BSI IT-Grundschutz: Methode, Standards und Kompendium erklärt

Was ist BSI IT-Grundschutz?

IT-Grundschutz ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI), mit der eine Organisation ein Informationssicherheits-Managementsystem aufbaut und ihre Informationen angemessen schützt. Sie besteht aus zwei Teilen: den BSI-Standards 200-1 bis 200-4, die das Vorgehen beschreiben, und dem IT-Grundschutz-Kompendium, das die Anforderungen für typische Prozesse und Systeme enthält.

Der Ansatz richtet sich an Behörden und Unternehmen jeder Größe. Sein Kern ist, dass typische Gefährdungen nicht in jeder Organisation neu analysiert werden müssen: Für normalen Schutzbedarf gibt das Kompendium erprobte Anforderungen vor, eine eigene Risikoanalyse ist nur dort nötig, wo diese nicht ausreichen.

IT-Grundschutz ist ein vollständiger Sicherheitsprozess

BSI-Standard 200-1 beschreibt die allgemeinen Anforderungen an ein ISMS. Standard 200-2 konkretisiert, wie ein Informationssicherheitsprozess mit IT-Grundschutz aufgebaut wird. Standard 200-3 ergänzt die Risikoanalyse, Standard 200-4 das Business Continuity Management.

Das IT-Grundschutz-Kompendium enthält Bausteine für typische Prozesse, Anwendungen, Systeme, Netze und Infrastrukturen. Diese Bausteine werden nicht pauschal übernommen, sondern anhand des eigenen Informationsverbunds modelliert.

Die Methode reduziert wiederkehrende Analysearbeit

Für typische Zielobjekte sind Gefährdungslage und Anforderungen bereits strukturiert. Die Organisation muss trotzdem prüfen, ob der betrachtete Verbund besondere Risiken, Einsatzbedingungen oder erhöhten Schutzbedarf aufweist.

• Informationsverbund und Geltungsbereich festlegen
• Geschäftsprozesse, Informationen, Anwendungen und Technik erfassen
• Schutzbedarf bestimmen und Abhängigkeiten berücksichtigen
• Passende Bausteine modellieren und Anforderungen prüfen
• Zusätzliche Risiken behandeln und den Prozess fortschreiben

IT-Grundschutz und ISO 27001

BSI-Standard 200-1 ist mit ISO/IEC 27001 kompatibel. Wer die Standard- oder die Kern-Absicherung vollständig umsetzt, kann beim BSI ein ISO-27001-Zertifikat auf der Basis von IT-Grundschutz beantragen; geprüft wird durch vom BSI zertifizierte Auditorinnen und Auditoren. Die Basis-Absicherung allein reicht dafür nicht.

Für Organisationen, die bereits nach ISO 27001 arbeiten, veröffentlicht das BSI eine Zuordnungstabelle zwischen den Normanforderungen und den Bausteinen des Kompendiums. Sie zeigt, wo sich beide Vorgaben decken und wo IT-Grundschutz konkreter wird.

Kompendium, Edition und Grundschutz++

Die Edition 2023 ist die letzte Jahresausgabe des IT-Grundschutz-Kompendiums. Seither entwickelt das BSI IT-Grundschutz unter dem Namen Grundschutz++ weiter. Für Zertifizierungen und Prüfungen gilt die jeweils vom BSI benannte Prüfgrundlage; klären Sie diese, bevor Sie ein Vorhaben planen.

Beginnen Sie nicht mit allen Bausteinen

Ein wirksamer Einstieg beginnt mit dem Sicherheitsprozess und einem klaren Informationsverbund. Der IT-Grundschutz-Startcheck zeigt, ob diese Grundlagen bereits tragfähig sind.