IT-Grundschutz

Q: Ist der IT-Grundschutz verpflichtend?

Für Unternehmen gibt es keine allgemeine Pflicht zur Umsetzung des IT‑Grundschutzes. Verbindliche Anforderungen können sich aber aus Branche, Auftraggebern, Behörden oder gesetzlichen Vorgaben ergeben, etwa wenn bestimmte Sicherheitsstandards verlangt werden.

Q: Was ist ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz?

Dabei handelt es sich um eine Zertifizierung nach ISO 27001, allerdings auf Grundlage der BSI-Methode des IT‑Grundschutzes. Im Audit wird geprüft, ob das ISMS die Anforderungen der ISO-Norm erfüllt und die Grundschutz-Methodik korrekt umgesetzt wurde.

IT-Grundschutz gibt Unternehmen einen klaren Rahmen, um Informationssicherheit systematisch und praxisnah zu organisieren. Der Artikel zeigt, wie die BSI-Methodik aufgebaut ist, wo sie sich im Unternehmensalltag einsetzen lässt und was sich mit Grundschutz++ künftig verändert.

IT-Grundschutz – Auf einen Blick

Was ist der IT‑Grundschutz?

Der IT-Grundschutz ist eine BSI-Methodik, mit der Unternehmen und Behörden ihr Informationssicherheitsmanagement systematisch aufbauen und absichern können.

Wie funktioniert der IT‑Grundschutz?

Schutzbedarf, passende Grundschutz-Bausteine und ein Soll-Ist-Abgleich bilden die Grundlage, um offene Sicherheitsanforderungen gezielt umzusetzen.

Welche Rolle spielt das IT‑Grundschutz-Kompendium?

Das Kompendium bündelt Sicherheitsanforderungen in vorgefertigten Bausteinen für typische Systeme, Prozesse und Bereiche einer Organisation.

Wer kann den IT‑Grundschutz nutzen?

Unternehmen und Institutionen jeder Größe können den Umfang an ihren Schutzbedarf und die vorhandenen Strukturen anpassen.

BSI-Grundschutz als Rahmen für Informationssicherheit

Der IT-Grundschutz ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickeltes Rahmenwerk für den systematischen Aufbau von Informationssicherheit. Unternehmen und Behörden erhalten damit eine erprobte Vorgehensweise, um Risiken zu erkennen, passende Sicherheitsmaßnahmen auszuwählen und das erreichte Sicherheitsniveau dauerhaft weiterzuentwickeln.

Dabei geht der BSI-Grundschutz deutlich über reine IT-Sicherheit und Technik hinaus. Neben technischen Aspekten und IT-Systemen berücksichtigt die Methodik auch Organisation, Personal und Infrastruktur. So lassen sich beispielsweise Prozesse, Daten, Gebäude oder externe Dienste in die Absicherung einbeziehen.

Für Unternehmen entsteht daraus ein praxisnaher Sicherheitsansatz mit konkreten Anforderungen. Gleichzeitig schafft der IT-Grundschutz eine solide Grundlage für das Informationssicherheitsmanagement, den Aufbau eines Informationssicherheitsmanagementsystems (ISMS) und später auch für eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz.

Sicherheitsniveau gezielt verbessern

Bringen Sie Struktur in Ihre Informationssicherheit. CSM Consulting unterstützt Sie dabei, den IT-Grundschutz passend zu Ihrem Unternehmen umzusetzen.

Aufbau des IT-Grundschutzes

Der IT-Grundschutz besteht aus mehreren Bestandteilen, die unterschiedliche Aufgaben übernehmen. Die IT-Grundschutz-Standards geben den methodischen Rahmen vor, das IT-Grundschutz-Kompendium bringt Anforderungen für konkrete Bereiche und Systeme dazu. Ergänzende Hilfsmittel unterstützen bei der praktischen Durchführung.

BSI-Standards 200 als methodische Grundlage

Als methodische Basis dienen die BSI-Standards der Reihe 200. Sie beschreiben, wie Informationssicherheit organisiert, umgesetzt und regelmäßig überprüft werden kann.

Besonders wichtig sind:

BSI-Standard 200-1: beschreibt Anforderungen an ein Informationssicherheitsmanagementsystem und orientiert sich an ISO 27001.
BSI-Standard 200-2: legt die IT-Grundschutz-Methodik und verschiedene Vorgehensweisen zur Absicherung fest.
BSI-Standard 200-3: unterstützt bei der Risikoanalyse, wenn besondere Risiken oder Gefährdungen mit den üblichen Anforderungen des Grundschutzes nicht ausreichend abgedeckt werden.
BSI-Standard 200-4: behandelt das Business-Continuity-Management und die Vorbereitung auf Ausfälle und Notfälle.

Zusammen bilden diese BSI-Standards die methodische Grundlage für die Umsetzung und Aufrechterhaltung des IT-Grundschutzes.

