BSI Forum : BSI optimiert Zertifizierungsverfahren für IT-Sicherheitsdienstleister : Modernisiertes Verfahren steigert Effizienz
Vor dem Hintergrund einer nachhaltig angespannten Cyberbedrohungslage ist in Deutschland der Bedarf an BSI-zertifizierten IT-Sicherheitsdienstleistern gestiegen. Das BSI hat reagiert und das zugehörige Verfahren modernisiert. Dienstleister können sich nun in einem kürzeren Verfahren zertifizieren lassen.
Jeder deutsche IT-Sicherheitsdienstleister kann beim BSI eine Zertifizierung beantragen. Wenn eine Organisation das Verfahren erfolgreich durchläuft, bestätigt das BSI, dass sie die Anforderungen erfüllt. Die Zertifizierung wird formal durch einen Bescheid auf Grundlage des Verwaltungsverfahrensgesetzes (VwVfG) ausgestellt. Zertifizierte Dienstleister werden in einer Liste auf der BSI-Webseite öffentlich bekannt gegeben.
Insbesondere im gesetzlich geregelten Bereich der Behörden wird bei bestimmten Tätigkeiten oder Ausschreibungen die BSI-Zertifizierung vorausgesetzt. Indem Behörden die damit verbundenen Sicherheitsprüfungen durchführen, erfüllen sie die Anforderungen, die der Umsetzungsplan Bund für IT-Sicherheit (UP Bund) an sie stellt.
Auch in der Wirtschaft gewinnt die BSI-Zertifizierung zunehmend an Bedeutung: IT-Dienstleister können sich damit gegenüber Wettbewerbern hervorheben. Besonders dieser Vorteil wird seit einigen Jahren immer wichtiger.
Zertifizierungsprogramme für verschiedene Bereiche
Um dem Auftrag des UP Bund zu entsprechen, betreibt das BSI seit dem Jahr 2011 verschiedene Zertifizierungsprogramme. Sie betreffen die Bereiche IS-Penetrationstests, IS-Revision sowie IS-Beratung und beschreiben jeweils die Verfahren zur Durchführung der Zertifizierung. Im Jahr 2023 ist der Bereich der Vorfallbearbeitung hinzugekommen.
Die Anforderungen an die Antragsteller lassen sich im Wesentlichen in zwei Abschnitte unterteilen: das Qualitätsmanagement und die Umsetzung des IT-Grundschutzes des BSI. Eine prüfende Person darf in dem entsprechenden Zertifizierungsprogramm nur dann eigenverantwortlich eingesetzt werden, wenn das BSI ihre Kompetenz auf Grundlage einer Personenzertifizierung oder Kompetenzfeststellung bescheinigt hat.
Gründe für die Überarbeitung der Verfahren
Die Nachfrage nach BSI-Zertifizierungen in den unterschiedlichen Programmen wächst stetig. Das ist einerseits eine positive Entwicklung, da sie den steigenden Bedarf im Markt nach vertrauenswürdigen und kompetenten Partnern auf dem Gebiet der IT-Sicherheit widerspiegelt. Andererseits erfordert diese Entwicklung Anpassungen seitens des BSI: Zum einen wachsen die verfügbaren Ressourcen nicht im gleichen Maß wie die Menge der Anträge. Zum anderen melden sich zunehmend Antragsteller aus Bereichen, die zuvor keine Berührungspunkte mit der Zertifizierung zum IT-Sicherheitsdienstleister hatten, zum Beispiel aus dem Segment der Wirtschaftsprüfung. Dadurch ergeben sich regelmäßig neue Aspekte und Fragen, die bei den Zertifizierungsverfahren berücksichtigt werden müssen und gegebenenfalls deren Anpassung erfordern.
