BSI Grundschutz Methodik: Vorgehensweise nach BSI-Standard 200-2

Die BSI-Grundschutz-Methodik ist der operative Leitfaden des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur Umsetzung eines Informationssicherheits-Managementsystems (ISMS). Der BSI Standard 200–2 beschreibt drei Vorgehensweisen: Basisabsicherung als schnellen Einstieg, Kernabsicherung für besonders schützenswerte Geschäftsprozesse und Standardabsicherung als umfassenden Schutz mit Zertifizierungsmöglichkeit nach ISO 27001 auf Basis von IT-Grundschutz.

Die Basisabsicherung bietet einen schnellen Einstieg mit grundlegenden Sicherheitsmaßnahmen und eignet sich für Organisationen ohne bestehendes ISMS. Die Kernabsicherung konzentriert sich auf besonders kritische Geschäftsprozesse und Assets (Kronjuwelen) und schützt diese priorisiert. Die Standardabsicherung ist die vollständige Vorgehensweise mit Strukturanalyse, Schutzbedarfsfeststellung, Modellierung aller Bausteine und ermöglicht die ISO 27001-Zertifizierung auf Basis von IT-Grundschutz.

Die Standardabsicherung folgt einem festgelegten Vorgehensmodell: 1) Festlegung des Geltungsbereichs (Scope), 2) Strukturanalyse des Informationsverbunds, 3) Schutzbedarfsfeststellung für alle identifizierten Zielobjekte, 4) Modellierung mit passenden Bausteinen aus dem IT-Grundschutz-Kompendium, 5) IT-Grundschutz-Check (Soll-Ist-Vergleich), 6) ergänzende Risikoanalyse bei erhöhtem Schutzbedarf und 7) Konsolidierung und Umsetzung der Maßnahmen.

Das IT-Grundschutz-Kompendium ist die operative Basis der Methodik und enthält über

100 Bausteine in zehn Schichten (z.B. ISMS, ORP, CON, OPS, DER, APP, SYS, IND, NET, INF). Jeder Baustein beschreibt konkrete Anforderungen und Umsetzungshinweise für bestimmte Aspekte der Informationssicherheit. Bei der Modellierung werden die passenden Bausteine auf die identifizierten Zielobjekte des Informationsverbunds angewendet.

Bundesbehörden sind nach dem UP Bund verpflichtet, IT-Grundschutz umzusetzen. KRITIS-Betreiber müssen gemäß §8a BSIG angemessene Sicherheitsmaßnahmen nachweisen, wobei IT-Grundschutz als anerkannter Nachweis gilt. Durch NIS 2 und das IT-Sicherheitsgesetz 2.0 wird der Kreis betroffener Organisationen erweitert. Auch Landesbehörden und Kommunen orientieren sich zunehmend am IT-Grundschutz.

ADVISORI begleitet Organisationen durch alle Phasen der BSI-Grundschutz-Umsetzung: von der Auswahl der passenden Vorgehensweise über die Strukturanalyse und Schutzbedarfsfeststellung bis zur Modellierung, dem IT-Grundschutz-Check und der Umsetzung aller Maßnahmen. Durch Erfahrung aus über

520 Projekten in der Informationssicherheit verkürzen wir die Implementierungszeit und bereiten bei Bedarf auf die ISO 27001-Zertifizierung auf Basis von IT-Grundschutz vor.

Die Dauer und Kosten hängen von der gewählten Vorgehensweise und der Größe der Organisation ab. Eine Basisabsicherung für mittelständische Unternehmen kann in 3–6 Monaten umgesetzt werden. Die Standardabsicherung mit Zertifizierungsziel dauert typischerweise 12–18 Monate. Beratungskosten liegen je nach Umfang zwischen 20.000 und 80.000 Euro. ADVISORI erstellt nach einer Erstanalyse einen individuellen Projektplan mit transparenter Aufwandsschätzung.