BSI IT-Grundschutz
Ich setze den IT-Grundschutz vollständig nach den BSI-Standards 200-1 bis 200-4 um, vor allem für Behörden, ihre IT-Dienstleister und KRITIS-Betreiber.
IT-Grundschutz für Behörden und KRITIS-Betreiber
Für die Bundesverwaltung ergeben sich die Mindestanforderungen an die Informationssicherheit aus den BSI-Standards und dem IT-Grundschutz-Kompendium (§ 44 BSIG). KRITIS-Betreiber nutzen ihn oft als Maßstab für die Maßnahmen nach § 30 BSIG und für die Nachweisprüfung nach § 39 BSIG. Er besteht aus den BSI-Standards 200-1 bis 200-3 und dem IT-Grundschutz-Kompendium.
Dazu gehören der Aufbau des ISMS nach 200-1, das Sicherheitskonzept nach 200-2, die Risikoanalyse nach 200-3 und das Notfallmanagement nach dem ergänzenden Standard 200-4.
Zuletzt habe ich an Sicherheitskonzepten für zwei Bundesministerien gearbeitet und Sollmaßnahmenkataloge aus dem Kompendium aufgebaut. Für eine Landesbehörde habe ich ein Fachsicherheitskonzept mit Grundschutz-Check erstellt.
Mit Grundschutz++ ändert das BSI gerade das Vorgehen. Was das für Ihr Konzept heißt, steht weiter unten.
Strukturanalyse
Schutzbedarf
Modellierung
Grundschutz-Check
Grundschutz umsetzen und betreiben
Ein Sicherheitskonzept ist erst der Anfang. Ich setze die Anforderungen mit Ihren Fachbereichen um, verankere sie in Prozessen und Rollen und halte den Stand im Betrieb aktuell, bis zur nächsten Prüfung.
Mein Angebot zum IT-Grundschutz:
ISMS nach 200-1
Sicherheitskonzept nach 200-2
Risikoanalyse nach 200-3
Notfallmanagement nach 200-4
Sicherheitskonzept nach BSI-Standard 200-2
Ich erstelle das Sicherheitskonzept vollständig oder übernehme einen vorhandenen Entwurf. Ich fange mit dem Geltungsbereich an. Gerade bei mehreren Betreibern muss klar sein, wer für welchen Teil des Informationsverbunds zuständig ist.
Der Standard kennt drei Vorgehensweisen: die Basis-Absicherung als schnellen Einstieg, die Standard-Absicherung als eigentliches Ziel und die Kern-Absicherung für Ihre wichtigsten Werte. Ich empfehle Ihnen eine und schreibe die Begründung gleich ins Konzept.
Die Schutzbedarfsfeststellung ist die Grundlage für alles Weitere. Ich mache sie mit den Fachverantwortlichen und begründe jede Einstufung. Passt ein Baustein nicht zum Zielobjekt, dokumentiere ich die Abweichung.
In vorhandenen Konzepten fehlen oft noch Schutzbedarf und Realisierungsplan. Beides ergänze ich, damit das Konzept die Freigabe und die nächste Prüfung trägt.
Grundschutz++
Im Oktober 2026 hat das BSI den Standard 300-1 „Methodik Grundschutz++“ veröffentlicht. Er löst das IT-Grundschutz-Kompendium mit seinen Bausteinen schrittweise ab. Ab 1. Januar 2027 ist ein ISMS nach Grundschutz++ zertifizierbar. Der bisherige IT-Grundschutz bleibt bis Ende November 2031 zertifizierbar.
Ausgangspunkt sind Geschäftsprozesse statt Zielobjekte. Es gibt nur noch die Schutzbedarfe normal und hoch. Aus den Bausteinen wird ein Anforderungspaket, das maschinenlesbar vorliegt. Der Grundschutz-Check kennt nur noch erfüllt, nicht erfüllt und nicht anwendbar.
Eine MUSS-Anforderung lässt keine Ausnahme und keine Risikoakzeptanz mehr zu. Die Methode der Risikoanalyse ist frei, muss aber Mindestkriterien des BSI erfüllen. Einrichtungen der Bundesverwaltung setzen den IT-Grundschutz nach § 44 BSIG in der jeweils geltenden Fassung um. Ich behalte für Sie im Blick, ab wann das Grundschutz++ ist.
Laufende Konzepte nach 200-2 bleiben gültig. Neue Konzepte lege ich so an, dass Sie beim Wechsel nicht von vorn anfangen: mit Prozessliste, Schutzbedarf je Prozess und Umsetzungsnachweisen.
ISO 27001 und Sollmaßnahmen
Wer ein Zertifikat braucht, kann ISO/IEC 27001 auf Basis von IT-Grundschutz anstreben. Die Zuordnungstabelle des BSI zeigt, welche Anforderungen sich decken. Auch Grundschutz++ ist auf ISO/IEC 27001 ausgerichtet.
Behörden und KRITIS-Betreiber nutzen das Kompendium oft als Katalog für eigene Sollmaßnahmen. Auch das baue ich: einen Sollmaßnahmenkatalog aus den passenden Bausteinen, mit Verweis auf das BSI-Gesetz. So prüfen Sie Ihre Umsetzung gegen einen Katalog statt gegen mehrere Regelwerke.
