BSI IT-Grundschutz:
Der deutsche Sicherheitsstandard

BSI IT-Grundschutz ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebenes Regelwerk für Informationssicherheit. Es umfasst das IT-Grundschutz-Kompendium mit über 200 Bausteinen, das IT-Grundschutz-Vorgehensmodell und das BSI-Zertifizierungsschema. IT-Grundschutz eignet sich besonders für deutsche Behörden, KRITIS-Betreiber, Unternehmen mit öffentlichen Aufträgen und Organisationen, die auf Basis des deutschen Rechtsrahmens arbeiten. Eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz ist möglich und anerkannt.

ISO 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS) - er beschreibt das "Was" (Anforderungen), gibt aber wenig Orientierung beim "Wie". BSI IT-Grundschutz ist der deutsche Ansatz, der beides liefert: einen methodischen Rahmen (Vorgehensmodell) und einen umfangreichen Maßnahmenkatalog (Kompendium) mit konkreten Umsetzungshinweisen für über 200 Bausteine. ISO 27001 ist flexibler und international anerkannter; IT-Grundschutz ist detaillierter und im deutschen Behörden- und KRITIS-Umfeld dominierende Referenz. Eine ISO-27001-Zertifizierung auf IT-Grundschutz-Basis ("ISO 27001 auf Basis von IT-Grundschutz") kombiniert beide Ansätze.

Betreiber Kritischer Infrastrukturen (KRITIS) nach §8a BSIG sind verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen ihrer kritischen Dienstleistungen zu treffen und dies alle zwei Jahre gegenüber dem BSI nachzuweisen. IT-Grundschutz (oder ein gleichwertiger Standard wie ISO 27001) wird als anerkannter Nachweisrahmen akzeptiert. KRITIS-Betreiber umfassen Sektoren wie Energie, Wasser, Ernährung, IT und Telekommunikation, Gesundheit, Finanzwesen, Transport sowie Staat und Verwaltung - ab einem sektorspezifischen Schwellenwert.

Das IT-Grundschutz-Kompendium kennt drei Absicherungsstufen: (1) Basis-Absicherung: Einstieg in IT-Grundschutz mit den wichtigsten Maßnahmen für einen Grundschutz - geeignet für den schnellen Einstieg oder kleine Institutionen. (2) Standard-Absicherung: Vollständige Umsetzung des IT-Grundschutz-Vorgehensmodells mit Schutzbedarfsfeststellung und Risikoanalyse - Referenzpunkt für die meisten Anwendungen und Grundlage für das BSI-Grundschutz-Zertifikat. (3) Kern-Absicherung: Fokus auf besonders schützenswerte Kronjuwelen der Organisation mit höchstem Schutzbedarf - geeignet für Organisationen mit sehr begrenzten Ressourcen, die zunächst nur ihre kritischsten Assets absichern wollen.

Das IT-Grundschutz-Kompendium ist das Kernwerk des BSI IT-Grundschutzes - eine regelmäßig aktualisierte Sammlung von Sicherheitsanforderungen und Umsetzungshinweisen. Es ist in zehn Schichten (ISMS, ORP, CON, OPS, DER, APP, SYS, IND, NET, INF) gegliedert und enthält über 200 Bausteine. Jeder Baustein beschreibt eine Systemkomponente oder einen Prozess, formuliert Basis- und Standard-Anforderungen sowie Anforderungen bei erhöhtem Schutzbedarf, und gibt konkrete Hinweise zur Umsetzung. Das Kompendium wird jährlich aktualisiert und ist kostenfrei auf der BSI-Website verfügbar.

Die BSI-Grundschutz-Zertifizierung erfolgt in mehreren Phasen: (1) Strukturanalyse: Dokumentation aller IT-Systeme, Anwendungen und Räume des Informationsverbunds. (2) Schutzbedarfsfeststellung: Bewertung des Schutzbedarfs aller Zielobjekte in den Kategorien Vertraulichkeit, Integrität, Verfügbarkeit. (3) Modellierung: Zuordnung passender IT-Grundschutz-Bausteine zu allen Zielobjekten. (4) IT-Grundschutz-Check: Soll-Ist-Vergleich aller Maßnahmen durch eine Befragung der Verantwortlichen. (5) Risikoanalyse: Für Zielobjekte mit erhöhtem Schutzbedarf oder fehlenden Bausteinen. (6) Realisierung: Umsetzung der identifizierten Maßnahmen. (7) Audit durch BSI-zertifizierten Auditor und Erteilung des Grundschutz-Zertifikats.

Die Kosten für BSI IT-Grundschutz-Implementierung hängen stark von Institutionsgröße, Informationsverbund-Umfang und angestrebter Absicherungsstufe ab. Für eine mittlere Behörde oder ein KMU (50-200 Mitarbeitende) mit Standard-Absicherung sind typischerweise 30.000-80.000 EUR Beratungskosten über 9-15 Monate realistisch. Hinzu kommen Kosten für das BSI-Grundschutz-Zertifizierungsaudit (10.000-25.000 EUR). Wir erstellen Ihnen auf Basis einer kostenlosen Erstberatung ein verbindliches Festpreisangebot - transparent und ohne offene Beratertage.

NIS2 (Richtlinie EU 2022/2555) fordert von betroffenen Einrichtungen ein Risikomanagementsystem für Cybersicherheit mit konkreten Maßnahmen - unter anderem Vorfallmanagement, Business Continuity Management, Supply-Chain-Sicherheit und Sicherheit bei der Beschaffung. Ein IT-Grundschutz-konformer Informationsverbund (Standard-Absicherung) erfüllt die wesentlichen NIS2-Anforderungen an technische und organisatorische Maßnahmen. Für KRITIS-Betreiber unter §8a BSIG n.F. ist der IT-Grundschutz als Nachweisrahmen ausdrücklich anerkannt. AWARE7 berät sowohl zu IT-Grundschutz als auch zur NIS2-Umsetzung.