Wer als kleines Unternehmen wissen will, wie es um die eigene IT-Sicherheit steht, hatte lange zwei Optionen. Entweder ein kostenloses „Sicherheitscheck"-Gespräch, das in einem Angebot endet. Oder ein Audit nach ISO 27001, das für 20 Arbeitsplätze weder bezahlbar noch verhältnismäßig ist.
Die DIN SPEC 27076 schließt genau diese Lücke. Sie ist ein 2023 veröffentlichter Standard, der festlegt, wie eine IT-Sicherheitsberatung für kleine Unternehmen abzulaufen hat und was im Ergebnisbericht stehen muss. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat sie mit rund 20 Partnern entwickelt und stellt das Verfahren als „CyberRisikoCheck" bereit.
Der Unterschied zu einem Beratungsgespräch: Das Ergebnis ist vergleichbar, punktebasiert und nicht vom Verkaufsinteresse des Beraters abhängig.
Inhaltsverzeichnis
Was die DIN SPEC 27076 ist
Eine DIN SPEC ist eine Spezifikation – ein Stück unterhalb einer vollen DIN-Norm, aber standardisiert und öffentlich nachvollziehbar. Die DIN SPEC 27076 beschreibt kein Produkt, sondern ein Verfahren: Sie legt fest, welche Anforderungen abgefragt werden, wie das Gespräch zu führen ist, wie bewertet wird und welche Inhalte der Bericht enthalten muss.
Das ist der entscheidende Punkt für die Aussagekraft. Weil das Verfahren vorgegeben ist, hängt das Ergebnis nicht davon ab, wer den Check durchführt. Zwei Dienstleister, die nach DIN SPEC 27076 arbeiten, kommen bei gleichem Sachstand zum gleichen Punktwert. Das macht den Bericht zu einem Dokument, das man vorlegen kann – gegenüber der Geschäftsführung, gegenüber einem Versicherer, gegenüber einem Kunden.
Für wen sie gemacht ist
Die Spezifikation richtet sich ausdrücklich an kleine und Kleinstunternehmen mit weniger als 50 Mitarbeitenden. Diese Zahl ist kein Zufall – und sie ergibt in Kombination mit der Regulierung ein sauberes Bild:
| Unternehmensgröße | Passender Maßstab | Charakter |
|---|---|---|
| unter 50 Mitarbeitende | DIN SPEC 27076 / CyberRisikoCheck | Freiwillig, standardisierte Bestandsaufnahme |
| ab 50 Mitarbeitende in regulierten Sektoren | NIS2 (NIS2UmsuCG) | Gesetzliche Pflicht mit Bußgeldrahmen |
| unabhängig von der Größe, bei hohem Schutzbedarf | ISO 27001 / BSI IT-Grundschutz | Zertifizierbares Managementsystem |
Die beiden ersten Zeilen schließen sich nicht aus, sie greifen ineinander: Wo NIS2 endet, beginnt die DIN SPEC. Für Unternehmen, die nicht unter NIS2 fallen, aber über die Lieferkette Sicherheitsnachweise erbringen müssen, ist der CyberRisikoCheck derzeit das verhältnismäßigste Instrument.
Die sechs Themenbereiche
Geprüft werden 27 Anforderungen aus sechs Bereichen. Die Auswahl folgt keiner technischen Vollständigkeit, sondern der Frage, wo im Mittelstand tatsächlich die Schäden entstehen:
| Themenbereich | Worum es geht |
|---|---|
| Organisation und Sensibilisierung | Zuständigkeiten, Sensibilisierung der Mitarbeitenden, Notfallkontakte |
| Identitäts- und Berechtigungsmanagement | Zugriffsrechte, Authentifizierung, Rechtevergabe nach Notwendigkeit |
| Datensicherung | Backup-Konzept, Rücksicherungstests, getrennte Aufbewahrung |
| Patch- und Änderungsmanagement | Aktualität der Software, kontrollierte Änderungen |
| Schutz vor Schadprogrammen | Virenschutz bzw. EDR, E-Mail-Filter, Browserschutz |
| IT-Systeme und Netzwerke | Firewall, Netzwerksegmentierung, Absicherung der Systeme |
Auffällig an dieser Liste ist, wie wenig davon eine Investition erfordert. Zuständigkeiten, Notfallkontakte, Rechtevergabe und Rücksicherungstests kosten vor allem Entscheidung und Disziplin. Genau in diesen Bereichen fallen die meisten Unternehmen im Check durch – nicht bei der Technik.
Wie der CyberRisikoCheck abläuft
Der Ablauf ist bewusst schlank gehalten:
- Gespräch, ein bis zwei Stunden. Ein qualifizierter IT-Dienstleister befragt die Geschäftsführung – und, sofern vorhanden, die IT-Verantwortlichen – zu den 27 Anforderungen. Vor Ort oder per Video.
- Bewertung nach Vorgabe. Für die Antworten werden nach den Regeln der DIN SPEC Punkte vergeben. Der Dienstleister nutzt dafür eine Webanwendung, die das BSI kostenfrei bereitstellt.
- Bericht. Der Bericht enthält den erreichten Sicherheitsstand und die Handlungsempfehlungen – nach Dringlichkeit sortiert.
Was den Aufwand niedrig hält: Es gibt keine Systemprüfung, keine Software-Installation, keinen Scan. Der Check ist ein strukturiertes Gespräch. Das ist Stärke und Grenze zugleich – dazu unten.
Was im Ergebnisbericht steht
Der Bericht ist der eigentliche Gegenwert. Drei Bestandteile sind vorgegeben:
- Der Ist-Stand als Punktwert – nach Themenbereich aufgeschlüsselt, also mit erkennbaren Schwerpunkten statt einer Gesamtnote.
