regulacja
BSI IT-Grundschutz
Bezpieczeństwo informacji według metodyki BSI, krok po kroku: od wyboru podejścia przez analizę struktury i IT-Grundschutz-Check aż po certyfikację i przejście na Grundschutz++.
Czym jest IT-Grundschutz?
IT-Grundschutz to metoda niemieckiego Federalnego Urzędu Bezpieczeństwa Informacji (BSI) służąca budowie systemu zarządzania bezpieczeństwem informacji. Standardy BSI 200-1 do 200-3 opisują sposób postępowania, a Kompendium IT-Grundschutz (edycja 2023) zawiera wymagania. Następcą Kompendium jest Grundschutz++, który będzie można certyfikować od 1 stycznia 2027 r.
Aktualność treści:
Czy dotyczy to nas?
Dla przedsiębiorstw IT-Grundschutz jest dobrowolny. Nadaje się dla organizacji każdej wielkości, które chcą zbudować bezpieczeństwo informacji według sprawdzonej metody, dążą do certyfikacji ISO 27001 na podstawie IT-Grundschutz albo chcą w uporządkowany sposób spełnić obowiązki w zakresie zarządzania ryzykiem wynikające z § 30 BSIG.
Dla podmiotów administracji federalnej IT-Grundschutz i standardy minimalne BSI są wiążącymi wymaganiami minimalnymi. Complass wyjaśnia metodę własnymi słowami i odsyła do rozdziałów i oznaczeń; brzmienie wymagań edycji 2023 znajdą Państwo w bezpłatnym Kompendium BSI.
Niniejszy przegląd nie zastępuje porady prawnej. Rozstrzygający jest tekst prawny lub normatywny; w Complass stosowalność sprawdza się za pomocą wskazówek opartych na odnośnikach do przepisów.
Podstawa prawna
- BSI-Standard 200-2Metodyka IT-Grundschutz
- BSI-Standard 200-3Analiza ryzyka na podstawie IT-Grundschutz
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Otwórz oryginał (gesetze-im-internet.de) ↗Środki zarządzania ryzykiem podmiotów kluczowych i ważnych
- § 44 BSIG§ 44 BSIG Vorgaben des Bundesamtes(1) Die Einrichtungen der Bundesverwaltung müssen Mindestanforderungen zum Schutz der in der Bundesverwaltung verarbeiteten Informationen erfüllen. Die Mindestanforderungen ergeben sich aus den BSI-Standards und dem Grundschutzkompendium (IT-Grundschutz) sowie aus den Mindeststandards für die Sicherheit in der Informationstechnik des Bundes (Mindeststandards) in den jeweils geltenden Fassungen. Die jeweils geltenden …Otwórz oryginał (gesetze-im-internet.de) ↗Wymagania minimalne administracji federalnej wynikające z IT-Grundschutz i standardów minimalnych
Kluczowe terminy
- IT-Grundschutz Compendium Edition 2023 available (replaces Edition 2022) · BSI, IT-Grundschutz Compendium
- Publication of the Grundschutz++ methodology at it-sa 2026 · BSI, Grundschutz++ milestone plan
- Grundschutz++ can be certified (ISO 27001 on the basis of Grundschutz++) · BSI, Grundschutz++ milestone plan
- End of certifiability of classic IT-Grundschutz · BSI, Grundschutz++ milestone plan
Dla przedsiębiorstw nie ma ustawowych terminów wdrożenia IT-Grundschutz. Powyższe terminy dotyczą przejścia na Grundschutz++ zgodnie z planem kamieni milowych BSI; terminy audytów wpisują Państwo w plan projektu.
Jak Complass pomaga
Dziesięć faz według standardu BSI 200-2
Inicjacja z wyborem podejścia, organizacja, analiza struktury, potrzeby ochrony, modelowanie, IT-Grundschutz-Check, analiza ryzyka, wdrożenie, doskonalenie oraz certyfikacja i przejście; każdy krok pokazuje, co obowiązuje przy ochronie podstawowej i rdzeniowej.
Edycja 2023 i Grundschutz++
Wymagania edycji 2023 z oznaczeniem, poziomem i własnym krótkim opisem oraz katalog użytkownika Grundschutz++ w oryginalnym brzmieniu, każde ze statusem i dowodem.
Szablony zgodne z dokumentami referencyjnymi
Między innymi polityka, określenie podejścia, analiza struktury, ustalenie potrzeb ochrony, modelowanie, analiza ryzyka z zagrożeniami elementarnymi, plan realizacji i przegląd dokumentów referencyjnych od A.0 do A.6.
Modelowanie i check dla każdego obiektu docelowego
Obiekty docelowe z rejestru zasobów, pojedynczo lub jako grupa, potrzeba ochrony według zasady maksimum, propozycje modułów, IT-Grundschutz-Check dla każdego obiektu docelowego jako prowadzony proces oraz plan realizacji; dokumenty referencyjne A.3, A.4 i A.6 eksportują Państwo jako Excel i PDF.
Powiązane z zasobami i ryzykami
Analiza struktury i potrzeba ochrony w inwentarzu zasobów, analiza ryzyka z szablonem zgodnym ze standardem BSI 200-3, wspólne zabezpieczenia z ISO 27001 i NIS2.
Fazy w module
- Initiating the security process
- Organising the security process
- Structure analysis
- Protection requirement assessment
- Modelling
- IT-Grundschutz check
- Risk analysis according to BSI Standard 200-3
- Implementing the security concept
- Maintenance and continual improvement
- Certification and switch to Grundschutz++
Katalog: IT-Grundschutz Compendium 2023 – ISMS Security Management, ORP Organisation and Personnel
Pasujące moduły
Zarządzanie zgodnością
Wdrażanie regulacji krok po kroku: fazy, szablony, piramida dokumentów, katalogi, analiza luk, cele i plan działań aż po audyt w portalu audytora.
Dowiedz się więcejZarządzanie zasobami
Zasoby IT i OT w jednym miejscu, rejestrowane bez agentów, z SBOM, komunikatami producentów, końcem wsparcia, uzgadnianiem licencji, tożsamościami, powiązaniami i strefami według IEC 62443-3-2.
Dowiedz się więcejZarządzanie ryzykiem
Rejestr ryzyk z oceną jakościową lub ilościową, apetytem na ryzyko i planem postępowania, powiązany z zasobami, podatnościami i incydentami.
Dowiedz się więcejCzęsto zadawane pytania
Czy Complass certyfikuje według IT-Grundschutz?
Nie. Jednostką certyfikującą dla ISO 27001 na podstawie IT-Grundschutz jest BSI; audyt przeprowadza audytor certyfikowany przez BSI. Complass przygotowuje Państwa do niego za pomocą szablonów, katalogów i dowodów.
Czy zawarte są teksty Kompendium IT-Grundschutz?
Nie. Dla edycji 2023 Complass zawiera oznaczenia, poziomy i własne krótkie opisy; brzmienie można przeczytać w bezpłatnym Kompendium BSI. Wymagania Grundschutz++ BSI publikuje na licencji CC BY-SA 4.0, są zawarte w oryginalnym brzmieniu.
Czy powinniśmy jeszcze zaczynać od edycji 2023?
Kto chce uzyskać certyfikat w krótkim terminie, może to zrobić do 30 listopada 2031 r. na podstawie klasycznego IT-Grundschutz. Kto chce certyfikować się dopiero w 2027 r. lub później, najlepiej od razu planuje z Grundschutz++; analiza struktury, potrzeba ochrony i analiza ryzyka pozostają przydatne w obu przypadkach.
Przetestuj Complass na własnych danych
Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.