BSI IT-Grundschutz

Der BSI IT-Grundschutz ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickeltes und gepflegtes Rahmenwerk für die systematische Umsetzung von Informationssicherheit in Organisationen. Er bietet mit dem IT-Grundschutz-Kompendium eine umfangreiche Sammlung von Bausteinen, Sicherheitsanforderungen und Maßnahmen, die auf typische IT-Systeme und Prozesse zugeschnitten sind. Das Framework eignet sich besonders für deutsche Behörden und öffentliche Einrichtungen, findet aber auch zunehmend in der Privatwirtschaft Anwendung.

Das Framework gliedert sich in vier BSI-Standards: BSI 200-1 (Managementsysteme für Informationssicherheit), BSI 200-2 (IT-Grundschutz-Methodik), BSI 200-3 (Risikoanalyse auf Basis IT-Grundschutz) und BSI 200-4 (Business Continuity Management). Organisationen können den IT-Grundschutz auf drei Absicherungsniveaus anwenden: Basis- und Standard-Absicherung sowie die Kern-Absicherung für besonders schützenswerte Bereiche. Eine Zertifizierung nach IT-Grundschutz ist möglich und wird vom BSI als Nachweis anerkannt.

Der IT-Grundschutz ist zu ISO/IEC 27001 kompatibel – eine IT-Grundschutz-Zertifizierung entspricht inhaltlich weitgehend einer ISO-27001-Zertifizierung. Für die Bundesverwaltung ist die Anwendung der IT-Grundschutz-Methodik vorgegeben; KRITIS-Betreiber und Einrichtungen nach NIS2 sind nicht an den IT-Grundschutz gebunden, nutzen ihn aber häufig, um die geforderten Risikomanagementmaßnahmen strukturiert umzusetzen. Für Unternehmen, die sowohl nationale Anforderungen als auch internationale Normen erfüllen möchten, bietet der IT-Grundschutz einen bewährten deutschen Einstiegspunkt in ein vollständiges ISMS.

Quellen: Standards, Absicherungsniveaus und ISO-27001-Bezug

• BSI-Standards 200-1 bis 200-4: Die vier Standards werden vom BSI selbst herausgegeben. 200-1 beschreibt die Anforderungen an ein Managementsystem für Informationssicherheit, 200-2 die IT-Grundschutz-Methodik, 200-3 die Risikoanalyse auf Basis von IT-Grundschutz und 200-4 das Business Continuity Management.

• Drei Absicherungsniveaus: Basis-, Standard- und Kern-Absicherung sind in BSI-Standard 200-2 definiert. Die Basis-Absicherung setzt die grundlegenden Anforderungen breit um, die Standard-Absicherung entspricht dem vollständigen Vorgehen, die Kern-Absicherung konzentriert sich auf die besonders schützenswerten Geschäftsprozesse und Assets.

• Kompatibilität mit ISO/IEC 27001: BSI-Standard 200-1 ist ausdrücklich mit ISO/IEC 27001 kompatibel. Das BSI zertifiziert Managementsysteme als „ISO 27001 auf der Basis von IT-Grundschutz“; möglich ist das für die Standard- und die Kern-Absicherung. Wie die Anforderungen der ISO/IEC 27001 den IT-Grundschutz-Bausteinen entsprechen, zeigt die vom BSI veröffentlichte Zuordnungstabelle.

• IT-Grundschutz-Kompendium: Das Kompendium bündelt die Bausteine mit ihren Anforderungen und die elementaren Gefährdungen G 0.1 bis G 0.47, gegen die diese Anforderungen schützen.

• Pflicht und freiwillige Anwendung: Verpflichtend ist der IT-Grundschutz für die Bundesverwaltung. Für Unternehmen, auch für Einrichtungen nach NIS2, bleibt er eine vom BSI bereitgestellte Methodik neben einem ISMS nach ISO/IEC 27001, das das BSI als gleichwertig anerkennt.

BSI IT-Grundschutz mit preeco | informationssicherheit umsetzen

In preeco | informationssicherheit wird BSI IT-Grundschutz als Anforderungskatalog je Organisation aktiviert. Über denselben Weg lassen sich weitere Normen wie ISO/IEC 27001, NIS2, BSI C5, DORA und TISAX laden, sodass Sicherheitsanforderungen aus mehreren Standards nebeneinander bewertet werden. Bei Katalogen nach BSI IT-Grundschutz wird das angestrebte Schutzniveau gewählt (Basis-Absicherung, Standard-Absicherung oder erhöhter Schutzbedarf), und jede Anforderung wird mit Umsetzungsstatus, Reifegrad und zuständigen Personen bewertet. Die Umsetzungsplanung nach BSI-Standard 200-2 erfolgt an der Anforderung eines Assets mit offenen Maßnahmen, verantwortlicher Person und Frist.

Für Audits steht ein Audit-Katalog nach BSI IT-Grundschutz bereit, der in Prüflisten nach BSI-Bausteinen gegliedert ist. Den Anforderungen lassen sich die elementaren Gefährdungen des Kompendiums zuordnen, sodass im Audit sichtbar wird, wogegen eine Anforderung schützt. Die Schutzbedarfsfeststellung für Vertraulichkeit, Integrität und Verfügbarkeit läuft über eine Schadensszenarien-Matrix nach dem Maximumprinzip; der Schutzbedarf vererbt sich nach BSI-Standard 200-2 über den Asset-Baum.

Zur Vorbereitung einer Zertifizierung erzeugt die Software die Auditdokumente nach BSI IT-Grundschutz (Strukturanalyse, Modellierung und Ergebnis des IT-Grundschutz-Checks) sowie die Erklärung zur Anwendbarkeit als PDF und DOCX, deren Stand sich als unveränderliche, datierte Fassung ablegen lässt. Nachweise zählen erst, wenn die verantwortliche Person sie bestätigt hat, und das ISMS Cockpit zeigt den Erfüllungsgrad je Kategorie und seine Entwicklung über die Zeit.