In einem Satz. BSI IT-Grundschutz ist die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelte Methodik, die in den Standards 200-1 (ISMS), 200-2 (Vorgehensweise), 200-3 (Risikoanalyse) und 200-4 (BCMS) sowie dem IT-Grundschutz-Kompendium (über 100 Bausteine) Informationssicherheit von der Strukturanalyse bis zur ISO-27001-Zertifizierung systematisiert.
IT-Grundschutz ist eine vom BSI ausgearbeitete Methode, einen definierten Informationsverbund systematisch abzusichern. Für Artikel 32 DSGVO kann sie helfen, Auswahl und Prüfung technischer und organisatorischer Maßnahmen zu strukturieren; ihre Anwendung oder ein Zertifikat bestätigt die Angemessenheit einer konkreten personenbezogenen Verarbeitung nicht automatisch. Die vollständige Standard- und Baustein-Dokumentation stellt das BSI zum IT-Grundschutz kostenfrei bereit; der maßgebliche Rechtsrahmen für die abzudeckenden Schutzziele ergibt sich aus Art. 32 DSGVO.
Für die Verfügbarkeitsdimension siehe Business Continuity Plan DSGVO BSI. Für DSGVO-Sicherheit insgesamt DSGVO Artikel 32 Sicherheit.
Wichtige Punkte
- Die 200er-Standards beschreiben zusammenhängende, aber unterschiedliche Aufgaben im Sicherheitsmanagement.
- Das IT-Grundschutz-Kompendium enthält Bausteine und Anforderungen; prüfen Sie bei der Anwendung die tatsächlich verwendete Edition.
- Drei Vorgehensweisen: Basis-Absicherung, Standard-Absicherung, Kern-Absicherung.
- Für einen definierten Geltungsbereich ist eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz möglich.
- Ob öffentliche oder regulierte Stellen eine bestimmte Methode verwenden müssen, hängt von den einschlägigen sektoralen Vorgaben ab.
1. Die vier BSI-Standards im Überblick
| Standard | Titel | Funktion |
|---|---|---|
| 200-1 | Managementsystem für Informationssicherheit (ISMS) | Rahmenkonzept, Rollen, Leitlinien |
| 200-2 | IT-Grundschutz-Methodik | Strukturanalyse, Schutzbedarf, Modellierung |
| 200-3 | Risikoanalyse auf Basis IT-Grundschutz | Bedrohungen, Schwachstellen, Risiken |
| 200-4 | Business Continuity Management | BCMS, BCP, Wiederanlauf |
Diese Standards ergänzen sich; welcher Standard konkret eingesetzt wird, richtet sich nach Geltungsbereich und Zielsetzung. Ausführliche Einzeldarstellungen bieten unsere Leitfäden zu BSI 200-1 und dem ISMS-Managementsystem, BSI 200-2 und der IT-Grundschutz-Methodik sowie BSI 200-4 zum Notfallmanagement (BCMS).
2. Die drei Vorgehensweisen
Basis-Absicherung — Einstieg über die Basis-Anforderungen der relevanten Bausteine. Geeignet, um zunächst breite Grundsicherung herzustellen.
Standard-Absicherung — Umfassende Modellierung und Umsetzung der relevanten Anforderungen. Ein möglicher Pfad zur ISO-27001-Zertifizierung auf Basis von IT-Grundschutz.
Kern-Absicherung — Fokus auf “Kronjuwelen”, besonders schutzwürdige Werte. Für gezielte Risikobetrachtung.
Für einen Einstieg kann die Basis-Absicherung eine sinnvolle Reihenfolge bieten. Ihre Basis-Anforderungen decken jedoch nicht automatisch jeden hohen Schutzbedarf ab. Die Standard-Absicherung bearbeitet den Informationsverbund umfassender und ist ein Weg zur Zertifizierung auf Basis von IT-Grundschutz. Nach BSI 200-2 kann auch eine passend abgegrenzte Kern-Absicherung die Grundlage für eine solche Zertifizierung sein. Für regulatorische Nachweise ist zusätzlich der konkrete Geltungsbereich entscheidend; ein Zertifikat für einen kleinen Ausschnitt deckt nicht automatisch alle kritischen Prozesse ab. Die Kern-Absicherung ist kein eigenständiger Reifegrad, sondern eine Fokussierungsstrategie: Sie schützt zunächst nur die wenigen Werte, deren Kompromittierung existenzbedrohend wäre, und ist damit für Organisationen mit knappen Ressourcen und klar abgrenzbaren kritischen Assets attraktiv.
