BSI IT-Grundschutz

Der BSI IT-Grundschutz ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik für ein systematisches Informationssicherheits-Managementsystem. Kern sind das IT-Grundschutz-Kompendium mit seinen Bausteinen, die Schutzbedarfsfeststellung und drei Absicherungsstufen. Er ist kompatibel zu ISO 27001.

Der BSI IT-Grundschutz ist die in Deutschland etablierte Methodik für ein systematisches Informationssicherheits-Managementsystem (ISMS), herausgegeben vom Bundesamt für Sicherheit in der Informationstechnik (BSI). Er liefert nicht nur das Was, sondern auch ein sehr konkretes Wie.

Bausteine statt Bauchgefühl

Herzstück ist das IT-Grundschutz-Kompendium: eine umfangreiche Sammlung von Bausteinen, die typische Objekte einer Organisation beschreiben, von Anwendungen über Netze und Räume bis zu organisatorischen Themen. Jeder Baustein bündelt konkrete Anforderungen. Statt jedes Risiko einzeln herzuleiten, arbeitest du mit erprobten Bausteinen und passt sie an.

Die drei Absicherungsstufen

Der IT-Grundschutz kennt drei Vorgehensweisen, je nach Reifegrad und Schutzbedarf:

  • Basis-Absicherung. Schneller Einstieg mit den wichtigsten Anforderungen.
  • Standard-Absicherung. Der Regelfall, vergleichbar mit dem Anspruch von ISO 27001.
  • Kern-Absicherung. Fokus auf die besonders schützenswerten Kronjuwelen einer Organisation.

Schutzbedarf und Vererbung

Vor den Maßnahmen steht die Schutzbedarfsfeststellung. Sie ermittelt je Zielobjekt den Schutzbedarf und vererbt ihn entlang der Kette, gesteuert durch [Maximumprinzip] und [Kumulationseffekt]. Erst daraus ergibt sich, welche Bausteine und Anforderungen wirklich gelten.

Verhältnis zu ISO 27001

IT-Grundschutz und ISO 27001 sind keine Gegensätze. Eine Zertifizierung nach ISO 27001 ist auf Basis von IT-Grundschutz möglich: Die Methodik führt strukturiert zu einem ISMS, das den Anforderungen der ISO-Norm genügt. Wer international anschlussfähig sein will, kombiniert beides.

In Kopexa hinterlegst du Schutzbedarf, Bausteine und Nachweise an einem Ort, sodass die IT-Grundschutz-Logik nicht in Word-Dokumenten verstaubt, sondern lebendig bleibt.