marco normativo
BSI IT-Grundschutz
Seguridad de la información según la metodología del BSI, paso a paso: desde la elección del enfoque, pasando por el análisis de estructura y la verificación de IT-Grundschutz, hasta la certificación y la transición a Grundschutz++.
¿Qué es IT-Grundschutz?
IT-Grundschutz es el método de la Oficina Federal alemana para la Seguridad de la Información (BSI) para implantar un sistema de gestión de la seguridad de la información. Los estándares BSI 200-1 a 200-3 describen el procedimiento; el compendio de IT-Grundschutz (edición 2023) contiene los requisitos. El sucesor del compendio es Grundschutz++, certificable a partir del 1 de enero de 2027.
Actualidad de los contenidos:
¿Me afecta?
Para las empresas, IT-Grundschutz es voluntario. Resulta adecuado para organizaciones de cualquier tamaño que quieran implantar la seguridad de la información con un método probado, aspiren a una certificación ISO 27001 sobre la base de IT-Grundschutz o deseen cumplir de forma estructurada las obligaciones de gestión de riesgos del § 30 BSIG.
Para las entidades de la administración federal, IT-Grundschutz y los estándares mínimos del BSI son requisitos mínimos vinculantes. Complass explica el método con sus propias palabras y remite a capítulos e identificadores; el tenor literal de los requisitos de la edición 2023 figura en el compendio gratuito del BSI.
Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.
Base jurídica
- BSI-Standard 200-2Metodología de IT-Grundschutz
- BSI-Standard 200-3Análisis de riesgos basado en IT-Grundschutz
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Abrir el original (gesetze-im-internet.de) ↗Medidas de gestión de riesgos de las entidades esenciales e importantes
- § 44 BSIG§ 44 BSIG Vorgaben des Bundesamtes(1) Die Einrichtungen der Bundesverwaltung müssen Mindestanforderungen zum Schutz der in der Bundesverwaltung verarbeiteten Informationen erfüllen. Die Mindestanforderungen ergeben sich aus den BSI-Standards und dem Grundschutzkompendium (IT-Grundschutz) sowie aus den Mindeststandards für die Sicherheit in der Informationstechnik des Bundes (Mindeststandards) in den jeweils geltenden Fassungen. Die jeweils geltenden …Abrir el original (gesetze-im-internet.de) ↗Requisitos mínimos de la administración federal derivados de IT-Grundschutz y de los estándares mínimos
Fechas clave
- IT-Grundschutz Compendium Edition 2023 available (replaces Edition 2022) · BSI, IT-Grundschutz Compendium
- Publication of the Grundschutz++ methodology at it-sa 2026 · BSI, Grundschutz++ milestone plan
- Grundschutz++ can be certified (ISO 27001 on the basis of Grundschutz++) · BSI, Grundschutz++ milestone plan
- End of certifiability of classic IT-Grundschutz · BSI, Grundschutz++ milestone plan
Para las empresas no existen plazos legales para implantar IT-Grundschutz. Las fechas anteriores se refieren a la transición a Grundschutz++ según el plan de hitos del BSI; las fechas de auditoría las introduce en el plan del proyecto.
Cómo le ayuda Complass
Diez fases según el estándar BSI 200-2
Inicio con elección del enfoque, organización, análisis de estructura, necesidad de protección, modelado, verificación de IT-Grundschutz, análisis de riesgos, implantación, mejora, así como certificación y transición; cada paso muestra qué se aplica a la protección básica y a la protección esencial.
Edición 2023 y Grundschutz++
Los requisitos de la edición 2023 con identificador, nivel y descripción breve propia, así como el catálogo de usuario de Grundschutz++ en su tenor literal original, cada uno con estado y evidencia.
Plantillas conforme a los documentos de referencia
Entre otras, política, determinación del enfoque, análisis de estructura, determinación de la necesidad de protección, modelado, análisis de riesgos con las amenazas elementales, plan de implantación y resumen de los documentos de referencia A.0 a A.6.
Modelado y verificación por objeto de destino
Objetos de destino del inventario de activos, individuales o en grupo, necesidad de protección según el principio de máximo, propuestas de módulos, verificación de IT-Grundschutz por objeto de destino como flujo guiado y plan de implantación; los documentos de referencia A.3, A.4 y A.6 se exportan a Excel y PDF.
Vinculado con activos y riesgos
Análisis de estructura y necesidad de protección en el inventario de activos, análisis de riesgos con la plantilla según el estándar BSI 200-3, medidas comunes con ISO 27001 y NIS2.
Las fases del módulo
- Initiating the security process
- Organising the security process
- Structure analysis
- Protection requirement assessment
- Modelling
- IT-Grundschutz check
- Risk analysis according to BSI Standard 200-3
- Implementing the security concept
- Maintenance and continual improvement
- Certification and switch to Grundschutz++
Catálogo: IT-Grundschutz Compendium 2023 – ISMS Security Management, ORP Organisation and Personnel
Módulos relacionados
Gestión del cumplimiento
Implantar marcos normativos con guía: fases, plantillas, pirámide documental, catálogos, análisis de brechas, objetivos y plan de medidas hasta la auditoría en el portal de auditores.
Más informaciónGestión de activos
Activos de TI y OT en un solo lugar, recopilados sin agente, con SBOM, avisos de fabricantes, fin del soporte, conciliación de licencias, identidades, relaciones y zonas según IEC 62443-3-2.
Más informaciónGestión de riesgos
Registro de riesgos con evaluación cualitativa o cuantitativa, apetito de riesgo y plan de tratamiento, vinculado a activos, vulnerabilidades e incidentes.
Más informaciónPreguntas frecuentes
¿Certifica Complass según IT-Grundschutz?
No. El organismo de certificación de ISO 27001 sobre la base de IT-Grundschutz es el BSI; la auditoría la realiza un auditor certificado por el BSI. Complass le prepara con plantillas, catálogos y evidencias.
¿Se incluyen los textos del compendio de IT-Grundschutz?
No. Para la edición 2023, Complass incluye identificadores, niveles y descripciones breves propias; el tenor literal puede consultarlo en el compendio gratuito del BSI. Los requisitos de Grundschutz++ los publica el BSI bajo la licencia CC BY-SA 4.0 y se incluyen en su tenor literal original.
¿Deberíamos empezar todavía con la edición 2023?
Quien quiera certificarse a corto plazo puede hacerlo hasta el 30 de noviembre de 2031 sobre la base del IT-Grundschutz clásico. Quien desee certificarse en 2027 o más tarde hará mejor en planificar directamente con Grundschutz++; el análisis de estructura, la necesidad de protección y el análisis de riesgos siguen siendo utilizables en ambos casos.
Pruebe Complass con sus propios datos
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.