Was ist BSI IT-Grundschutz?
BSI IT-Grundschutz ist eine ganzheitliche, modulare Methode des BSI, mit der Institutionen unterschiedlicher Art und Größe ein ISMS aufbauen, betreiben und weiterentwickeln können.
Technische Einordnung: Die BSI-Standards beschreiben das Management und die methodische Vorgehensweise. Das IT-Grundschutz-Kompendium ergänzt sie um Bausteine mit Gefährdungen und passenden Sicherheitsanforderungen für Zielobjekte. IT-Grundschutz ist deshalb weder ein einzelnes Sicherheitsprodukt noch lediglich ein Maßnahmenkatalog.
Für wen ist IT-Grundschutz geeignet?
Die BSI-Methode ist nicht auf eine bestimmte Branche oder auf Bundesbehörden beschränkt. Sie richtet sich an Institutionen unterschiedlicher Art und Größe, die Informationssicherheit systematisch organisieren möchten. Ihre methodische Reichweite erzeugt jedoch keine allgemeine Anwendungspflicht. Ob externe Rechts-, Vertrags- oder Zertifizierungsvorgaben gelten, muss die jeweilige Institution separat prüfen.
Welchen Bereich erfasst die Methode?
Maßgeblich ist der von der Institution festgelegte Informationsverbund. Er umfasst insbesondere die einbezogenen Geschäftsprozesse, Anwendungen, IT-Systeme, Kommunikationsverbindungen, Räume und weiteren Zielobjekte. Erst seine Abgrenzung und Modellierung bestimmen, auf welche Objekte passende Bausteine anzuwenden sind. Diese decken organisatorische, personelle, infrastrukturelle und technische Aspekte ab.
Wie beginnt die Anwendung von IT-Grundschutz?
Die Methode selbst kennt keine allgemeine gesetzliche Eintrittsschwelle. Entscheidet sich eine Institution für IT-Grundschutz, legt sie zunächst den Geltungsbereich fest, bestimmt Sicherheitsziele und Schutzbedarf und wählt anschließend einen dazu passenden Absicherungsansatz. Eine Verpflichtung zur Anwendung kann nur aus einem außerhalb der Methode liegenden Rechts-, Vertrags-, Verwaltungs- oder Zertifizierungsregime folgen.
Welche Absicherungsansätze gibt es?
Der BSI-Standard 200-2 unterscheidet drei Vorgehensweisen. Die Basis-Absicherung ermöglicht einen breiten Einstieg. Die Standard-Absicherung zielt auf ein angemessenes Sicherheitsniveau. Die Kern-Absicherung dient dazu, besonders schutzbedürftige Kernbereiche vorrangig abzusichern. Die Institution wählt den Ansatz anhand ihres Sicherheitsziels und Schutzbedarfs; die Ansätze sind keine Kategorien der einzelnen Sicherheitsanforderungen.
Wann kann eine ergänzende Risikoanalyse erforderlich sein?
Passende Bausteine des Kompendiums werden auf die Zielobjekte des Informationsverbunds angewendet. Besteht erhöhter Schutzbedarf oder wird ein Risiko durch die Standardanforderungen nicht hinreichend abgedeckt, kann eine ergänzende Risikoanalyse erforderlich sein. Die Entscheidung hängt damit vom konkreten Informationsverbund und dessen Schutzbedarf ab.
Dürfen Anforderungen angepasst werden?
BSI-Methodik: Bei der Standard-Absicherung sind Anpassungen nur einzelfallbezogen vorgesehen. Ist eine Anforderung nicht relevant oder widerspricht ihre Erfüllung anderen Anforderungen, muss die Abweichung nachvollziehbar begründet werden. Ist eine relevante Anforderung mit vertretbarem Aufwand nicht erfüllbar, sind Ersatzlösungen festzulegen. Anpassung bedeutet daher nicht, Anforderungen ohne Prüfung wegzulassen.
