Praxisorganisation

Informationssicherheit: Pflichten und Wege nach den Standards des BSI

Was Gesetz und Berufssatzung verlangen, was das BSI empfiehlt und welcher Nachweis zu Ihrer Praxis passt, Stand 05.10.2026

1Kurz erklärt

Die Seite Informationssicherheit zeigt den Weg als Leiter. Unten stehen die Pflichten: Vorkehrungen gegen die Kenntnisnahme durch Unbefugte für jede Praxis (§ 10 Abs. 2 BS WP/vBP), bei Abschlussprüfungen die Sicherheit der Datenverarbeitung (§ 55b Abs. 2 Satz 2 Nr. 1 WPO) und IT-Dienstleister und Cloud-Dienste als Dienstleister (§ 50a Abs. 3 WPO). Darüber stehen die Wege des BSI: die kostenlose Selbstprüfung, das Testat nach der Basis-Absicherung und das ISO 27001-Zertifikat auf der Basis von IT-Grundschutz. Ein Zertifikat verlangen weder Gesetz noch Berufssatzung; Ihr Ziel nennen Sie im Praxisprofil.

Alle Kanzlei-Mitglieder sehen die Seite. Die zwei Fragen im Praxisprofil beantwortet die Organisations-Administration; Option und Zuständigkeit der Pflichten legen Sie auf der Seite der jeweiligen Pflicht fest.

2Ablauf

3So gehen Sie vor

Öffnen. Links auf Praxis klicken, dann oben Informationssicherheit.
Fragen beantworten. Unter Praxisprofil stehen zwei Fragen zur IT: wer sie betreut (die Praxis selbst, ein IT-Dienstleister oder überwiegend Cloud-Dienste) und ob die Praxis ihre Informationssicherheit nachweisen will. Solange sie offen sind, zeigt die Seite einen Hinweis.
Pflichten erledigen. Jede Pflicht auf der Leiter zeigt, ob sie für Ihre Praxis gilt, und führt mit Zur Pflicht zu ihrer Seite mit Option, Zuständigkeit und Status. IT-Dienstleister und Cloud-Dienste erfassen Sie im Dienstleisterregister.
Selbstprüfung. Der „Weg in die Basis-Absicherung“ des BSI prüft mit 19 Checklisten und rund 250 Fragen, wo Ihre Praxis steht; eine erste Erhebung dauert nach Angabe des BSI etwa zwei Tage. Das Ergebnis legen Sie als Nachweis bei der Pflicht Vorkehrungen gegen die Kenntnisnahme durch Unbefugte ab.
Nachweis nach außen. Haben Sie ein Testat oder ein Zertifikat als Ziel gewählt, ist diese Stufe markiert. Den Auditor beauftragt Ihre Praxis selbst; die Seite verlinkt die Angaben des BSI zu Ablauf, Gültigkeit und Kosten.

Beginnen Sie mit der Selbstprüfung, auch wenn Sie kein Zertifikat anstreben: Sie zeigt, was fehlt, und ihr Ergebnis ist zugleich der Nachweis Ihrer Vorkehrungen.

4Die Stufen im Vergleich

Stufe	Wer prüft	Gültigkeit	Kosten
Selbstprüfung (Weg in die Basis-Absicherung)	die Praxis selbst	kein Nachweis nach außen	kostenlos
Testat nach der Basis-Absicherung	ein beim BSI zertifizierter IT-Grundschutz-Auditor	zwei Jahre, nicht verlängerbar	Auditor nach Vereinbarung
ISO 27001-Zertifikat auf der Basis von IT-Grundschutz	ein vom BSI zertifizierter Auditor, Entscheidung durch das BSI	drei Jahre, mit jährlichen Überwachungsaudits	Auditor nach Vereinbarung, dazu Gebühren und Auslagen des BSI

5Gut zu wissen

Der „Weg in die Basis-Absicherung“ wurde für Kommunen entwickelt; für andere Organisationen können weitere Anforderungen hinzukommen. Er ist kein Standard, ersetzt kein Managementsystem für Informationssicherheit und betrachtet keine Anforderungen des Datenschutzes.
Grundschutz++ löst den IT-Grundschutz ab: Das BSI stellt die Methodik am 27.10.2026 vor; ab dem 01.01.2027 können Zertifizierungen nach ISO 27001 auf der Basis von Grundschutz++ beantragt werden, auf der Basis des bisherigen IT-Grundschutzes noch bis zum 30.11.2031.
NIS-2: Die Wirtschaftsprüfung ist in den Sektoren der Anlagen 1 und 2 des BSI-Gesetzes nicht genannt (Stand 05.10.2026).

6Häufige Fragen

Brauchen wir ein ISO 27001-Zertifikat?

Nein. Gesetz und Berufssatzung verlangen Vorkehrungen, aber kein Zertifikat. Ein Zertifikat kann sinnvoll sein, wenn Mandanten oder Ausschreibungen es verlangen.

Wo lege ich das Ergebnis der Selbstprüfung ab?

Bei der Pflicht Vorkehrungen gegen die Kenntnisnahme durch Unbefugte: Dort bestätigen Sie die Durchsicht und hängen das Ergebnis als Beleg an.