Was ist der IT-Grundschutz?
Der IT-Grundschutz beschreibt, wie eine Organisation ihre Informationssicherheit systematisch aufbaut, und liefert die Anforderungen dafür gleich mit. Wo ISO/IEC 27001 verlangt, jede Maßnahme aus der eigenen Risikobewertung herzuleiten, greifen Anwender hier auf Bausteine zurück, für die das BSI die Risikobewertung bei normalem Schutzbedarf bereits vorgenommen hat. Standards und Kompendium stellt das BSI kostenfrei bereit.
| Bestandteil | Inhalt |
|---|---|
| BSI-Standard 200-1 | Anforderungen an ein Managementsystem für Informationssicherheit (ISMS) |
| BSI-Standard 200-2 | die IT-Grundschutz-Methodik: Vorgehensweisen, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check |
| BSI-Standard 200-3 | Risikoanalyse auf der Basis von IT-Grundschutz |
| BSI-Standard 200-4 | Business Continuity Management |
| IT-Grundschutz-Kompendium | Bausteine in zehn Schichten, von Anwendungen (APP) bis Sicherheitsmanagement (ISMS); jeder Baustein nennt Gefährdungen und Anforderungen. Edition 2023, verfügbar seit dem 1. Februar 2023 |
Welche Vorgehensweise passt: Basis, Kern oder Standard?
BSI-Standard 200-2 bietet drei Einstiege. Die Leitung entscheidet, welcher Bereich mit welcher Vorgehensweise abgesichert wird, und dokumentiert Entscheidung und Zeitplan (Kap. 3.3.5).
| Vorgehensweise | Was abgesichert wird | Wählen Sie sie, wenn | Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz |
|---|---|---|---|
| Basis-Absicherung | der gesamte Informationsverbund, zunächst nur mit den Basis-Anforderungen | Ihre Informationssicherheit am Anfang steht, das angestrebte Niveau normal ist und kein Asset bei Verlust existenzbedrohend wäre | nicht möglich; Einstieg für eine der anderen Vorgehensweisen |
| Kern-Absicherung | wenige besonders schützenswerte Bereiche (Kronjuwelen) vollständig | nur ein überschaubarer, klar abgrenzbarer Teil Ihrer Geschäftsprozesse deutlich erhöhten Schutzbedarf hat | für den abgegrenzten Informationsverbund grundsätzlich möglich |
| Standard-Absicherung | der gesamte Informationsverbund vollständig | Sie ein gleichmäßiges, vergleichbares Niveau oder ein Zertifikat für die ganze Organisation brauchen | vorgesehen |
Basis- und Kern-Absicherung sind nach BSI-Standard 200-2 Einstiege; Ziel muss mittelfristig ein Sicherheitskonzept nach der Standard-Absicherung sein, die das BSI bevorzugt. Verlangt ein Auftraggeber ein Zertifikat für die ganze Organisation, führt der Weg ohnehin zur Standard-Absicherung. Was ein Auftraggeber mit „IT-Grundschutz“ genau meint und wie sich der Weg von ISO 27001 unterscheidet, zeigt der Vergleich ISO 27001 vs. BSI IT-Grundschutz.
Welche Anforderungen gelten, und wann ist eine Risikoanalyse nötig?
Jeder Baustein gliedert seine Anforderungen in Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf. Basis- und Standard-Anforderungen zusammen stellen nach BSI-Standard 200-2 den Stand der Technik dar und müssen für die Zertifizierung erfüllt sein.
Den Schutzbedarf bestimmen Sie je Zielobjekt für Vertraulichkeit, Integrität und Verfügbarkeit in den Kategorien „normal“, „hoch“ und „sehr hoch“. Eine explizite Risikoanalyse nach BSI-Standard 200-3 verlangt BSI-Standard 200-2 unter anderem, wenn ein Zielobjekt
- in mindestens einem Grundwert hohen oder sehr hohen Schutzbedarf hat,
- sich mit den Bausteinen nicht hinreichend modellieren lässt oder
- in einem untypischen Einsatzszenario läuft.
Wie entwickelt das BSI den IT-Grundschutz weiter?
Das BSI baut den IT-Grundschutz um, vom BSI auch IT-Grundschutz++ genannt (Stand: Oktober 2026). Nach der Seite des BSI zum IT-Grundschutz gilt:
- Ein digitales Regelwerk im JSON-Format löst das Kompendium in Textform ab; jede Anforderung wird als maschinenlesbare Regel erfasst.
- Statt der Stufen Basis, Standard und erhöhter Schutzbedarf gibt es flexible Leistungszahlen mit dynamischen Schwellwerten.
- Die Checklisten aus dem „Weg in die Basis-Absicherung“ (WiBA) werden fester Bestandteil.
- Der aktuelle IT-Grundschutz wird parallel gepflegt und bleibt in einer mehrjährigen Übergangszeit anwendbar; eine Aktualisierung des Kompendiums ist geplant.
Warten müssen Sie deshalb nicht. Bausteine der Edition 2023 bleiben in der Übergangszeit anwendbar, und Strukturanalyse und Schutzbedarfsfeststellung beschreiben Ihren Informationsverbund unabhängig davon, in welcher Form die Anforderungen später vorliegen.
Für wen ist der IT-Grundschutz verbindlich?
Für die Einrichtungen der Bundesverwaltung: Nach § 44 Abs. 1 BSIG ergeben sich ihre Mindestanforderungen aus den BSI-Standards, dem Kompendium und den Mindeststandards des Bundes. Für Unternehmen schreibt das Gesetz keine bestimmte Methodik vor, auch nicht für NIS2-Einrichtungen; verbindlich wird der IT-Grundschutz für sie dann, wenn ein Vertrag oder Auftraggeber ihn verlangt. Wie Sie ein ISMS auf dem einen oder anderen Weg aufbauen, beschreibt der Leitfaden ISMS einführen.