Aufbau
| Bestandteil | Inhalt |
|---|---|
| BSI-Standard 200-1 | Anforderungen an ein Managementsystem für Informationssicherheit |
| BSI-Standard 200-2 | IT-Grundschutz-Methodik |
| BSI-Standard 200-3 | Risikoanalyse auf Basis von IT-Grundschutz |
| BSI-Standard 200-4 | Business Continuity Management |
| IT-Grundschutz-Kompendium | Bausteine mit Anforderungen für Systeme, Anwendungen, Prozesse |
Die aktuelle Edition des Kompendiums ist die Edition 2023.[1]
Drei Wege der Absicherung
Der BSI-Standard 200-2 unterscheidet drei Vorgehensweisen.[2]
| Vorgehen | Ansatz | Geeignet für |
|---|---|---|
| Basis-Absicherung | die wichtigsten Anforderungen in der Breite | Einstieg, kleine und mittlere Unternehmen |
| Kern-Absicherung | besonders kritische Bereiche in der Tiefe | wenige, sehr wichtige Werte |
| Standard-Absicherung | vollständiger Schutz für den gesamten Geltungsbereich | Ziel für ein umfassendes ISMS, Zertifizierung |
Grundschutz++
Das BSI überarbeitet den IT-Grundschutz grundlegend. Der Nachfolger Grundschutz++ soll ab dem 1. Januar 2027 als Grundlage für Zertifizierungen dienen, die weiterhin auf ISO 27001 aufbauen.[3] Wer heute beginnt, sollte die Entwicklung im Blick behalten; die Grundgedanken bleiben gleich.
IT-Grundschutz vs. ISO 27001
| IT-Grundschutz | ISO/IEC 27001 | |
|---|---|---|
| Herkunft | BSI, Deutschland | international |
| Ansatz | konkrete Anforderungen aus dem Kompendium | risikobasiert, Maßnahmen frei wählbar |
| Aufwand | hoch bei Standard-Absicherung | abhängig vom Geltungsbereich |
| Zertifikat | ISO 27001 auf Basis von IT-Grundschutz | ISO 27001 |
Beispiel aus der Praxis
Ein kommunaler Dienstleister muss seine Informationssicherheit nach BSI nachweisen. Er beginnt mit der Basis-Absicherung: In sechs Monaten werden die grundlegenden Anforderungen für Server, Clients, Netz und Organisation umgesetzt. Danach folgt die Standard-Absicherung für die Fachverfahren. Die Dokumentation im Grundschutz-Werkzeug dient später als Grundlage für das Zertifizierungsaudit.
Kurz gesagt
Der IT-Grundschutz ist die Methodik des BSI für Informationssicherheit, bestehend aus Standards und Kompendium. Mit der Basis-Absicherung ist er auch für den Mittelstand ein guter Einstieg; der Nachfolger Grundschutz++ startet mit Zertifizierungen ab 2027.
Weiterlesen: IT-Sicherheit für Deutschland richtig denken, IT-Sicherheitskonzept für den Mittelstand