DIN SPEC 14027 in fünf Minuten. Was die neue Norm für Corporate Security regelt

Die DIN SPEC 14027 geht auf den Aktionsplan zur Nationalen Wirtschaftsschutzstrategie des Bundes zurück. Dort stand die Aufgabe, den Wirtschaftsgrundschutz von 2016 so weiterzuentwickeln, dass ihn auch Organisationen ohne große Sicherheitsabteilung anwenden können ². Das Bundesministerium des Innern hat die Erarbeitung initiiert und finanziert, DIN hat das Verfahren organisiert. Der Arbeitstitel Corporate Security Grundschutz ist bis heute die gebräuchliche Kurzbezeichnung ³.

Erarbeitet wurde das Dokument im PAS-Verfahren, also als Publicly Available Specification. Anders als eine klassische DIN-Norm entsteht eine DIN SPEC in einem zeitlich begrenzten Konsortium und ohne das volle Konsensverfahren der Normenausschüsse. Sie ist deshalb kein Teil des Deutschen Normenwerks und begründet keine Rechtspflicht ¹. Die Konsortialleitung lag beim Unternehmen BioNTech, die Stellvertretung beim Center for Intelligence and Security Studies der Universität der Bundeswehr München ³. Vorgestellt wurde die Norm am 19. März 2026 auf der Sicherheitstagung von Bundesamt für Verfassungsschutz und Verband für Sicherheit in der Wirtschaft in Berlin ⁴+15 wirtschaftsschutz.info, Neue DIN SPEC Corporate Security.

Der volle Titel lautet Corporate Security. Anforderungen zur Stärkung physischer Resilienz von Organisationen. Die ersten vier Abschnitte klären Anwendungsbereich, Verweisungen, Begriffe und den Aufbau des Dokuments. Dann folgen die Abschnitte 5 bis 20 mit den 16 Handlungsfeldern. Jedes Handlungsfeld ist gleich gegliedert. Ein allgemeiner Teil erklärt, worum es geht, ein Anforderungsteil beschreibt, was eine Organisation dafür tun muss oder sollte, und ein Abschnitt Schnittstellen zeigt, mit welchen anderen Handlungsfeldern das Thema zusammenhängt.

Die 16 Handlungsfelder sind Schutzbedarfsermittlung, Sicherheitslagebild, Sicherheitskultur und Kommunikation, Interne Untersuchung, Störungs-, Notfall- und Krisenmanagement, Business Continuity Management, Standortsicherheit, Personenschutz, Veranstaltungsschutz, Bedrohungsmanagement, Reisesicherheit, Integritätsprüfung, Know-how-Schutz, Lieferkettensicherheit, Auswahl und Steuerung von sicherheitsbezogenen Dienstleistungen sowie Aufbau und Betrieb eines Sicherheitsmanagementsystems.

Der eigentliche Prüfmaßstab steht im Anhang A. Dort gibt es zu jedem Handlungsfeld einen nummerierten Anforderungskatalog, der für jede Anforderung angibt, auf welchen der vier Sicherheitsniveaus sie gilt. Viele Anforderungen gibt es in zwei Fassungen, als Empfehlung für geringen und mittleren Schutzbedarf und als Pflicht für erhöhten und hohen. Anhang B ergänzt Hilfsmittel, darunter eine Übersicht typischer Bedrohungsszenarien und eine Liste interner Organisationsbereiche, die häufig als Schnittstellenpartner der Unternehmenssicherheit auftreten.

Das Herzstück der Norm ist die Schutzbedarfsermittlung in Abschnitt 5. Eine Organisation bestimmt zunächst ihre Werte, also Standorte, Anlagen, Menschen, Informationen und Prozesse, und bewertet für jeden Wert zwei Dimensionen. Die Assetkritikalität beschreibt, wie schwer ein Ausfall oder Schaden wiegen würde. Die Bedrohungsintensität beschreibt, wie wahrscheinlich und wie exponiert ein Wert gegenüber Bedrohungen ist. Beide Dimensionen werden in vier Stufen von A für sehr hoch bis D für niedrig eingeordnet und in einer Matrix kombiniert. Daraus ergibt sich der Schutzbedarf, der wiederum festlegt, welche Anforderungen aus den Katalogen gelten.

