Der grundsätzliche Unterschied zwischen native und BSI ist, dass die Risikoanalyse beim BSI nach hinten geschoben wurde. Das BSI sagt, wenn Du die Vorgehensweise nach 200-1 (ISMS) und 200-2 (Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und Grundschutzcheck) umgesetzt hast, dann hast Du ein zertifizierbares Sicherheitsniveau erreicht. Außer, Du hättest einen erhöhten Schutzbedarf, dann muss eine Risikoanalyse erfolgen um die Restrisiken zu identifizieren und ein Risikobehandlungsplan für die identifizierten Risiken erstellt werden.
Die Risikoanalysen kannst Du dann nach 200-3 machen, oder nach 27005, oder nach eigener Senfsoße.
Den 200-4 brauchst Du nicht beachten, der ist nicht zeritifizierungsrelevant.
Deine Firma will vermutlich die ISO 27001 auf Basis IT-Grundschutz, weil bei Ausschreibungen im öffentlichen Bereich zukünftig ohne BSI-Zertifizierung des Auftragnehmers keine Klo-Reparatur mehr von Behörden beauftragt wird. Zu Deutsch, der Drops ist gelutsch und Du musst mit. Außer ihr seid nicht im öffentlichen Bereich unterwegs, dann leg Dir mal ein paar Argumente gegen den Grundschutz zurecht.
Ciao
Pitti (seit 2003 als Grundschutz-Fuzzi unterwegs)