BSI IT-Grundschutz ist eine Methodik für den Aufbau und Betrieb eines Informationssicherheitsmanagementsystems (ISMS). Er ist weder für jedes deutsche Unternehmen gesetzlich vorgeschrieben noch automatisch mit einer Zertifizierung verbunden. Sein Vorteil liegt in der systematischen Vorgehensweise: Schutzbedarf bestimmen, den Informationsverbund modellieren, passende Anforderungen auswählen, Lücken schließen und die Wirksamkeit nachvollziehbar belegen.
Dieser Leitfaden zeigt, welche Grundschutz-Vorgehensweise zu Ihrer Organisation passt und welche Arbeitsergebnisse am Ende vorliegen sollten.
Was gehört zum IT-Grundschutz?
Der IT-Grundschutz besteht nicht aus einem einzelnen Kontrollkatalog. Vier BSI-Standards und das laufend gepflegte IT-Grundschutz-Kompendium greifen ineinander:
| Bestandteil | Zweck |
|---|---|
| BSI-Standard 200-1 | Allgemeine Anforderungen an ein ISMS |
| BSI-Standard 200-2 | Methodik für Aufbau und Betrieb nach IT-Grundschutz |
| BSI-Standard 200-3 | Risikoanalyse für Bereiche, die mit der Grundschutz-Modellierung nicht ausreichend behandelt sind |
| BSI-Standard 200-4 | Business Continuity Management und Verzahnung mit dem ISMS |
| IT-Grundschutz-Kompendium | Bausteine mit Gefährdungslage und Anforderungen für typische Prozesse, Systeme und Infrastrukturen |
Die Bausteine beschreiben, was erreicht werden soll. Umsetzungshinweise und eigene Sicherheitskonzepte konkretisieren, wie die Organisation dies in ihrer Umgebung erreicht. Eine bloße Checkliste ohne Kontext, Verantwortliche und Nachweise ist deshalb kein belastbares Grundschutz-Projekt.
Welche Vorgehensweise passt?
Basis-Absicherung
Die Basis-Absicherung schafft zunächst ein breites Sicherheitsniveau über den betrachteten Informationsverbund. Sie eignet sich als strukturierter Einstieg, wenn viele grundlegende Maßnahmen fehlen oder schnell priorisiert werden müssen. Sie ist kein „kleines Zertifikat“ und ersetzt bei hohem Schutzbedarf keine vertiefte Risikoanalyse.
Standard-Absicherung
Die Standard-Absicherung betrachtet den vollständigen Informationsverbund und setzt die Grundschutz-Methodik umfassend um. Sie ist regelmäßig die passende Grundlage, wenn ein dauerhaftes ISMS oder eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz angestrebt wird.
Kern-Absicherung
Die Kern-Absicherung konzentriert sich zunächst auf besonders schützenswerte Geschäftsprozesse und die dafür erforderlichen Ressourcen. Sie kann sinnvoll sein, wenn eine vollständige Modellierung zu Beginn zu groß wäre. Die Abgrenzung muss jedoch fachlich begründet sein; unbequeme Abhängigkeiten dürfen nicht einfach außerhalb des Kerns bleiben.
Umsetzung in sieben belastbaren Schritten
1. Auftrag und Geltungsbereich festlegen
Die Leitung erteilt einen klaren Auftrag, benennt Rollen und stellt Ressourcen bereit. Der Informationsverbund wird anhand von Geschäftsprozessen, Organisationseinheiten, Standorten, Anwendungen, IT-Systemen und Dienstleistern abgegrenzt. Die Abgrenzung sollte so formuliert sein, dass ein unabhängiger Prüfer sie nachvollziehen kann.
2. Strukturanalyse erstellen
Erfassen Sie die Objekte und Abhängigkeiten, die für die betrachteten Leistungen tatsächlich benötigt werden. Cloud-Dienste und ausgelagerte Betriebsleistungen gehören in das Modell; Outsourcing entfernt weder Risiken noch Steuerungsverantwortung.
3. Schutzbedarf feststellen
Bewerten Sie Vertraulichkeit, Integrität und Verfügbarkeit aus Sicht der Geschäftsprozesse. Halten Sie Begründungen und Vererbungsentscheidungen fest. Pauschal überall „hoch“ anzukreuzen erzeugt ebenso wenig Steuerungswert wie eine zu niedrige Einstufung ohne Folgenanalyse.
4. Bausteine modellieren
Ordnen Sie den Zielobjekten die einschlägigen Bausteine der verwendeten Kompendium-Edition zu. Dokumentieren Sie, warum ein Baustein anwendbar oder nicht anwendbar ist. So bleibt die Modellierung auch nach Architekturänderungen prüfbar.