Die Norm unterscheidet dabei eine Bruttobewertung, die den Ist-Zustand mit den vorhandenen Maßnahmen beschreibt, und ein Nettorisiko, das nach Umsetzung des Schutzkonzepts verbleibt. Das Schutzkonzept muss die oberste Leitung freigeben, und es ist regelmäßig fortzuschreiben. Diese Logik sorgt dafür, dass ein Handwerksbetrieb mit einem Standort nicht dieselben Maßnahmen umsetzen muss wie ein Konzern mit kritischer Infrastruktur.

Die DIN SPEC 14027 konzentriert sich auf die physische Resilienz. Informationssicherheit und Cybersicherheit behandelt sie nicht selbst, sondern verweist auf die ISO 27001 und die einschlägigen Standards. Ebenfalls ausgeklammert sind Arbeitsschutz, Geheimschutz, Werkfeuerwehr, Fraud Prevention, Project Security und Security Controlling. Wer diese Themen abdecken will, braucht weiterhin die jeweiligen Fachnormen. Der Vorteil dieser Abgrenzung ist ein Dokument, das sich auf eine Disziplin konzentriert und dafür umso konkreter wird.

Die Norm nennt drei Nutzergruppen. Organisationen, die Unternehmenssicherheit erst aufbauen, bekommen mit den Handlungsfeldern eine Gliederung und mit den Katalogen eine Checkliste. Organisationen mit bestehenden Strukturen können einzelne Handlungsfelder ergänzen, etwa ein fehlendes Sicherheitslagebild oder eine Lieferkettenbetrachtung. Und Organisationen mit reifer Sicherheitsorganisation nutzen die Kataloge als Benchmark, um den eigenen Stand zu überprüfen. Dazu passt die ausdrückliche Erlaubnis, die Norm modular einzusetzen. Niemand muss alle 16 Handlungsfelder auf einmal angehen.

Die DIN SPEC 14027 konkurriert nicht mit den bekannten Managementsystemnormen, sie schließt eine Lücke daneben. ISO 27001 regelt die Informationssicherheit, ISO 22301 das Business Continuity Management, ISO 31000 das Risikomanagement und DIN ISO 28000 die Sicherheit in der Lieferkette. Auf diese Werke verweist die Norm und übernimmt deren Begriffe, wo es passt. Was bislang fehlte, war ein Standard für Werkschutz, Standortsicherheit, Personenschutz, Reisesicherheit und Lagebild, der nicht nur für Konzerne geschrieben ist. Genau diese Lücke füllt die DIN SPEC 14027 ⁶.

Mehrere Entwicklungen treiben die Nachfrage. Sabotage an Infrastruktur, Spionage, Drohnenvorfälle und Desinformationskampagnen haben die physische Sicherheit von Unternehmen in den vergangenen Jahren wieder zur Chefsache gemacht ²+15 wirtschaftsschutz.info, Neue DIN SPEC Corporate Security. Industrie- und Handelskammern, Verbände wie VSW und bayme vbm sowie Akademien bieten seit dem Frühjahr 2026 Veranstaltungen und Seminare zur Norm an ⁶+27 Verband für Sicherheit in der Wirtschaft (VSW), Meldung zur DIN SPEC 140278 bayme vbm, Neue DIN SPEC 14027 Corporate Security. Und weil die Norm frei verfügbar ist, können Auftraggeber sie in Lieferantenbewertungen und Ausschreibungen als gemeinsamen Maßstab heranziehen. Wer als Zulieferer gefragt wird, wie es um die eigene Unternehmenssicherheit steht, hat mit der Norm zum ersten Mal eine Sprache, die beide Seiten verstehen.

Der Einstieg ist einfacher, als der Umfang vermuten lässt. Erster Schritt ist der kostenlose Download bei DIN Media ¹. Zweiter Schritt ist die Schutzbedarfsermittlung für die wichtigsten Werte, denn sie entscheidet über das Sicherheitsniveau und damit über den Umfang aller weiteren Anforderungen. Dritter Schritt ist die Auswahl der Handlungsfelder, die den größten Nutzen versprechen. In der Praxis sind das häufig das Sicherheitslagebild, das Störungs-, Notfall- und Krisenmanagement und die Standortsicherheit, weil sie unmittelbar auf den Alltag wirken. Wie die Norm das Sicherheitslagebild im Einzelnen beschreibt und wie OSINT-Monitoring dabei unterstützt, erklärt unsere Seite Sicherheitslagebild nach DIN SPEC 14027.