IT-Grundschutz BSI

BSI-Standard 200–1 definiert die allgemeinen Anforderungen an ein Informationssicherheits-Managementsystem (ISMS). BSI-Standard 200–2 beschreibt die IT-Grundschutz-Methodik mit den drei Vorgehensweisen Basis-Absicherung, Standard-Absicherung und Kern-Absicherung. BSI-Standard 200–3 regelt die Risikoanalyse auf Basis von IT-Grundschutz, wenn der Schutzbedarf über das normale Maß hinausgeht. Zusammen bilden sie das methodische Fundament für die IT-Grundschutz-Umsetzung.

Die Umsetzung folgt einem strukturierten Prozess: Zunächst wird der Informationsverbund definiert und eine Strukturanalyse durchgeführt. Dann erfolgt die Schutzbedarfsfeststellung für alle identifizierten Objekte. Anschließend werden passende Bausteine aus dem IT-Grundschutz-Kompendium zugeordnet (Modellierung). Der Basis-Sicherheitscheck vergleicht den Ist-Zustand mit den Anforderungen. Bei erhöhtem Schutzbedarf folgt eine ergänzende Risikoanalyse nach BSI-Standard 200‑3.

ISO 27001 ist ein internationaler Standard mit abstrakten Anforderungen an ein ISMS. IT-Grundschutz ist eine konkrete Methodik des BSI, die detaillierte Maßnahmenempfehlungen über das IT-Grundschutz-Kompendium liefert. Organisationen können eine ISO 27001 Zertifizierung auf Basis von IT-Grundschutz erhalten — diese kombiniert die internationale Anerkennung von ISO 27001 mit der methodischen Tiefe des IT-Grundschutzes.

IT-Grundschutz ist besonders relevant für Bundesbehörden und öffentliche Einrichtungen, die den BSI-Vorgaben unterliegen, KRITIS-Betreiber mit Nachweispflichten nach dem BSI-Gesetz, Unternehmen, die eine ISO 27001 Zertifizierung auf IT-Grundschutz-Basis anstreben, und Organisationen, die einen strukturierten Einstieg in die Informationssicherheit suchen.

Das IT-Grundschutz-Kompendium enthält über

100 Bausteine, die in zehn Schichten gegliedert sind: von ISMS-Prozessen über Organisation und Personal bis zu technischen Systemen wie Netzwerken und Anwendungen. Jeder Baustein beschreibt typische Gefährdungen und konkrete Anforderungen an Sicherheitsmaßnahmen. Das BSI aktualisiert das Kompendium jährlich, um aktuelle Bedrohungen und Technologien abzudecken.