BSI IT-Grundschutz: Vorgehen, Absicherungsstufen und was Grundschutz++ ändert

Der IT-Grundschutz des BSI ist eine sehr detaillierte Methode, Informationssicherheit systematisch aufzubauen. Er ist vor allem in der öffentlichen Verwaltung verbreitet, verlangt aber deutlich mehr Aufwand als die ISO 27001. Gerade ändert sich viel: Das BSI stellt mit Grundschutz++ einen neuen Anforderungskatalog vor. Dieser Beitrag erklärt die Methode und was der Umbruch für Sie bedeutet.

Was ist der IT-Grundschutz?

Der IT-Grundschutz besteht aus zwei Teilen. Die BSI-Standards beschreiben das Vorgehen: 200-1 den Aufbau eines Managementsystems für Informationssicherheit, 200-2 die eigentliche Grundschutz-Methodik, 200-3 die Risikoanalyse und 200-4 das Notfallmanagement. Das IT-Grundschutz-Kompendium liefert dazu die konkreten Anforderungen, gegliedert in Bausteine für typische Bestandteile wie Server, Netze, Anwendungen oder Personal.

Die Methode ist mit der ISO 27001 vereinbar. Wer nach IT-Grundschutz arbeitet, erfüllt die Anforderungen der Norm und kann ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz erwerben.

Grundschutz++: Was sich jetzt ändert

Das BSI löst das bisherige Kompendium durch Grundschutz++ ab. Laut Meilensteinplan des BSI wird es am 27. Oktober 2026 auf der Messe it-sa vorgestellt. An die Stelle des Kompendiums tritt eine „Stand-der-Technik-Bibliothek“, deren Anforderungen maschinenlesbar sind und sich dadurch in Werkzeugen automatisiert prüfen lassen. Die festen Absicherungsstufen werden durch flexible Kennzahlen mit Schwellwerten ersetzt.

Für laufende Vorhaben ist das kein Grund zu warten. Das BSI nennt den 30. November 2031 als Ende der Zertifizierbarkeit nach dem bisherigen IT-Grundschutz. Wer heute beginnt, hat also mehrere Jahre Zeit für den Wechsel. Wichtiger als der Katalog sind ohnehin die Grundlagen, die bleiben: Geltungsbereich, Schutzbedarf, Verantwortlichkeiten und ein gelebter Verbesserungsprozess.

Schutzbedarfsfeststellung

Kern der Methode ist die Frage, wie schützenswert Ihre Informationen sind, getrennt nach Vertraulichkeit, Integrität und Verfügbarkeit. Bewertet wird in drei Stufen: normal, hoch und sehr hoch.

Der Schutzbedarf wird von den Geschäftsprozessen auf die Anwendungen und von dort auf die Systeme übertragen, auf denen sie laufen. Ein Server, auf dem die Lohnabrechnung läuft, erbt so den hohen Vertraulichkeitsbedarf dieser Daten. Daraus ergibt sich, wie tief die Absicherung gehen muss.

Basis-, Standard- und Kern-Absicherung

Der IT-Grundschutz kennt drei Vorgehensweisen. Die Basis-Absicherung setzt die grundlegenden Anforderungen in der ganzen Organisation um und ist der schnellste Einstieg. Die Standard-Absicherung ist der vollständige Weg mit Schutzbedarf und Risikoanalyse. Die Kern-Absicherung konzentriert sich auf wenige besonders wichtige Bereiche, die sogenannten Kronjuwelen.

Auch bei der Anerkennung unterscheiden sich die Wege. Für die Standard- und die Kern-Absicherung ist ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz möglich. Für die Basis-Absicherung bietet das BSI ein Testat an, das ein vom BSI zertifizierter Auditor ausstellt.

Das Vorgehen in der Standard-Absicherung

Zuerst legen Sie den Geltungsbereich fest. In der Strukturanalyse erfassen Sie Prozesse, Anwendungen, Systeme, Räume und Verbindungen. Danach folgt die Schutzbedarfsfeststellung, anschließend die Modellierung: Jedem Zielobjekt werden die passenden Bausteine zugeordnet.

Im IT-Grundschutz-Check prüfen Sie, welche Anforderungen schon erfüllt sind. Für Bereiche mit hohem Schutzbedarf kommt eine Risikoanalyse nach BSI-Standard 200-3 hinzu. Die offenen Punkte münden in einen Umsetzungsplan, der regelmäßig überprüft und fortgeschrieben wird.

IT-Grundschutz für Kommunen

Für Gemeinden ist der vollständige Grundschutz oft zu groß für den Anfang. Das BSI hat deshalb mit dem „Weg in die Basis-Absicherung“ (WiBA) Checklisten speziell für Kommunen veröffentlicht. Sie zeigen mit einfachen Prüffragen, welche Maßnahmen zuerst dran sind. Seit 2024 sind die Checklisten auf das IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“ abgestimmt.

Die kommunale Kernverwaltung ist von NIS2 zwar ausgenommen. Die Sicherheitsanforderungen der DSGVO gelten trotzdem, und kommunale Betriebe wie Stadtwerke können selbst unter NIS2 fallen. Mit WiBA als Einstieg und dem Profil als Ziel kommt eine Kommune in überschaubaren Schritten zu einer belastbaren Basis-Absicherung.

IT-Grundschutz oder ISO 27001?

Beide verfolgen dasselbe Ziel, unterscheiden sich aber deutlich im Aufwand. Die ISO 27001 legt fest, was erreicht werden muss, und lässt Ihnen beim Wie Spielraum. Der IT-Grundschutz schreibt über seine Bausteine im Detail vor, welche Anforderungen umzusetzen sind. Modellierung, Grundschutz-Check und Dokumentation binden dadurch erheblich mehr Zeit.

Für die meisten Organisationen ist die ISO 27001 deshalb der wirtschaftlichere Weg, auch unter NIS2: Das Gesetz verlangt angemessene Maßnahmen nach dem Stand der Technik, aber keine bestimmte Methode. Den vollständigen IT-Grundschutz empfehlen wir vor allem dort, wo eine Aufsicht oder ein Auftraggeber ihn ausdrücklich fordert. Für Kommunen sind die WiBA-Checklisten ein guter, schlanker Einstieg, ohne dass daraus ein vollständiges Grundschutz-Projekt werden muss. Wir helfen bei der Auswahl und begleiten Sie bis zum Zertifizierungsaudit.