5. Grundschutz-Check und Risikoanalyse durchführen
Im Grundschutz-Check wird der Umsetzungsstatus der Anforderungen mit Belegen bewertet. Für hohen oder sehr hohen Schutzbedarf, zusätzliche Gefährdungen oder nicht ausreichend abgedeckte Zielobjekte folgt die Risikoanalyse nach BSI-Standard 200-3. Das Ergebnis ist eine begründete Risikobehandlung, nicht nur eine Liste offener Maßnahmen.
6. Maßnahmen priorisieren und umsetzen
Ordnen Sie jeder Maßnahme eine verantwortliche Person, Zieltermin, Finanzierung und einen prüfbaren Abschlussnachweis zu. Priorität ergibt sich aus Risiko und Abhängigkeiten, nicht allein aus der Anzahl offener Anforderungen.
7. Wirksamkeit betreiben
Ein ISMS endet nicht mit dem Projektplan. Kennzahlen, interne Prüfungen, Vorfälle, Übungen, Änderungen und Managementbewertungen müssen Rückmeldungen in Risikoanalyse und Maßnahmenplanung auslösen. Veraltete Inventare und Nachweise sind ein häufigeres Auditproblem als fehlende Richtlinien.
Welche Nachweise sollten entstehen?
Ein arbeitsfähiger Mindestbestand umfasst typischerweise:
- dokumentierten Geltungsbereich und Sicherheitsleitlinie,
- Rollen, Verantwortlichkeiten und Freigaben,
- Strukturanalyse, Schutzbedarfsfeststellung und Netzplan,
- Modellierung mit verwendeter Kompendium-Edition,
- Grundschutz-Check und ergänzende Risikoanalysen,
- Maßnahmenplan mit Risikoentscheidungen,
- Betriebsnachweise wie Protokolle, Tickets, Tests und Übungen,
- interne Prüfung und Managementbewertung.
Die konkrete Dokumentation hängt von Größe, Schutzbedarf und Zielsetzung ab. Das BSI schreibt für normale Anwender keine universelle Dokumentenzahl oder Projektlaufzeit vor.
Verhältnis zu ISO 27001, NIS2 und KRITIS
ISO/IEC 27001 und IT-Grundschutz sind nicht dasselbe. Eine Organisation kann ein ISO/IEC-27001-ISMS ohne Grundschutz betreiben. Daneben gibt es das eigenständige BSI-Verfahren „ISO 27001 auf der Basis von IT-Grundschutz“ mit definierter Prüfgrundlage und BSI-Zertifizierung. Welcher Weg passt, hängt von Kundenanforderungen, öffentlichem Umfeld, vorhandener Methodik und gewünschter Nachweistiefe ab.
Das geltende BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen. § 30 BSIG schreibt IT-Grundschutz oder eine Zertifizierung jedoch nicht pauschal vor. Grundschutz kann die strukturierte Umsetzung und Dokumentation unterstützen; die gesetzliche Betroffenheit und sektorale Sonderregeln müssen separat geprüft werden.
Für Betreiber kritischer Anlagen gelten zusätzliche BSIG-Pflichten, etwa zu Angriffserkennung und Nachweisen. Auch dort ist ein Grundschutz-Projekt nicht automatisch der vollständige Rechtsnachweis. Maßgeblich sind Gesetz, einschlägige Verordnungen, behördliche Konkretisierungen und gegebenenfalls branchenspezifische Sicherheitsstandards.
Häufige Fehlentscheidungen
- Bausteine ohne sauberen Scope auswählen: Dann fehlen kritische Abhängigkeiten oder es entsteht unnötiger Prüfaufwand.
- Tool-Ausgabe mit Risikobewertung verwechseln: Ein Scanner kennt die geschäftlichen Auswirkungen nicht.
- Zertifizierung zu früh planen: Erst müssen Scope, ISMS und Nachweise stabil sein.
- Normen als Rechtsgarantie darstellen: Ein Zertifikat kann Nachweise stärken, ersetzt aber keine Prüfung des anwendbaren Rechts.
- Editionen vermischen: Kompendium, Umsetzungshinweise und Zertifizierungsgrundlage müssen versioniert sein.
Der nächste sinnvolle Schritt
Beginnen Sie mit einer Scope- und Reifegradentscheidung: Welche Leistungen sollen geschützt werden, welche rechtlichen oder vertraglichen Nachweise werden benötigt, und passt Basis-, Kern- oder Standard-Absicherung dazu? Unsere Cyber-Security-Beratung unterstützt bei Grundschutz-Modellierung, Risikoanalyse und prüfbaren Umsetzungsnachweisen.
Quellen und Prüfung
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.