Regelwerk
BSI IT-Grundschutz
Informationssicherheit nach der Methodik des BSI, Schritt für Schritt: von der Wahl der Vorgehensweise über Strukturanalyse und IT-Grundschutz-Check bis zur Zertifizierung und zum Umstieg auf Grundschutz++.
Was ist IT-Grundschutz?
Der IT-Grundschutz ist die Methode des Bundesamts für Sicherheit in der Informationstechnik (BSI) für den Aufbau eines Managementsystems für Informationssicherheit. Die BSI-Standards 200-1 bis 200-3 beschreiben das Vorgehen, das IT-Grundschutz-Kompendium (Edition 2023) enthält die Anforderungen. Nachfolger des Kompendiums ist Grundschutz++, das ab dem 1. Januar 2027 zertifizierbar ist.
Stand der Inhalte:
Bin ich betroffen?
Für Unternehmen ist der IT-Grundschutz freiwillig. Er eignet sich für Organisationen jeder Größe, die Informationssicherheit nach einer bewährten Methode aufbauen, eine Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz anstreben oder die Risikomanagementpflichten nach § 30 BSIG strukturiert erfüllen wollen.
Für Einrichtungen der Bundesverwaltung sind IT-Grundschutz und die Mindeststandards des BSI verbindliche Mindestanforderungen. Complass erklärt die Methode in eigenen Worten und verweist auf Kapitel und Kennungen; den Wortlaut der Anforderungen der Edition 2023 finden Sie im kostenlosen Kompendium des BSI.
Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.
Rechtsgrundlagen
- BSI-Standard 200-2IT-Grundschutz-Methodik
- BSI-Standard 200-3Risikoanalyse auf der Basis von IT-Grundschutz
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Original öffnen (gesetze-im-internet.de) ↗Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen
- § 44 BSIG§ 44 BSIG Vorgaben des Bundesamtes(1) Die Einrichtungen der Bundesverwaltung müssen Mindestanforderungen zum Schutz der in der Bundesverwaltung verarbeiteten Informationen erfüllen. Die Mindestanforderungen ergeben sich aus den BSI-Standards und dem Grundschutzkompendium (IT-Grundschutz) sowie aus den Mindeststandards für die Sicherheit in der Informationstechnik des Bundes (Mindeststandards) in den jeweils geltenden Fassungen. Die jeweils geltenden …Original öffnen (gesetze-im-internet.de) ↗Mindestanforderungen der Bundesverwaltung aus IT-Grundschutz und Mindeststandards
Wichtige Fristen
- IT-Grundschutz-Kompendium Edition 2023 verfügbar (löst Edition 2022 ab) · BSI, IT-Grundschutz-Kompendium
- Veröffentlichung der Methodik Grundschutz++ auf der it-sa 2026 · BSI, Meilensteinplan Grundschutz++
- Grundschutz++ ist zertifizierbar (ISO 27001 auf Basis von Grundschutz++) · BSI, Meilensteinplan Grundschutz++
- Ende der Zertifizierbarkeit des klassischen IT-Grundschutzes · BSI, Meilensteinplan Grundschutz++
Für Unternehmen gibt es keine gesetzlichen Fristen zur Einführung des IT-Grundschutzes. Die Termine oben betreffen den Umstieg auf Grundschutz++ nach dem Meilensteinplan des BSI; Audit-Termine tragen Sie im Projektplan ein.
Wie Complass hilft
Zehn Phasen nach BSI-Standard 200-2
Initiierung mit Wahl der Vorgehensweise, Organisation, Strukturanalyse, Schutzbedarf, Modellierung, IT-Grundschutz-Check, Risikoanalyse, Umsetzung, Verbesserung sowie Zertifizierung und Umstieg; jeder Schritt zeigt, was bei Basis- und Kern-Absicherung gilt.
Edition 2023 und Grundschutz++
Die Anforderungen der Edition 2023 mit Kennung, Stufe und eigener Kurzbeschreibung sowie der Anwenderkatalog Grundschutz++ im Originalwortlaut, jeweils mit Status und Nachweis.
Vorlagen nach den Referenzdokumenten
Unter anderem Leitlinie, Festlegung der Vorgehensweise, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Risikoanalyse mit den elementaren Gefährdungen, Realisierungsplan und Übersicht der Referenzdokumente A.0 bis A.6.
Modellierung und Check je Zielobjekt
Zielobjekte aus dem Asset-Verzeichnis, einzeln oder als Gruppe, Schutzbedarf nach dem Maximumprinzip, Bausteinvorschläge, IT-Grundschutz-Check je Zielobjekt als geführter Ablauf und Realisierungsplan; die Referenzdokumente A.3, A.4 und A.6 exportieren Sie als Excel und PDF.
Verzahnt mit Assets und Risiken
Strukturanalyse und Schutzbedarf im Asset-Inventar, Risikoanalyse mit der Vorlage nach BSI-Standard 200-3, gemeinsame Maßnahmen mit ISO 27001 und NIS2.
Die Phasen im Modul
- Initiierung des Sicherheitsprozesses
- Organisation des Sicherheitsprozesses
- Strukturanalyse
- Schutzbedarfsfeststellung
- Modellierung
- IT-Grundschutz-Check
- Risikoanalyse nach BSI-Standard 200-3
- Umsetzung der Sicherheitskonzeption
- Aufrechterhaltung und kontinuierliche Verbesserung
- Zertifizierung und Umstieg auf Grundschutz++
Katalog: IT-Grundschutz-Kompendium 2023 – ISMS Sicherheitsmanagement, ORP Organisation und Personal
Passende Bausteine
Compliance-Management
Regelwerke geführt umsetzen: Phasen, Vorlagen, Dokumentenpyramide, Kataloge, Gap-Analyse, Ziele und Maßnahmenplan bis zur Prüfung im Prüferportal.
Mehr erfahrenAsset-Management
IT- und OT-Assets an einem Ort, agentless erfasst, mit SBOM, Herstellerhinweisen, Support-Ende, Lizenzabgleich, Identitäten, Zusammenhängen und Zonen nach IEC 62443-3-2.
Mehr erfahrenRisk-Management
Risikoregister mit qualitativer oder quantitativer Bewertung, Risikoappetit und Behandlungsplan, verzahnt mit Assets, Schwachstellen und Vorfällen.
Mehr erfahrenHäufige Fragen
Zertifiziert Complass nach IT-Grundschutz?
Nein. Zertifizierungsstelle für ISO 27001 auf der Basis von IT-Grundschutz ist das BSI; die Prüfung führt ein vom BSI zertifizierter Auditor durch. Complass bereitet Sie mit Vorlagen, Katalogen und Nachweisen darauf vor.
Sind die Texte des IT-Grundschutz-Kompendiums enthalten?
Nein. Für die Edition 2023 enthält Complass Kennungen, Stufen und eigene Kurzbeschreibungen; den Wortlaut lesen Sie im kostenlosen Kompendium des BSI nach. Die Anforderungen von Grundschutz++ veröffentlicht das BSI unter der Lizenz CC BY-SA 4.0, sie sind im Originalwortlaut enthalten.
Sollten wir noch mit der Edition 2023 beginnen?
Wer kurzfristig zertifizieren will, kann das bis zum 30. November 2031 auf Basis des klassischen IT-Grundschutzes tun. Wer erst 2027 oder später zertifizieren möchte, plant am besten direkt mit Grundschutz++; Strukturanalyse, Schutzbedarf und Risikoanalyse bleiben in beiden Fällen nutzbar.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.