nach der DIN SPEC arbeiten darf grundsätzlich jeder IT-Dienstleister. Wer jedoch die kostenfreie Webanwendung des BSI nutzen und vom BSI gelistet werden möchte, muss eine verpflichtende Schulung besuchen. Das BSI beschreibt sie als „ca. zweistündige Schulungsveranstaltung”, die kostenfrei ist und „in Präsenz und auch als virtuelle Veranstaltung angeboten” wird. Teilnehmende erhalten eine Teilnahmebescheinigung, die Zugangsdaten zur Webanwendung, die Erlaubnis zur Nutzung des CyberRisikoCheck-Logos nach den Nutzungsbedingungen – und sie werden in die Liste der qualifizierten IT-Dienstleister auf der BSI-Website aufgenommen.

Für Unternehmen, die einen Check beauftragen wollen, ergibt sich daraus eine sehr konkrete Empfehlung: Prüfen Sie die Qualifikation im Verzeichnis des BSI, nicht auf der Website des Anbieters. Das BSI führt die Liste selbst und stellt sie zusätzlich als interaktive Landkarte bereit. Wer den offiziellen CyberRisikoCheck mit der BSI-Webanwendung durchführt, ist dort auffindbar. Eine Formulierung wie „Check nach DIN SPEC 27076” auf einer Anbieterseite ist kein Beleg für eine Listung.

Was Sie vor dem Interview zusammentragen sollten

Ein bis zwei Stunden sind knapp bemessen. Wer die folgenden Angaben vorher beisammen hat, bekommt ein deutlich brauchbareres Ergebnis:

eine Liste der eingesetzten Systeme, Anwendungen und Cloud-Dienste
wer administrative Rechte besitzt – auch bei externen Dienstleistern
wo Sicherungen liegen, wie oft sie laufen und wann zuletzt eine Wiederherstellung getestet wurde
welche Dienste aus dem Internet erreichbar sind, einschließlich Fernzugriffen
welche Geräte im Einsatz sind, auch private und mobile
welche Systeme keine Herstellerunterstützung mehr erhalten
welche Dienstleister worauf Zugriff haben und was vertraglich vereinbart ist
wer im Notfall entscheidet und wer erreichbar ist

Ein Hinweis, der sich lohnt: Die unangenehmen Antworten sind die wertvollen. Ein Bericht, der nichts findet, hat nichts gebracht.

Nach dem Bericht entscheidet, wer welche Empfehlung bis wann umsetzt

Der häufigste Verlauf ist, dass ein guter Bericht abgelegt wird. Damit das nicht passiert, hilft eine simple Dreiteilung der Empfehlungen direkt im Anschluss an das Gespräch:

Sofort und günstig – Mehrfaktor-Authentifizierung für administrative Zugänge, überflüssige Administratorrechte entziehen, ungenutzte Konten schließen, ausstehende Updates einspielen. Diese Punkte brauchen kein Budget, sondern einen Termin.
Planbar – ein getesteter Wiederherstellungslauf, getrennte Sicherungen, Netztrennung, Protokollierung, Dokumentation der wichtigen Systeme. Hier sind Aufwand und Reihenfolge zu klären.
Entscheidung der Leitung – Budget, Ablösung nicht mehr unterstützter Systeme, Wechsel oder Nachverhandlung mit Dienstleistern. Diese Punkte bleiben liegen, wenn sie an der IT hängen bleiben.

Jeder Punkt braucht eine verantwortliche Person und ein Datum. Und weil der Bericht eine Momentaufnahme ist, ist es sinnvoll – das ist eine Empfehlung aus der Praxis, keine Vorgabe des Verfahrens –, ihn nach größeren Änderungen an der IT-Umgebung erneut zu erheben statt nach einem festen Kalenderrhythmus.

Für die Umsetzung der technischen Punkte ist keine Listung nötig: Zugänge, Berechtigungen, Backup und Restore, Systemhärtung, Updates, Netzsegmentierung, Protokollierung und Dokumentation sind genau die Arbeiten, die im IT-Sicherheitscheck und Hardening beschrieben sind. Penetrationstests, Zertifizierungen und Rechtsberatung gehören ausdrücklich nicht dazu.

Handlungsaufruf

Sie haben einen Bericht mit Empfehlungen – oder wissen auch ohne Check, welche Punkte offen sind? Schildern Sie kurz Ihre Ausgangslage. Wir ordnen die technischen Maßnahmen nach tatsächlichem Risiko, setzen die vereinbarten Punkte um und dokumentieren den Stand. Die Durchführung des offiziellen CyberRisikoChecks ist eine eigene Leistung; wer sie anbietet, ist im Verzeichnis des BSI gelistet und dort überprüfbar.

Technische Ausgangslage besprechen

Weiterführend: IT-Sicherheitscheck und Hardening · NIS-2 in Deutschland: Was Unternehmen praktisch prüfen sollten

DIN SPEC 27076 und der CyberRisikoCheck: Eine Standortbestimmung für kleine Unternehmen – mit klaren Grenzen