Der Informationsverbund ist die eigentliche Entscheidung
Der Einstieg beginnt mit der Frage, welchen Teil der Organisation Sie absichern wollen. Ein Informationsverbund umfasst die Geschäftsprozesse und die dafür erforderlichen Informationen, Anwendungen, IT-Systeme und Infrastruktur. Zeichnen Sie Schnittstellen nach außen mit ein: Ein ausgelagerter Identitätsdienst oder eine zentrale Netzanbindung kann einen Pilotprozess ebenso lahmlegen wie dessen eigene Server. Bei Cloud-Leistungen prüfen Sie zusätzlich die Sicherheitszusagen im Kontext des BSI-C5-Kriterienkatalogs, ohne das Testat mit Ihrer eigenen Scope-Prüfung zu verwechseln. Halten Sie fest, was innerhalb und außerhalb des Geltungsbereichs liegt und wer die Abhängigkeiten verantwortet. Ein enger Bereich macht die Arbeit handhabbar, darf aber keine kritischen Voraussetzungen verstecken.
Eine Prozesskarte ist dabei hilfreicher als eine bloße Hardwareliste. Stellen Sie etwa bei einem digitalen Antragsverfahren fest, welche Personen Anträge erfassen, wo Daten geprüft werden, welche Fachanwendung Bescheide erzeugt und welche Systeme Zustellungen ermöglichen. Danach lässt sich sinnvoll über Vertraulichkeit, Integrität und Verfügbarkeit sprechen. Der BSI-200-1-Leitfaden zum ISMS hilft, Rollen und die Einbettung in das Management festzulegen. Dokumentieren Sie Versionsstand und Zuständigkeit: Eine Strukturanalyse veraltet schnell, wenn ein Dienst ausgelagert oder eine neue Schnittstelle eingeführt wird.
Drei Vorgehensweisen für verschiedene Startpunkte
Die Basis-Absicherung priorisiert die Basis-Anforderungen und ist eine Einstiegsmethode. Sie darf nicht als pauschal ausreichender Schutz für alle hochkritischen Prozesse verstanden werden. Die Standard-Absicherung verfolgt den vollständigen Informationsverbund mit den dafür relevanten Anforderungen und einer vertieften Analyse, wo sie notwendig ist. Die Kern-Absicherung beginnt bei besonders wichtigen Prozessen und Werten. Sie ist ein Fokus auf die kritischen Teile, kein eigenständiges Zertifikat und kein Freibrief, abhängige Systeme zu ignorieren.
Wählen Sie die Vorgehensweise anhand eines benannten Ziels: sofortige Verbesserung einer schwachen Grundsicherung, umfassende Entwicklung eines ISMS oder vorrangiger Schutz existenzieller Prozesse. Trennen Sie Einstieg und Zielbild. Eine Organisation kann zunächst Basis-Anforderungen priorisieren und später Standard-Absicherung anstreben; eine andere muss aus Geschäfts- oder Regulierungssicht sofort den kritischen Kern betrachten. Prüfen Sie dazu die BSI-Unterlagen zu den Standards und das auf den eigenen Bereich anwendbare Recht.
3. Strukturanalyse (Schritt 1)
Erfassung des Informationsverbunds:
- Geschäftsprozesse und unterstützende IT
- Anwendungen (eigen + eingekauft)
- IT-Systeme (Server, Endgeräte, Netze)
- Räume (Serverraum, Büro, Rechenzentrum)
- Kommunikationsverbindungen intern/extern
Ergebnis: Ein dokumentierter Informationsverbund mit Abhängigkeiten.
4. Schutzbedarfsfeststellung (Schritt 2)
Für jeden Wert wird der Schutzbedarf in drei Kategorien bewertet:
Bewerten Sie Vertraulichkeit, Integrität und Verfügbarkeit jeweils anhand der möglichen Schäden für den konkreten Informationsverbund. Normal beschreibt begrenzte und beherrschbare Auswirkungen, hoch beträchtliche Schäden und sehr hoch existenzbedrohende oder katastrophale Folgen. Die Organisation legt nachvollziehbare Schwellen für ihre Prozesse fest; eine allgemeingültige Zahl von Ausfallstunden oder ein fixer Eurobetrag steht nicht für jede Schutzkategorie. Übertragene Schutzbedarfe aus Abhängigkeiten sind gesondert zu begründen. Die BSI-Erläuterung zur Schutzbedarfsfeststellung führt durch diese Fragen.
Bei hohem oder sehr hohem Schutzbedarf und weiteren im Standard genannten Anlässen vertieft die Risikoanalyse nach BSI 200-3 die Sicherheitskonzeption.
5. Modellierung mit dem IT-Grundschutz-Kompendium
Das Kompendium gliedert Bausteine in 10 Schichten:
- ISMS, ORP (Organisation/Personal), CON (Konzepte), OPS (Betrieb)
- DER (Detektion/Reaktion), APP (Anwendungen), SYS (IT-Systeme)
- IND (Industrielle IT), NET (Netze), INF (Infrastruktur)
Die Bausteine gliedern Anforderungen in Basis-, Standard- und gegebenenfalls erhöhte Anforderungen. Beispiele: SYS.1.1 (Allgemeiner Server), APP.5.3 (Allgemeiner E-Mail-Client und -Server), CON.1 (Kryptokonzept).
