normenkader
BSI IT-Grundschutz
Informatiebeveiliging volgens de methodiek van het BSI, stap voor stap: van de keuze van de aanpak via structuuranalyse en IT-Grundschutz-check tot certificering en de overstap naar Grundschutz++.
Wat is IT-Grundschutz?
IT-Grundschutz is de methode van het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) voor het opzetten van een managementsysteem voor informatiebeveiliging. De BSI-standaarden 200-1 tot en met 200-3 beschrijven de werkwijze, het IT-Grundschutz-Kompendium (editie 2023) bevat de eisen. Opvolger van het Kompendium is Grundschutz++, dat vanaf 1 januari 2027 certificeerbaar is.
Actualiteit van de inhoud:
Is het op mij van toepassing?
Voor ondernemingen is IT-Grundschutz vrijwillig. Het is geschikt voor organisaties van elke omvang die informatiebeveiliging volgens een beproefde methode willen opzetten, een certificering volgens ISO 27001 op basis van IT-Grundschutz nastreven of de verplichtingen voor risicobeheer conform § 30 BSIG gestructureerd willen nakomen.
Voor instellingen van de federale overheid zijn IT-Grundschutz en de minimumstandaarden van het BSI bindende minimumeisen. Complass legt de methode in eigen woorden uit en verwijst naar hoofdstukken en kenmerken; de bewoordingen van de eisen van editie 2023 vindt u in het gratis Kompendium van het BSI.
Dit overzicht vervangt geen juridisch advies. De wettelijke of normatieve tekst is doorslaggevend; in Complass toetst u de toepasselijkheid aan de hand van een handleiding op basis van de vindplaatsen.
Rechtsgrondslag
- BSI-Standard 200-2IT-Grundschutz-methodiek
- BSI-Standard 200-3Risicoanalyse op basis van IT-Grundschutz
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Origineel openen (gesetze-im-internet.de) ↗Risicobeheersmaatregelen van essentiële en belangrijke entiteiten
- § 44 BSIG§ 44 BSIG Vorgaben des Bundesamtes(1) Die Einrichtungen der Bundesverwaltung müssen Mindestanforderungen zum Schutz der in der Bundesverwaltung verarbeiteten Informationen erfüllen. Die Mindestanforderungen ergeben sich aus den BSI-Standards und dem Grundschutzkompendium (IT-Grundschutz) sowie aus den Mindeststandards für die Sicherheit in der Informationstechnik des Bundes (Mindeststandards) in den jeweils geltenden Fassungen. Die jeweils geltenden …Origineel openen (gesetze-im-internet.de) ↗Minimumeisen van de federale overheid uit IT-Grundschutz en minimumstandaarden
Belangrijke data
- IT-Grundschutz Compendium Edition 2023 available (replaces Edition 2022) · BSI, IT-Grundschutz Compendium
- Publication of the Grundschutz++ methodology at it-sa 2026 · BSI, Grundschutz++ milestone plan
- Grundschutz++ can be certified (ISO 27001 on the basis of Grundschutz++) · BSI, Grundschutz++ milestone plan
- End of certifiability of classic IT-Grundschutz · BSI, Grundschutz++ milestone plan
Voor ondernemingen gelden geen wettelijke termijnen voor de invoering van IT-Grundschutz. De data hierboven betreffen de overstap naar Grundschutz++ volgens het mijlpalenplan van het BSI; auditdata voert u in het projectplan in.
Hoe Complass helpt
Tien fasen volgens BSI-standaard 200-2
Initiatie met keuze van de aanpak, organisatie, structuuranalyse, beschermingsbehoefte, modellering, IT-Grundschutz-check, risicoanalyse, uitvoering, verbetering alsmede certificering en overstap; elke stap laat zien wat geldt voor basis- en kernbeveiliging.
Editie 2023 en Grundschutz++
De eisen van editie 2023 met kenmerk, niveau en eigen korte beschrijving, alsmede de gebruikerscatalogus Grundschutz++ in de oorspronkelijke bewoordingen, telkens met status en bewijs.
Sjablonen volgens de referentiedocumenten
Onder meer beleid, vastlegging van de aanpak, structuuranalyse, vaststelling van de beschermingsbehoefte, modellering, risicoanalyse met de elementaire dreigingen, realisatieplan en overzicht van de referentiedocumenten A.0 tot en met A.6.
Modellering en check per doelobject
Doelobjecten uit het assetregister, afzonderlijk of als groep, beschermingsbehoefte volgens het maximumprincipe, voorstellen voor bouwstenen, de IT-Grundschutz-check per doelobject als begeleid proces en realisatieplan; de referentiedocumenten A.3, A.4 en A.6 exporteert u als Excel en PDF.
Verweven met assets en risico’s
Structuuranalyse en beschermingsbehoefte in het assetregister, risicoanalyse met het sjabloon volgens BSI-standaard 200-3, gemeenschappelijke maatregelen met ISO 27001 en NIS2.
De fasen in de module
- Initiating the security process
- Organising the security process
- Structure analysis
- Protection requirement assessment
- Modelling
- IT-Grundschutz check
- Risk analysis according to BSI Standard 200-3
- Implementing the security concept
- Maintenance and continual improvement
- Certification and switch to Grundschutz++
Catalogus: IT-Grundschutz Compendium 2023 – ISMS Security Management, ORP Organisation and Personnel
Passende modules
Compliancemanagement
Normenkaders begeleid implementeren: fasen, sjablonen, documentenpiramide, catalogi, gapanalyse, doelstellingen en actieplan tot en met de audit in het auditorportaal.
Meer informatieAssetmanagement
IT- en OT-assets op één plek, agentless vastgelegd, met SBOM, fabrikantadviezen, einde van ondersteuning, licentieafstemming, identiteiten, onderlinge verbanden en zones volgens IEC 62443-3-2.
Meer informatieRisicomanagement
Risicoregister met kwalitatieve of kwantitatieve beoordeling, risicobereidheid en behandelplan, gekoppeld aan assets, kwetsbaarheden en incidenten.
Meer informatieVeelgestelde vragen
Certificeert Complass volgens IT-Grundschutz?
Nee. Certificeringsinstantie voor ISO 27001 op basis van IT-Grundschutz is het BSI; de audit wordt uitgevoerd door een door het BSI gecertificeerde auditor. Complass bereidt u daarop voor met sjablonen, catalogi en bewijs.
Zijn de teksten van het IT-Grundschutz-Kompendium inbegrepen?
Nee. Voor editie 2023 bevat Complass kenmerken, niveaus en eigen korte beschrijvingen; de bewoordingen leest u na in het gratis Kompendium van het BSI. De eisen van Grundschutz++ publiceert het BSI onder de licentie CC BY-SA 4.0; ze zijn in de oorspronkelijke bewoordingen opgenomen.
Moeten wij nog met editie 2023 beginnen?
Wie op korte termijn wil certificeren, kan dat tot 30 november 2031 doen op basis van de klassieke IT-Grundschutz. Wie pas in 2027 of later wil certificeren, plant het best meteen met Grundschutz++; structuuranalyse, beschermingsbehoefte en risicoanalyse blijven in beide gevallen bruikbaar.
Test Complass met uw eigen gegevens
Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.