BSI Standards & Kompendium: Die Grundlage für IT-Sicherheit

Die BSI Standards 200‑1, 200‑2 und 200‑3 sind die drei Kernstandards des IT-Grundschutz-Frameworks. BSI Standard 200‑1 definiert allgemeine Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) und ist kompatibel mit ISO 27001. BSI Standard 200‑2 beschreibt die IT-Grundschutz-Methodik mit drei Vorgehensweisen: Basis-Absicherung, Standard-Absicherung und Kern-Absicherung. BSI Standard 200‑3 bündelt alle risikobezogenen Arbeitsschritte und regelt die Risikoanalyse auf Basis des IT-Grundschutzes. Ergänzt werden sie durch BSI Standard 200‑4 zum Business Continuity Management.

Basis-Absicherung ermöglicht einen breiten Einstieg. Standard-Absicherung wendet die Methodik auf den abgegrenzten Informationsverbund an; Kern-Absicherung priorisiert besonders wichtige Werte und Prozesse. Modellieren Sie die für den gewählten Umfang passenden Bausteine. Vorgehensweise und ein mögliches Zertifizierungsziel sollten vor der Umsetzungsplanung feststehen.

Das Kompendium enthält Prozess- und Systembausteine mit Gefährdungen und Sicherheitsanforderungen. Damit modellieren Sie den tatsächlichen Informationsverbund und dokumentieren die Anwendbarkeit. Erfassen Sie die verwendete Edition und bewerten Sie veröffentlichte Änderungen, statt eine jährlich neue Gesamtausgabe vorauszusetzen.

Die Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz erfolgt in mehreren Schritten. Zunächst wird der Informationsverbund definiert und die Schutzbedarfsfeststellung durchgeführt. Dann folgt die Modellierung nach IT-Grundschutz-Kompendium und der IT-Grundschutz-Check. Anschließend wird eine ergänzende Risikoanalyse nach BSI Standard 200‑3 durchgeführt. Nach der Umsetzung aller Maßnahmen prüft ein vom BSI zertifizierter Auditor die Konformität. ADVISORI begleitet den gesamten Prozess und bereitet Ihre Organisation systematisch auf das Audit vor.

IT-Grundschutz bietet eine strukturierte Modellierung und wiederverwendbare Bausteine. Das kann Teams dabei unterstützen, Sicherheitsanforderungen in eine konkrete Umsetzungsliste zu übertragen. Die passende Vorgehensweise hängt von Geltungsbereich, Kundenanforderungen und Nachweisziel ab. Vergleichen Sie Pflegeaufwand und verfügbare Fachkenntnisse ebenso wie den gewünschten Zertifizierungsweg.

IT-Grundschutz ist nicht automatisch für jeden KRITIS-Betreiber oder jede NIS2-Einrichtung verpflichtend. Das BSIG verlangt für betroffene Einrichtungen geeignete Risikomanagementmaßnahmen. Ob eine bestimmte BSI-Methodik oder Zertifizierung vorgeschrieben ist, hängt von einschlägigen Verwaltungs-, Branchen- oder Vertragsvorgaben ab. Klären Sie diese Pflichten vor der Methodenwahl.

ADVISORI begleitet Organisationen durch den gesamten Implementierungsprozess der BSI Standards. Wir beginnen mit einer Gap-Analyse, um den aktuellen Reifegrad Ihres ISMS zu bewerten. Darauf aufbauend erstellen wir eine priorisierte Roadmap und unterstützen bei der Modellierung nach IT-Grundschutz Kompendium, der Schutzbedarfsfeststellung, der Risikoanalyse nach BSI Standard 200‑3 und der Umsetzung aller erforderlichen Maßnahmen. Unser Ziel ist eine nachhaltige Implementierung, die Ihre Organisation eigenständig weiterentwickeln kann.