Security & Compliance

BSI IT-Grundschutz

Overview

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist eine Methode und Arbeitshilfe für Behörden und Unternehmen, um Informationssicherheit systematisch aufzubauen. Er deckt technische, infrastrukturelle, organisatorische und personelle Aspekte ab und besteht aus den BSI-Standards 200-1 (Managementsysteme für Informationssicherheit), 200-2 (IT-Grundschutz-Methodik), 200-3 (Risikomanagement) und 200-4 (Business Continuity Management) sowie dem IT-Grundschutz-Kompendium mit seinen Bausteinen.

Aktuell gilt das IT-Grundschutz-Kompendium Edition 2023, verfügbar seit 1. Februar 2023, mit 111 Bausteinen in zehn Schichten. Eine neue Edition ist seitdem nicht erschienen. Abgrenzung: ISO 27001 beschreibt international, was ein ISMS leisten muss, der IT-Grundschutz liefert zusätzlich konkrete Anforderungen je Baustein und ist als „ISO 27001 auf der Basis von IT-Grundschutz“ zertifizierbar. NIS2 schreibt den IT-Grundschutz nicht vor, er ist aber ein anerkannter Weg, die Risikomanagementmaßnahmen umzusetzen. TISAX ist das Gegenstück für die Automobilbranche, Business Continuity Management ist über den BSI-Standard 200-4 eingebunden.

Modernisierung: Das BSI ersetzt das Kompendium durch Grundschutz++, ein vollständig prozessorientiertes, maschinenlesbares Regelwerk. Die Pilotierungsphase lief vom 1. April bis 31. August 2026, die Veröffentlichung ist für den 27. Oktober 2026 auf der it-sa angekündigt. Ab 1. Januar 2027 sind Zertifizierungen nach ISO 27001 auf Basis von Grundschutz++ möglich. Der bisherige IT-Grundschutz bleibt in einer mehrjährigen Übergangszeit anwendbar, seine Zertifizierbarkeit endet am 30. November 2031.

How it works

Der klassische IT-Grundschutz nach BSI-Standard 200-2 läuft in diesen Schritten:

  1. Initiierung: Die Leitung beschließt eine Sicherheitsleitlinie, benennt einen Informationssicherheitsbeauftragten und wählt die Vorgehensweise: Basis-Absicherung als Einstieg in der Breite, Kern-Absicherung für die wichtigsten Geschäftsprozesse oder Standard-Absicherung für den vollen Umfang.
  2. Strukturanalyse: Den Informationsverbund abgrenzen und Geschäftsprozesse, Anwendungen, IT-Systeme, Räume und Netze erfassen.
  3. Schutzbedarfsfeststellung: Für Vertraulichkeit, Integrität und Verfügbarkeit den Schutzbedarf normal, hoch oder sehr hoch festlegen.
  4. Modellierung: Jedem Zielobjekt die passenden Bausteine des Kompendiums zuordnen, etwa ISMS, APP (Anwendungen) oder IND (Industrielle IT).
  5. IT-Grundschutz-Check: Soll-Ist-Vergleich der Anforderungen, die in jedem Baustein nach Basis, Standard und erhöhtem Schutzbedarf gestuft sind.
  6. Risikoanalyse nach BSI-Standard 200-3 für Objekte mit hohem Schutzbedarf oder ohne passenden Baustein, danach Umsetzung und kontinuierliche Verbesserung.

Grundschutz++ ändert das Prinzip: Methodik-Grundschutz++ gibt den Ordnungsrahmen nach dem PDCA-Zyklus vor, der Anwenderkatalog enthält atomare Anforderungen, die in einer Stand-der-Technik-Bibliothek als maschinenlesbare Regeln (JSON) gepflegt werden. Statt der Absicherungsstufen gibt es Leistungszahlen mit dynamischen Schwellwerten, die Checklisten aus WiBA (Weg in die Basis-Absicherung) werden fester Bestandteil.

Benefits

  • Konkrete Anforderungen je Baustein nehmen viel Interpretationsarbeit ab, die ISO 27001 allein offenlässt
  • Deutschsprachig und vom BSI herausgegeben, das erleichtert die Argumentation gegenüber Behörden, Prüfern und Geschäftsführung
  • Über die Basis-Absicherung oder WiBA ist ein Einstieg auch für kleine Organisationen machbar
  • Zertifizierung als ISO 27001 auf Basis von IT-Grundschutz verbindet internationalen Nachweis und deutsche Methodik
  • Grundschutz++ macht Anforderungen maschinenlesbar und damit in GRC-Werkzeugen automatisiert auswertbar

Practical example

Ein Lebensmittelhersteller mit 260 Beschäftigten fällt als wichtige Einrichtung unter NIS2 und braucht eine nachvollziehbare Methodik. Die IT startet mit der Basis-Absicherung für den gesamten Informationsverbund und zieht für das Produktionsnetz die Bausteine der Schicht IND sowie eine Risikoanalyse nach BSI-Standard 200-3 hinzu. Weil Grundschutz++ ab 2027 zertifizierbar ist, entscheidet die Geschäftsführung, die laufende Umsetzung nach dem Kompendium abzuschließen und die geplante Zertifizierung direkt auf Grundschutz++ auszurichten. Die Ergebnisse der Strukturanalyse und Schutzbedarfsfeststellung lassen sich in beide Welten übernehmen.

Things to keep in mind

  • Bei neuen Vorhaben ab 2027 direkt mit Grundschutz++ planen, da das Kompendium abgelöst wird und die alte Zertifizierbarkeit 2031 endet
  • Den Informationsverbund klar abgrenzen, denn ein zu großer Scope macht Modellierung und Check unbeherrschbar
  • Die Edition 2023 hat den Redaktionsstand 2022, für Cloud-Dienste wie Microsoft 365 die Anforderungen um aktuelle Herstellerempfehlungen ergänzen
  • Kreuzreferenztabellen der Edition 2023 werden zu Grundschutz++ nicht kompatibel sein, ein GRC-Werkzeug mit Unterstützung beider Welten spart Doppelarbeit
  • Die Basis-Absicherung als Zwischenziel nutzen und den Weg zur Standard-Absicherung von Anfang an mitplanen

Conclusion

Der IT-Grundschutz ist die konkreteste deutsche Anleitung für ein ISMS und bleibt bis 2031 zertifizierbar. Wer jetzt neu startet, sollte die Methodik verstehen, die Umsetzung aber schon auf Grundschutz++ ausrichten.

Further reading

Related articles