BSI-Standards 200-1 bis 200-4

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) besteht aus zwei Bausteinen: den BSI-Standards der 200er-Reihe, die das methodische Gerüst liefern, und dem jährlich fortgeschriebenen IT-Grundschutz-Kompendium, das die konkreten Anforderungen und Umsetzungshinweise je Baustein enthält. BSI-Standard 200-1 definiert die allgemeinen Anforderungen an ein Managementsystem für Informationssicherheit (ISMS) und ist bewusst kompatibel zu ISO/IEC 27001 aufgebaut: Verantwortung der Leitung, Sicherheitsleitlinie, Rollen wie der oder die Informationssicherheitsbeauftragte, Ressourcen, Dokumentation und ein kontinuierlicher Verbesserungsprozess nach dem PDCA-Zyklus. Wer nach 200-1 arbeitet, baut kein deutsches Sondersystem auf, sondern eine ISMS-Struktur, die sich mit international anerkannten Normen deckt und zugleich stärker vorstrukturiert ist.

BSI-Standard 200-2 beschreibt die eigentliche IT-Grundschutz-Methodik und bietet drei Vorgehensweisen an: die Basis-Absicherung als schneller Einstieg mit breiter Grundabsicherung, die Kern-Absicherung zum Schutz besonders kritischer Werte und die Standard-Absicherung als vollständige, zertifizierungsfähige Vorgehensweise. Der Ablauf ist stets derselbe: Festlegung des Informationsverbunds, Strukturanalyse, Schutzbedarfsfeststellung in den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit, Modellierung mit den Bausteinen des Kompendiums, IT-Grundschutz-Check als Soll-Ist-Vergleich und schließlich Planung und Umsetzung der fehlenden Maßnahmen. BSI-Standard 200-3 setzt dort an, wo die Standardanforderungen nicht ausreichen: Für Zielobjekte mit hohem oder sehr hohem Schutzbedarf, für Sonderfälle ohne passenden Baustein und für untypische Einsatzszenarien wird eine Risikoanalyse auf Basis der elementaren Gefährdungen durchgeführt, bewertet und in eine Risikobehandlung überführt – vermeiden, reduzieren, transferieren oder als Restrisiko durch die Leitung akzeptieren.

BSI-Standard 200-4 löste den früheren Standard 100-4 ab und beschreibt den Aufbau eines Business Continuity Management Systems (BCMS). Er ist stufenweise angelegt: Das Reaktiv-BCMS schafft eine schnelle Grundfähigkeit zur Notfallbewältigung, das Aufbau-BCMS erweitert sie um Business Impact Analyse und Geschäftsfortführungspläne, das Standard-BCMS entspricht dem vollen Anspruch vergleichbar zu ISO 22301. Für Unternehmen ist diese Reihe aus zwei Gründen relevant: Erstens lässt sich auf Basis von IT-Grundschutz eine ISO-27001-Zertifizierung erlangen, zweitens akzeptieren Auftraggeber und Aufsichtsbehörden den IT-Grundschutz als anerkannten Stand der Technik. Auch für die Risikomanagement- und Business-Continuity-Pflichten aus dem BSIG in seiner durch das NIS2-Umsetzungsgesetz geprägten Fassung liefert die 200er-Reihe eine belastbare, prüffähige Umsetzungsstruktur; die genauen Umsetzungs- und Nachweisfristen sind im nationalen Recht weiterhin in Bewegung und sollten im Einzelfall geprüft werden.