BSI Grundschutz Katalog: 113 Bausteine für IT-Sicherheit

Das BSI IT-Grundschutz-Kompendium ist das zentrale Nachschlagewerk des Bundesamts für Sicherheit in der Informationstechnik für die Umsetzung von Informationssicherheit. Es enthält über 100 Bausteine in zehn Schichten, unterteilt in Prozess-Bausteine (z. B. ISMS, Notfallmanagement, Datenschutz) und System-Bausteine (z. B. Clients, Server, Netzwerke, Cloud, industrielle Steuerungen). Jeder Baustein beschreibt typische Gefährdungen und konkrete Sicherheitsanforderungen. Das Kompendium wird jährlich aktualisiert und ersetzt seit 2017 die früheren BSI Grundschutz-Kataloge.

Die früheren BSI Grundschutz-Kataloge enthielten detaillierte Maßnahmenempfehlungen und Gefährdungsbeschreibungen in einem umfangreichen Katalogformat. Seit 2017 hat das BSI diese durch das IT-Grundschutz-Kompendium ersetzt. Der wesentliche Unterschied: Das Kompendium arbeitet mit kompakten Bausteinen von jeweils etwa zehn Seiten, die Anforderungen statt konkreter Maßnahmen formulieren. Dies gibt Unternehmen mehr Flexibilität bei der Umsetzung und ermöglicht eine bessere Anpassung an individuelle Gegebenheiten.

Der BSI IT-Grundschutz kennt drei Absicherungsstufen nach BSI-Standard 200‑2: Die Basis-Absicherung bietet einen schnellen Einstieg mit grundlegenden Schutzmaßnahmen. Die Standard-Absicherung deckt den normalen Schutzbedarf systematisch ab und bildet die Grundlage für eine ISO 27001-Zertifizierung auf Basis von IT-Grundschutz. Die Kern-Absicherung konzentriert sich gezielt auf besonders schützenswerte Geschäftsprozesse und IT-Systeme (Kronjuwelen). Unternehmen können die Stufen kombinieren und schrittweise erweitern.

Die Umsetzung folgt dem BSI-Standard 200‑2 in definierten Schritten: Zunächst erfolgt die Strukturanalyse mit Erfassung aller IT-Systeme und Geschäftsprozesse. Dann wird der Schutzbedarf festgestellt. In der Modellierung werden die relevanten Grundschutz-Bausteine den Zielobjekten zugeordnet. Der IT-Grundschutz-Check (Soll-Ist-Vergleich) zeigt den aktuellen Umsetzungsstand. Darauf folgen Risikoanalyse, Maßnahmenplanung und die eigentliche Umsetzung. ADVISORI begleitet Unternehmen durch alle Phasen bis zur fertigen Dokumentation und Zertifizierungsreife.

Die Kosten und Dauer hängen von der Unternehmensgröße, dem Geltungsbereich und dem angestrebten Absicherungsniveau ab. Für eine Standard-Absicherung eines mittelständischen Unternehmens sind typischerweise 6 bis 12 Monate einzuplanen. Die Basis-Absicherung kann bereits in 3 bis 6 Monaten umgesetzt werden. Kostentreiber sind vor allem der Umfang des Informationsverbunds, die Anzahl der relevanten Bausteine und der bestehende Reifegrad der Informationssicherheit. Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz erfordert zusätzlich externe Auditkosten.

Ja, BSI IT-Grundschutz und ISO 27001 ergänzen sich. Die ISO 27001-Zertifizierung auf Basis von IT-Grundschutz ist ein offiziell anerkannter Zertifizierungsweg, der die systematische Methodik des BSI mit dem internationalen ISO-Standard verbindet. Unternehmen, die bereits ein ISMS nach ISO 27001 betreiben, können die Grundschutz-Bausteine als konkrete Umsetzungshilfe nutzen. Umgekehrt erfüllt ein nach BSI-Standard umgesetztes ISMS die Anforderungen der ISO 27001. ADVISORI unterstützt bei der Integration beider Frameworks.

Eine direkte gesetzliche Pflicht zur Umsetzung von BSI IT-Grundschutz besteht für Bundesbehörden. Für Unternehmen im KRITIS-Bereich fordert das BSI-Gesetz angemessene Sicherheitsmaßnahmen, wobei IT-Grundschutz als anerkannter Nachweis gilt. Durch NIS2 und DORA steigen die Anforderungen an die IT-Sicherheit auch für viele weitere Unternehmen. BSI IT-Grundschutz bietet hier einen strukturierten Rahmen, um diese Anforderungen nachweisbar zu erfüllen. In Ausschreibungen öffentlicher Auftraggeber wird eine BSI-Zertifizierung zunehmend vorausgesetzt.