Vor diesem Hintergrund hat das BSI die bestehenden Zertifizierungsprogramme überprüft. Dabei stand die Frage im Mittelpunkt, ob Anforderungen an die Antragsteller auch hinreichend durch alternative Nachweise belegt werden können. Im Herbst 2024 wurden zunächst die Anforderungen an das Qualitätsmanagement sowie an die Umsetzung des Grundschutzes überarbeitet.
Anstatt eigenständige Begutachtungen bei Antragstellern durchzuführen, greift das BSI nun auf externe Nachweise zurück. Dazu zählen etwa Akkreditierungen oder bestimmte Zertifikate. Besonders hilfreich ist dabei das Vorhandensein eines ISO-27001-Zertifikats auf der Basis von IT-Grundschutz – es bestätigt sowohl ein notwendiges Qualitätsmanagement als auch ein bewährtes Informationssicherheitsmanagement.
Kürzere Bearbeitungszeiten
Antragsteller haben die überarbeiteten Anforderungen überwiegend positiv aufgenommen. Einige von ihnen sind sogar während laufender Zertifizierungsverfahren auf die neue Vorgehensweise umgestiegen. Dadurch konnten die Bearbeitungszeiten der Anträge mehr als halbiert werden. Gleichzeitig stieg die Zahl der positiv beschiedenen Dienstleister. Allein 2025, im ersten Jahr der Umstellung, wurden zehn zusätzliche Dienstleister zertifiziert. Die durchschnittliche Verfahrenslaufzeit lag bei viereinhalb Monaten, 2024 hatte sie noch rund zwölf Monate gedauert.
Diese Entwicklung war Anlass, auch sogenannte „Langläufer“ genauer anzusehen, also Verfahren, die länger als üblich dauerten. Die Ursache lag vor allem in der Kompetenzprüfung durch das BSI. Daher wurden im Herbst 2025 weitere Verfahrensanpassungen vorgenommen: Die Fachkundeprüfung für Penetrationstester im BSI wurde eingestellt. Stattdessen akzeptiert das BSI nun ausgewählte externe Zertifikate. Sie erfüllen inhaltlich die Anforderungen des bisherigen Praxisteils der Prüfung durch das BSI. Eine Liste der akzeptierten Zertifikate ist auf der BSI-Webseite veröffentlicht. Im Dienstleister-Zertifizierungsprogramm „IS-Revision und IS-Beratung“ wurde die bisher verlangte Personenzertifizierung der IS-Revisorinnen und Revisoren eingestellt.
Stattdessen wird nun das Zertifikat eines Auditteamleiters oder einer -leiterin für die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz anerkannt. Die Zulassungsvoraussetzungen und die Anforderungen der IS-Revisoren-Zertifizierung stimmen weitgehend mit denen für Grundschutz-Auditteamleiter überein. Beide BSI-Zertifizierungen bestätigen die notwendigen Kenntnisse im Bereich des BSI-Grundschutzes und Erfahrung im Auditing nach ISO/IEC 27001. Da es etwa 100 zertifizierte Auditteamleiterinnen und -teamleiter gibt, wird eine separate IS-Revisoren-Zertifizierung nicht als notwendig angesehen, denn Engpässe dieser zertifizierten Personengruppen sind nicht zu erwarten.
Skalierbare und zukunftssichere Aufstellung
Die gestiegene Nachfrage nach Zertifizierungen für IT-Sicherheitsdienstleister zeigt, dass Unternehmen und Behörden Cybersicherheit und sichere Prozesse in der Digitalisierung im Fokus haben. Besonders die steigenden Anforderungen an die Wirtschaft durch die Umsetzung der NIS-2-Richtlinie werden den Bedarf weiter erhöhen. Die optimierten Abläufe und Vorgaben bei der BSI-Zertifizierung für IT-Sicherheitsdienstleister in den Bereichen IS-Penetrationstests, IS-Revision und IS-Beratung tragen dieser Entwicklung Rechnung. Das Team der BSI-Zertifizierung ist auf eine steigende Nachfrage vorbereitet.