IT-Grundschutz-Kompendium: Aufbau, Schichten und Bausteine

Was ist das IT-Grundschutz-Kompendium?

Das IT-Grundschutz-Kompendium ist die Sammlung der Bausteine, mit denen die Vorgehensweise nach BSI-Standard 200-2 in der Praxis arbeitet. Jeder Baustein behandelt ein typisches Thema, etwa einen Prozess wie die Datensicherung oder ein Zielobjekt wie einen Webserver, und beschreibt dessen Gefährdungslage und die Anforderungen, die zu erfüllen sind.

Die Standards beschreiben das Vorgehen, das Kompendium den Inhalt. Welche Bausteine für eine Organisation gelten, entscheidet erst die Modellierung des eigenen Informationsverbunds: Nicht jeder Baustein ist relevant, und mancher wird für mehrere Zielobjekte angewendet.

Zehn Schichten: Prozess- und System-Bausteine

Die Bausteine sind in zehn Schichten gegliedert. Die ersten fünf enthalten Prozess-Bausteine, die meist für den gesamten Informationsverbund gelten. Die übrigen fünf enthalten System-Bausteine, die einzelnen Zielobjekten zugeordnet werden.

• ISMS: Sicherheitsmanagement
• ORP: Organisation und Personal
• CON: Konzepte und Vorgehensweisen
• OPS: Betrieb
• DER: Detektion und Reaktion
• APP: Anwendungen
• SYS: IT-Systeme
• IND: Industrielle IT
• NET: Netze und Kommunikation
• INF: Infrastruktur

So ist ein Baustein aufgebaut

Jeder Baustein folgt demselben Muster: eine Beschreibung mit Einleitung, Zielsetzung und Abgrenzung, die spezifische Gefährdungslage und die Anforderungen, ergänzt um weiterführende Informationen. Die Anforderungen nennen eine Zuständigkeit und verwenden die Modalverben MUSS, SOLLTE und KANN, damit ihre Verbindlichkeit eindeutig ist.

Die Anforderungen sind in drei Stufen gegliedert. Welche Stufen umgesetzt werden, hängt von der gewählten Vorgehensweise und vom Schutzbedarf ab.

• Basis-Anforderungen: vorrangig umzusetzen und Grundlage der Basis-Absicherung
• Standard-Anforderungen: zusammen mit den Basis-Anforderungen der Maßstab für normalen Schutzbedarf
• Anforderungen bei erhöhtem Schutzbedarf: Vorschläge, die nach einer Risikoanalyse ausgewählt werden

Elementare Gefährdungen als gemeinsame Grundlage

Das Kompendium enthält außerdem 47 elementare Gefährdungen, von Feuer (G 0.1) über Schadprogramme bis zu Social Engineering. Sie sind die Ausgangsbasis der Risikoanalyse nach BSI-Standard 200-3. Kreuzreferenztabellen zeigen je Baustein, welche Anforderung welche Gefährdung adressiert.

Welche Edition gilt?

Die Edition 2023 ist die letzte Jahresausgabe des Kompendiums. Das BSI entwickelt IT-Grundschutz seither unter dem Namen Grundschutz++ weiter. Für Zertifizierungen und Prüfungen ist die jeweils vom BSI benannte Prüfgrundlage maßgeblich; prüfen Sie diese vor Projektbeginn, damit Modellierung und Grundschutz-Check auf derselben Fassung beruhen.