IT-Grundschutz-Kompendium und Bausteine

Beim IT-Grundschutz-Kompendium geht es um die praktische Arbeit mit dem Grundschutz. Das BSI bündelt darin Bausteine für typische Bereiche wie Organisation, Infrastruktur, IT-Systeme oder Anwendungen und beschreibt, welche Anforderungen und typischen Gefährdungen dort relevant sind.

Die Edition 2023 des IT-Grundschutz-Kompendiums ist seit dem 1. Februar 2023 verfügbar. Unternehmen wählen daraus die für ihren Informationsverbund passenden Bausteine aus und übertragen die beschriebenen Anforderungen auf ihre eigene Organisation.

IT-Grundschutz-Profile für bestimmte Anwendungsbereiche

Ein IT-Grundschutz-Profil geht einen Schritt weiter und stellt für einen bestimmten Anwendungsfall bereits eine passende Auswahl vorgefertigter IT-Grundschutz-Bausteine zusammen. Je nach Branche oder Organisationstyp entsteht so eine Vorlage, an der sich Unternehmen bei Prozessen, Systemen und Sicherheitsanforderungen orientieren können. Das spart Aufwand und erleichtert den Einstieg in eine strukturierte Absicherung.

IT-Grundschutz in Unternehmen umsetzen

Vor der eigentlichen Umsetzung braucht es zuerst einen klaren Überblick über Systeme, Prozesse und ihren Schutzbedarf. Auf dieser Basis werden passende IT-Grundschutz-Bausteine ausgewählt und offene Sicherheitsanforderungen Schritt für Schritt abgearbeitet.

Je nach Ziel unterscheidet der IT-Grundschutz zwischen Basis-, Kern- und Standard-Absicherung. Die Basis-Absicherung schafft zunächst ein grundlegendes Sicherheitsniveau, die Kern-Absicherung konzentriert sich auf besonders schützenswerte Bereiche und die Standard-Absicherung betrachtet den Informationsverbund umfassend.

Das Vorgehen Schritt für Schritt:

Informationsverbund erfassen: Relevante Geschäftsprozesse, Anwendungen, IT-Systeme, Gebäude und weitere Bestandteile der Organisation werden strukturiert aufgenommen.
Schutzbedarf bestimmen: Anschließend wird bewertet, welche Folgen ein Verlust der Schutzziele Vertraulichkeit, Integrität oder Verfügbarkeit hätte. Die Schutzbedarfsanalyse hilft dabei, besonders kritische Systeme und Daten früh zu erkennen.
Grundschutz modellieren und Soll-Ist-Abgleich durchführen: Passende IT-Grundschutz-Bausteine werden den jeweiligen Zielobjekten zugeordnet. Im anschließenden Check zeigt sich, welche Anforderungen bereits erfüllt sind und wo noch Handlungsbedarf besteht.
Maßnahmen umsetzen: Offene Sicherheitsanforderungen werden priorisiert und schrittweise abgearbeitet. Die Basis-Absicherung kann dabei einen pragmatischen Einstieg bieten.
Wirksamkeit prüfen und weiterentwickeln: Sicherheitsmaßnahmen müssen regelmäßig überprüft und bei Bedarf verbessert werden. Kontrollen zeigen, ob die Umsetzung greift und wo noch Handlungsbedarf besteht. Je nach Risiko können dabei auch Penetrationstests zusätzliche Schwachstellen sichtbar machen.

Der Ansatz endet dabei nicht mit der ersten Umsetzung. Über regelmäßige Prüfung und Verbesserung folgt der IT-Grundschutz dem Grundgedanken des PDCA-Zyklus und wird laufend an neue Risiken angepasst.

IT-Grundschutz, ISMS und IT-Sicherheit

Im Informationssicherheitsmanagement hilft der IT-Grundschutz dabei, Anforderungen in konkrete Abläufe und Maßnahmen zu übersetzen. Wer ein ISMS aufbauen oder weiterentwickeln will, bekommt damit deutlich mehr Orientierung für die praktische Umsetzung. Viele Anforderungen sind bereits in vorgefertigten Bausteinen für typische Systeme, Prozesse und Sicherheitsbereiche beschrieben, sodass Unternehmen nicht jeden einzelnen Schritt selbst entwickeln müssen.

Daraus können unter anderem Maßnahmen für das Identitäts- und Zugriffsmanagement, Patch-Management, Datensicherung oder technische Schutzmechanismen entstehen. Auch organisatorische Themen gehören dazu, etwa klare Rollen, eine Informationssicherheitsrichtlinie und Vorgaben für Mitarbeiter.

Security Awareness stärkt den Umgang der Mitarbeiter mit Sicherheitsrisiken, während das Incident-Management klare Abläufe für erkannte Sicherheitsvorfälle schafft.

IT-Grundschutz und ISO 27001

ISO 27001 legt fest, was ein wirksames ISMS leisten muss. Der IT-Grundschutz hilft deutlich konkreter bei der Frage, wie diese Anforderungen praktisch umgesetzt werden können. Der große Vorteil liegt in der vorbereiteten Struktur.

