référentiel
BSI IT-Grundschutz
La sécurité de l’information selon la méthodologie du BSI, étape par étape : du choix de l’approche à la certification et au passage à Grundschutz++, en passant par l’analyse de structure et le contrôle IT-Grundschutz.
Qu’est-ce que IT-Grundschutz?
L’IT-Grundschutz est la méthode de l’Office fédéral allemand de la sécurité des technologies de l’information (BSI) pour mettre en place un système de management de la sécurité de l’information. Les standards BSI 200-1 à 200-3 décrivent la démarche, le Compendium IT-Grundschutz (édition 2023) contient les exigences. Le successeur du Compendium est Grundschutz++, certifiable à partir du 1er janvier 2027.
État des contenus:
Suis-je concerné ?
Pour les entreprises, l’IT-Grundschutz est facultatif. Il convient aux organisations de toute taille qui souhaitent structurer la sécurité de l’information selon une méthode éprouvée, viser une certification ISO 27001 sur la base de l’IT-Grundschutz ou satisfaire de manière structurée aux obligations de gestion des risques du § 30 BSIG.
Pour les entités de l’administration fédérale, l’IT-Grundschutz et les normes minimales du BSI sont des exigences minimales obligatoires. Complass explique la méthode avec ses propres mots et renvoie aux chapitres et aux identifiants ; vous trouverez le texte des exigences de l’édition 2023 dans le Compendium gratuit du BSI.
Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.
Base juridique
- BSI-Standard 200-2Méthodologie IT-Grundschutz
- BSI-Standard 200-3Analyse des risques selon l’IT-Grundschutz
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Ouvrir l’original (gesetze-im-internet.de) ↗Mesures de gestion des risques des entités essentielles et importantes
- § 44 BSIG§ 44 BSIG Vorgaben des Bundesamtes(1) Die Einrichtungen der Bundesverwaltung müssen Mindestanforderungen zum Schutz der in der Bundesverwaltung verarbeiteten Informationen erfüllen. Die Mindestanforderungen ergeben sich aus den BSI-Standards und dem Grundschutzkompendium (IT-Grundschutz) sowie aus den Mindeststandards für die Sicherheit in der Informationstechnik des Bundes (Mindeststandards) in den jeweils geltenden Fassungen. Die jeweils geltenden …Ouvrir l’original (gesetze-im-internet.de) ↗Exigences minimales de l’administration fédérale issues de l’IT-Grundschutz et des normes minimales
Dates clés
- IT-Grundschutz Compendium Edition 2023 available (replaces Edition 2022) · BSI, IT-Grundschutz Compendium
- Publication of the Grundschutz++ methodology at it-sa 2026 · BSI, Grundschutz++ milestone plan
- Grundschutz++ can be certified (ISO 27001 on the basis of Grundschutz++) · BSI, Grundschutz++ milestone plan
- End of certifiability of classic IT-Grundschutz · BSI, Grundschutz++ milestone plan
Il n’existe pas de délais légaux pour les entreprises pour introduire l’IT-Grundschutz. Les dates ci-dessus concernent le passage à Grundschutz++ selon le plan de jalons du BSI ; vous saisissez les dates d’audit dans le plan de projet.
Comment Complass vous aide
Dix phases selon le standard BSI 200-2
Initialisation avec choix de l’approche, organisation, analyse de structure, besoin de protection, modélisation, contrôle IT-Grundschutz, analyse des risques, mise en œuvre, amélioration ainsi que certification et migration ; chaque étape indique ce qui s’applique à la protection de base et à la protection de noyau.
Édition 2023 et Grundschutz++
Les exigences de l’édition 2023 avec identifiant, niveau et description courte propre, ainsi que le catalogue utilisateur Grundschutz++ dans son texte original, chacun avec statut et preuve.
Modèles d’après les documents de référence
Entre autres : politique, définition de l’approche, analyse de structure, détermination du besoin de protection, modélisation, analyse des risques avec les menaces élémentaires, plan de réalisation et aperçu des documents de référence A.0 à A.6.
Modélisation et contrôle par objet cible
Objets cibles issus de l’inventaire des assets, individuellement ou en groupe, besoin de protection selon le principe du maximum, propositions de modules, contrôle IT-Grundschutz par objet cible sous forme de parcours guidé et plan de réalisation ; vous exportez les documents de référence A.3, A.4 et A.6 en Excel et en PDF.
Relié aux assets et aux risques
Analyse de structure et besoin de protection dans l’inventaire des assets, analyse des risques avec le modèle selon le standard BSI 200-3, mesures communes avec ISO 27001 et NIS2.
Les phases du module
- Initiating the security process
- Organising the security process
- Structure analysis
- Protection requirement assessment
- Modelling
- IT-Grundschutz check
- Risk analysis according to BSI Standard 200-3
- Implementing the security concept
- Maintenance and continual improvement
- Certification and switch to Grundschutz++
Catalogue: IT-Grundschutz Compendium 2023 – ISMS Security Management, ORP Organisation and Personnel
Modules associés
Gestion de la conformité
Mettre en œuvre des référentiels de façon guidée : phases, modèles, pyramide documentaire, catalogues, analyse des écarts, objectifs et plan d'actions jusqu'à l'audit dans le portail des auditeurs.
En savoir plusGestion des actifs
Actifs IT et OT en un seul endroit, collectés sans agent, avec SBOM, avis des fabricants, fin de support, rapprochement des licences, identités, relations et zones selon IEC 62443-3-2.
En savoir plusGestion des risques
Registre des risques avec appréciation qualitative ou quantitative, appétence au risque et plan de traitement, relié aux actifs, aux vulnérabilités et aux incidents.
En savoir plusQuestions fréquentes
Complass certifie-t-il selon l’IT-Grundschutz ?
Non. L’organisme de certification pour ISO 27001 sur la base de l’IT-Grundschutz est le BSI ; l’audit est réalisé par un auditeur certifié par le BSI. Complass vous y prépare avec des modèles, des catalogues et des preuves.
Les textes du Compendium IT-Grundschutz sont-ils inclus ?
Non. Pour l’édition 2023, Complass contient des identifiants, des niveaux et ses propres descriptions courtes ; vous consultez le texte dans le Compendium gratuit du BSI. Le BSI publie les exigences de Grundschutz++ sous licence CC BY-SA 4.0 ; elles sont incluses dans leur texte original.
Devrions-nous encore commencer avec l’édition 2023 ?
Qui souhaite se certifier à court terme peut le faire jusqu’au 30 novembre 2031 sur la base de l’IT-Grundschutz classique. Qui ne souhaite se certifier qu’en 2027 ou plus tard a intérêt à planifier directement avec Grundschutz++ ; l’analyse de structure, le besoin de protection et l’analyse des risques restent utilisables dans les deux cas.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.