- Maßnahmen nach Dringlichkeit. Nicht alphabetisch, nicht nach Aufwand, sondern nach Risiko. Das ist die Reihenfolge, mit der ein Unternehmen ohne eigene IT-Abteilung arbeiten kann.
- Hinweise auf Fördermittel. Die Spezifikation sieht ausdrücklich vor, dass auf staatliche Förderprogramme auf Bundes-, Landes- und kommunaler Ebene hingewiesen wird. Dieser Punkt wird regelmäßig übersehen und ist für kleine Unternehmen oft der Unterschied zwischen „später" und „jetzt".
Was der Check nicht ist
Zur Aussagekraft gehört, die Grenzen zu benennen:
- Keine Zertifizierung. Es gibt kein Siegel und keinen Nachweis im Sinne einer ISO-27001-Zertifizierung. Der Bericht ist eine Bestandsaufnahme, kein Zertifikat.
- Kein technischer Test. Der Check fragt ab, er prüft nicht nach. Ob die Firewall tatsächlich richtig konfiguriert ist, zeigt erst ein interner Schwachstellenscan. Beides zusammen ergibt ein belastbares Bild – der Check die Organisation, der Scan die Technik.
- Kein NIS2-Nachweis. Wer unter NIS2 fällt, erfüllt seine Pflichten nicht durch einen CyberRisikoCheck. Der Check kann aber der erste Schritt zur Standortbestimmung sein.
- Keine Umsetzung. Der Bericht sagt, was zu tun ist. Getan ist damit nichts.
Wann er sich lohnt – und wann nicht
Sinnvoll ist der Check vor allem in vier Situationen: wenn IT bisher nebenbei mitläuft und niemand den Gesamtstand kennt; wenn ein Kunde oder Versicherer nach Sicherheitsnachweisen fragt; vor einem Wechsel des IT-Dienstleisters, um eine neutrale Ausgangsbasis zu haben; und wenn Investitionen anstehen und die Reihenfolge unklar ist.
Weniger sinnvoll ist er, wenn bereits ein gepflegtes Sicherheitskonzept mit dokumentierten Prozessen existiert – dann bestätigt der Check meist nur Bekanntes. Und er ist der falsche Einstieg, wenn ein akuter Vorfall läuft: Dann zählt der Notfallplan, nicht die Bestandsaufnahme.
Fazit
Die DIN SPEC 27076 ist der derzeit verhältnismäßigste Weg für Unternehmen mit weniger als 50 Mitarbeitenden, den eigenen IT-Sicherheitsstand belegbar zu bestimmen. Sie kostet ein bis zwei Stunden Gesprächszeit, liefert einen nach Dringlichkeit sortierten Maßnahmenplan samt Förderhinweisen – und ein Dokument, das man vorlegen kann. Sie ersetzt keine Zertifizierung und keinen technischen Test.
Höll führt den CyberRisikoCheck nach DIN SPEC 27076 für Unternehmen in Karlsruhe, Baden-Baden, Rastatt und Offenburg durch und begleitet die anschließende Umsetzung im Bereich IT-Sicherheit. Was danach kommt, zeigt die Übersicht zur IT-Betreuung für Unternehmen in Karlsruhe.
Quellen
- BSI – CyberRisikoCheck nach DIN SPEC 27076 (Verfahren, Webanwendung, Zielgruppe): bsi.bund.de
- BSI-Pressemitteilung zur Entwicklung der DIN SPEC mit rund 20 Partnern: bsi.bund.de
- DIN-SPEC-Dokument 27076 (Bezug über den Beuth-Verlag / DIN Media)
Stand: Juli 2026. Die Bezeichnungen der Themenbereiche folgen der DIN SPEC 27076; maßgeblich ist der Wortlaut des Dokuments.
Häufige Fragen
Was ist die DIN SPEC 27076?
Ein 2023 veröffentlichter Standard, der ein Verfahren für die IT-Sicherheitsberatung kleiner Unternehmen festlegt: 27 Anforderungen aus sechs Themenbereichen, ein vorgegebener Gesprächsablauf und ein Bericht mit definierten Inhalten. Das BSI hat sie mit rund 20 Partnern entwickelt.
Für welche Unternehmen ist der CyberRisikoCheck gedacht?
Für kleine und Kleinstunternehmen mit weniger als 50 Mitarbeitenden. Genau dort, wo NIS2 in der Regel nicht greift und eine ISO-27001-Zertifizierung unverhältnismäßig wäre.
Wie lange dauert ein CyberRisikoCheck?
Das Gespräch dauert ein bis zwei Stunden, vor Ort oder per Video. Es gibt keine Systemprüfung und keine Software-Installation.
Ist der CyberRisikoCheck eine Zertifizierung?
Nein. Es gibt kein Siegel und keinen Nachweis im Sinne einer ISO-27001-Zertifizierung. Der Bericht ist eine standardisierte Bestandsaufnahme mit Punktwert und Maßnahmenplan.
Erfüllt der CyberRisikoCheck die NIS2-Anforderungen?
Nein. Wer unter NIS2 fällt, erfüllt seine Pflichten nicht durch den Check. Er kann aber der erste Schritt zur Standortbestimmung sein.
Was kostet der CyberRisikoCheck?
Die Webanwendung stellt das BSI IT-Dienstleistern kostenfrei bereit; berechnet wird der Beratungsaufwand. Der Bericht weist zusätzlich auf Förderprogramme auf Bundes-, Landes- und kommunaler Ebene hin.