Unternehmen müssen viele Anforderungen nicht von Grund auf selbst in Maßnahmen übersetzen, weil das BSI bereits passende Bausteine, Standards und Vorgehensweisen bereitstellt. Voraussetzung für diesen Zertifizierungsweg ist ein ISMS, das sowohl die Anforderungen der ISO 27001 als auch die Vorgaben der Grundschutz-Methodik erfüllt. Eine Basis- oder Kern-Absicherung allein ist dabei noch nicht mit einer Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz gleichzusetzen.

Ein bestehendes ISMS nach ISO 27001 lässt sich unabhängig vom IT-Grundschutz weiterführen. Wer stärker mit der BSI-Methodik arbeiten möchte, kann sie ergänzend einsetzen oder den Weg zur ISO-27001-Zertifizierung auf Basis von IT-Grundschutz wählen. Dabei kommt zur internationalen Norm die deutlich konkretere Vorgehensweise des BSI hinzu.

Einsatzbereiche des BSI-Grundschutzes

IT-Grundschutz passt überall dort, wo Informationssicherheit nachvollziehbar organisiert und dauerhaft abgesichert werden soll. Umfang und Tiefe richten sich nach Größe, Schutzbedarf und vorhandenen Strukturen.

Für kleinere Betriebe kann schon eine schlanke Basis-Absicherung sinnvoll sein. Größere Organisationen nutzen den Grundschutz häufig als methodische Grundlage für ein umfassenderes ISMS oder ein eigenes Sicherheitskonzept.

Typische Einsatzfelder sind:

Unternehmen und KMU: Vorgefertigte Bausteine erleichtern den Einstieg, weil Anforderungen nicht komplett selbst entwickelt werden müssen.
Behörden: Klare Standards und Vorgaben schaffen eine einheitliche Grundlage für die Absicherung von IT und Verwaltungsprozessen.
KRITIS-Betreiber: Bei kritischen Infrastrukturen helfen strukturierte Vorgaben dabei, Risiken und Schutzmaßnahmen nachvollziehbar zu steuern.
Gesundheitswesen: Sensible Patientendaten, vernetzte Systeme und hohe Anforderungen an die Verfügbarkeit machen ein systematisches Vorgehen besonders wichtig.

Zukunft des IT-Grundschutzes

Mit Grundschutz++ entwickelt das BSI die bisherige Grundschutz-Methodik weiter und reagiert damit auch auf die fortschreitende Digitalisierung von Sicherheitsprozessen. Seit April 2026 läuft die Pilotierungsphase mit Partnern aus Verwaltung und Wirtschaft. Die dabei gewonnenen Erfahrungen fließen in die weitere Ausgestaltung der Methodik ein.

Der Anwenderkatalog-Grundschutz++ soll das bisherige IT-Grundschutz-Kompendium ablösen. Anforderungen werden in einem maschinenlesbaren Format bereitgestellt und können dadurch stärker automatisiert verarbeitet und überwacht werden. Laut BSI werden außerdem die bisherigen Absicherungsstufen Basis, Standard und erhöhter Schutzbedarf durch flexible Leistungszahlen in Verbindung mit dynamischen Schwellwerten ersetzt.

Für den weiteren Ausbau gibt es bereits einen konkreten Zeitplan. Ab dem 1. Januar 2027 können Zertifizierungsanträge für ISO 27001 auf Basis von Grundschutz++ gestellt werden. 2027 soll auch die Leistungsmessung weiter ausgebaut werden. Laut BSI folgen Ende Februar das entsprechende Messkonzept und bis Ende März Leistungskennzahlen für die Anforderungen aus den ISMS-Praktiken.

Häufige Fragen und Antworten

Ist der IT-Grundschutz verpflichtend?

Für Unternehmen gibt es keine allgemeine Pflicht zur Umsetzung des IT‑Grundschutzes. Verbindliche Anforderungen können sich aber aus Branche, Auftraggebern, Behörden oder gesetzlichen Vorgaben ergeben, etwa wenn bestimmte Sicherheitsstandards verlangt werden.

Was ist ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz?

Dabei handelt es sich um eine Zertifizierung nach ISO 27001, allerdings auf Grundlage der BSI-Methode des IT‑Grundschutzes. Im Audit wird geprüft, ob das ISMS die Anforderungen der ISO-Norm erfüllt und die Grundschutz-Methodik korrekt umgesetzt wurde.

Was bedeutet Basis-Absicherung im IT-Grundschutz?

Mit der Basis-Absicherung können Unternehmen zunächst einen grundlegenden Schutz für wichtige Bereiche aufbauen, ohne sofort den gesamten IT-Grundschutz umzusetzen. Der Fokus liegt auf besonders relevanten Anforderungen, mit denen sich das Sicherheitsniveau vergleichsweise schnell und strukturiert verbessern lässt.