Ist die Anwendung bereits eine ISO/IEC-27001-Zertifizierung?
Nein. Die „ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz“ ist ein separates Audit- und Zertifizierungsverfahren mit eigenen Prüfgrundlagen. Die bloße Anwendung der Methode bescheinigt weder diese Zertifizierung noch automatisch die Erfüllung aller externen Vorgaben.
Welche Fristen und Schwellenwerte gelten?
Für die allgemeine Anwendung der Methode bestehen weder eine einheitliche Frist noch ein allgemeiner quantitativer Schwellenwert. Bei der Durchführung eines IT-Grundschutz-Checks ist die aktuelle Version des IT-Grundschutz-Kompendiums zu verwenden. Konkrete Fristen, Übergänge oder Schwellen können sich aus gesonderten Rechts-, Vertrags- oder Zertifizierungsregimen ergeben; diese Aussage trifft keine pauschale Feststellung über solche externen Vorgaben.
Häufige Fehlannahmen
- „IT-Grundschutz ist für jedes Unternehmen gesetzlich vorgeschrieben.“ Die Methode selbst begründet keine allgemeine Rechtspflicht; externe Vorgaben sind separat zu prüfen.
- „Die Anwendung ist bereits eine ISO/IEC-27001-Zertifizierung.“ Dafür ist ein gesondertes Audit nach den einschlägigen BSI-Prüfgrundlagen erforderlich.
- „IT-Grundschutz ist ein Produkt oder nur ein Maßnahmenkatalog.“ Er verbindet ISMS-Management, methodisches Vorgehen, Bausteine, Gefährdungen und Sicherheitsanforderungen.
- „Basis-, Standard- und Kern-Absicherung sind Anforderungskategorien.“ Es handelt sich um Vorgehensweisen zur Absicherung, die nach Sicherheitsziel und Schutzbedarf ausgewählt werden.
- „Nicht passende Anforderungen dürfen kommentarlos entfallen.“ Abweichungen müssen methodisch geprüft und nachvollziehbar begründet werden; erforderlichenfalls sind Ersatzlösungen festzulegen.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte unterstützen die Einführung oder den Betrieb eines ISMS nach IT-Grundschutz; sie werden hier nicht als allgemeine gesetzliche Pflichten dargestellt.
- Geltungsbereich und Sicherheitsziele verbindlich festlegen und die betroffenen Geschäftsprozesse, Informationen und Zielobjekte abgrenzen.
- Angemessene personelle, organisatorische und finanzielle Ressourcen für Aufbau, Betrieb und Weiterentwicklung des ISMS bereitstellen.
- Den Schutzbedarf bewerten lassen und den dazu passenden Ansatz der Basis-, Standard- oder Kern-Absicherung bestätigen.
- Umsetzung und Wirksamkeit der Sicherheitsmaßnahmen regelmäßig überprüfen, Abweichungen dokumentieren und Verbesserungen steuern.
- Gesondert klären, ob Rechts-, Vertrags- oder Zertifizierungsvorgaben zusätzliche Anforderungen, Nachweise, Fristen oder Schwellen vorgeben.
Die BSI-Methode nennt für die regelmäßige Überprüfung kein allgemeines festes Intervall. Die Institution sollte den Prüfzyklus daher risikoorientiert festlegen und nachvollziehbar dokumentieren.
Für die Geschäftsleitung
IT-Grundschutz schafft einen strukturierten Rahmen für das ISMS, gilt aber nur innerhalb des festgelegten Informationsverbunds und ersetzt keine Prüfung externer Vorgaben. Die zentrale Leitungsentscheidung betrifft Sicherheitsziele, Schutzbedarf, Absicherungsansatz und Ressourcen. Nachweisbar werden diese Entscheidungen durch eine dokumentierte Abgrenzung, begründete Anpassungen, festgelegte Ersatzlösungen sowie regelmäßige Wirksamkeitskontrollen und Verbesserungsmaßnahmen.
