BSI IT-Grundschutz: Informationssicherheit nach BSI-Standard

Der BSI IT-Grundschutz ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickeltes Rahmenwerk für die Informationssicherheit. Er bietet eine strukturierte Methode, um IT-Systeme, Daten und Geschäftsprozesse systematisch abzusichern. Relevant ist er für Bundesbehörden (verpflichtend nach UP Bund), KRITIS-Betreiber, Unternehmen mit Zertifizierungsbedarf nach ISO 27001 auf Basis von IT-Grundschutz sowie alle Organisationen, die ein nachweisbares Sicherheitsniveau erreichen möchten. Im Vergleich zur reinen ISO 27001 zeichnet sich der IT-Grundschutz durch seine hohe Detailtiefe aus: Das Kompendium enthält über 100 Bausteine mit konkreten Anforderungen und Umsetzungshinweisen.

Die Implementierung basiert auf vier BSI-Standards: BSI-Standard 200‑1 definiert die Anforderungen an ein Managementsystem für Informationssicherheit (ISMS). BSI-Standard 200‑2 beschreibt die IT-Grundschutz-Methodik mit den drei Vorgehensweisen Basis-Absicherung, Standard-Absicherung und Kern-Absicherung. BSI-Standard 200‑3 regelt die ergänzende Risikoanalyse für Bereiche mit erhöhtem Schutzbedarf. BSI-Standard 200‑4 behandelt das Notfallmanagement (Business Continuity Management). Für die Zertifizierung ist die Standard-Absicherung nach 200‑2 der übliche Weg.

Die Implementierung folgt einem strukturierten Vorgehen nach BSI-Standard 200‑2: Zunächst werden Geltungsbereich und Informationsverbund definiert. Dann erfolgt die Schutzbedarfsfeststellung, bei der alle Assets nach den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit bewertet werden. Anschließend werden die passenden Bausteine aus dem IT-Grundschutz-Kompendium zugeordnet (Modellierung) und ein IT-Grundschutz-Check durchgeführt, der den Ist-Zustand mit den Soll-Anforderungen vergleicht. Für erhöhten Schutzbedarf folgt eine Risikoanalyse nach BSI-Standard 200‑3. Die identifizierten Maßnahmen werden umgesetzt, dokumentiert und in regelmäßigen Zyklen überprüft.

Die drei Vorgehensweisen nach BSI-Standard 200‑2 unterscheiden sich in Umfang und Tiefe: Die Basis-Absicherung ist der Einstieg und sichert mit grundlegenden Maßnahmen die wichtigsten Bereiche ab, geeignet als erster Schritt für Organisationen ohne bestehendes ISMS. Die Kern-Absicherung konzentriert sich auf besonders schützenswerte Geschäftsprozesse und Assets (die sogenannten Kronjuwelen) und bietet schnell ein hohes Schutzniveau für kritische Bereiche. Die Standard-Absicherung deckt den gesamten Informationsverbund ab und ist Voraussetzung für eine ISO‑27001-Zertifizierung auf Basis von IT-Grundschutz. Viele Organisationen starten mit der Basis-Absicherung und erweitern schrittweise zur Standard-Absicherung.

Die Dauer hängt von der Organisationsgröße, dem Geltungsbereich und dem gewählten Absicherungsniveau ab. Für eine Basis-Absicherung in einem mittelständischen Unternehmen sind 3 bis 6 Monate realistisch. Eine vollständige Standard-Absicherung mit Zertifizierungsvorbereitung dauert bei mittleren Organisationen (50 bis 200 Mitarbeitende) typischerweise 9 bis 15 Monate. Die Beratungskosten liegen je nach Umfang zwischen 30.000 und 80.000 Euro. Hinzu kommen die Kosten für das Zertifizierungsaudit selbst, die je nach Prüfstelle zwischen 10.000 und 25.000 Euro betragen. Entscheidend für Dauer und Kosten sind vorhandene Dokumentation, bestehende Sicherheitsmaßnahmen und interne Ressourcen.

Ja, der IT-Grundschutz ist kompatibel mit der ISO 27001, eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ist ausdrücklich vorgesehen und wird vom BSI als Zertifizierungsstelle anerkannt. Organisationen, die bereits ein ISMS nach ISO 27001 betreiben, können die detaillierten Bausteine des IT-Grundschutz-Kompendiums als konkrete Umsetzungshilfe nutzen. Synergien bestehen auch zu anderen Frameworks: KRITIS-Betreiber können den IT-Grundschutz als Nachweis nach Paragraph 8a BSIG verwenden. Auch eine Integration mit TISAX (Automotive), C5 (Cloud-Sicherheit) oder branchenspezifischen Standards ist möglich, da die Grundschutz-Methodik systematisch vorgeht und viele Überschneidungen bietet.

Mit Grundschutz++ modernisiert das BSI sein Rahmenwerk grundlegend. Ab 2026 wird Grundschutz++ das bisherige IT-Grundschutz-Kompendium schrittweise ablösen. Wesentliche Änderungen: Die starre Bausteinstruktur wird durch ein flexibleres, modulares System ersetzt. Die Anforderungen werden stärker risikobasiert formuliert und besser an internationale Standards angeglichen. Während einer Übergangsphase bis voraussichtlich 2028 können Organisationen sowohl nach dem bisherigen Kompendium als auch nach Grundschutz++ arbeiten und zertifiziert werden. Für Unternehmen, die jetzt mit der Implementierung beginnen, empfiehlt sich eine Architektur, die den Übergang zu Grundschutz++ von Anfang an berücksichtigt, ADVISORI begleitet diesen Transformationsprozess.