Modellierung: Warum ein Baustein zugeordnet wird
Die Modellierung ordnet Zielobjekten die Bausteine des verwendeten Kompendiums zu. Es reicht nicht, eine große Liste zu kopieren. Prüfen Sie für jedes System, welche Funktionen es tatsächlich übernimmt, in welchem Betriebsmodell es läuft und welche Anforderungen daraus folgen. Eine Webanwendung mit öffentlich erreichbarer Oberfläche braucht andere Schwerpunkte als ein isolierter Fachserver; beide können von gemeinsamen Identitäts- und Netzkomponenten abhängen. Notieren Sie die Zuordnungsentscheidung und die Edition des Kompendiums, damit ein späterer Prüfer dieselbe Grundlage sieht.
Der Baustein formuliert Anforderungen, nicht automatisch Ihre lokale Umsetzung. Eine Forderung nach geregelten administrativen Zugängen muss in konkreten Berechtigungsgruppen, Freigaben und überprüfbaren Protokollen umgesetzt werden. Wenn eine Anforderung im Einzelfall nicht relevant oder nicht wie beschrieben umsetzbar ist, dokumentieren Sie den Grund und eine geeignete Ersatzmaßnahme. Der BSI-Kurs zum Anpassen von Anforderungen erläutert genau diese Prüfung. Eine behauptete Abweichung ohne Wirkungstest ist noch kein belastbarer Sicherheitsnachweis.
6. IT-Grundschutz-Check
Soll-Ist-Vergleich: Welche Anforderungen sind bereits umgesetzt? Vier Status:
- Entbehrlich — Begründung warum nicht relevant
- Ja — vollständig umgesetzt
- Teilweise — partiell, mit Maßnahmenplan
- Nein — nicht umgesetzt, mit Maßnahmenplan
Output: Eine Defizitliste mit Priorisierung.
7. Risikoanalyse nach BSI 200-3
Bei hohem/sehr hohem Schutzbedarf oder atypischen Komponenten:
- Gefährdungsübersicht — relevante Bedrohungen
- Risikoeinstufung — Eintrittswahrscheinlichkeit x Schadenshöhe
- Risikobehandlung — Vermeiden, Reduzieren, Transferieren, Akzeptieren
- Konsolidierung des Sicherheitskonzepts
Aus dem Check einen Maßnahmenplan machen
Im IT-Grundschutz-Check sprechen Sie mit den Personen, die den Betrieb tatsächlich kennen. Fragen Sie nicht nur, ob eine Richtlinie existiert, sondern wie ihr Inhalt im Zielobjekt umgesetzt und überprüft wird. „Teilweise“ kann bedeuten, dass die zentrale Authentisierung funktioniert, aber Notfallkonten außerhalb der Kontrolle bleiben. Der Status muss mit Befund und Beleg nachvollziehbar sein. Aus offenen Punkten entsteht ein Maßnahmenplan mit Priorität, Eigentümer, Termin und Abnahmekriterium. Verknüpfen Sie kritische Lücken mit der Risikoanalyse, statt zwei widersprüchliche Listen zu führen.
Ein Beispiel: Eine Organisation dokumentiert, dass Wiederherstellungstests vorgesehen sind. Im Check zeigt sich, dass zwar Backups laufen, aber die Fachanwendung nach einem Restore nicht vollständig startbar ist. Die Maßnahme lautet dann nicht „Backup aktivieren“, sondern „Wiederherstellung der gesamten Anwendung samt Schlüsseln und Abhängigkeiten unter realistischen Bedingungen üben“. Die BCMS-Methode nach BSI 200-4 hilft beim Zusammenspiel mit Geschäftsprozessen und Wiederanlaufzielen. Prüfen Sie nach Umsetzung erneut, ob die Anforderung nun tatsächlich erfüllt wird.
8. ISO-27001-Zertifizierung auf Basis IT-Grundschutz
Das BSI bietet ein eigenes Zertifizierungsschema für ISO 27001 auf Basis von IT-Grundschutz. Mögliche praktische Vorteile des gewählten Wegs:
- Konkretere Maßnahmenkataloge (das Kompendium)
- Nachvollziehbare Zuordnung von Bausteinen zum geprüften Informationsverbund
- Ein überprüfbarer Nachweis für den ausdrücklich zertifizierten Geltungsbereich
Auditzyklus: 3 Jahre, mit jährlichen Überwachungsaudits.
9. IT-Grundschutz und DSGVO Artikel 32
Artikel 32 verlangt dem Risiko angemessene Sicherheit unter Berücksichtigung von Stand der Technik, Implementierungskosten und Art, Umfang, Umständen und Zwecken der Verarbeitung. IT-Grundschutz kann Maßnahmen und Kontrollen hierfür strukturieren. Die folgende Zuordnung ist ein Arbeitsansatz, kein automatischer Rechtsnachweis:
| DSGVO Anforderung | IT-Grundschutz-Antwort |
|---|---|
| Verschlüsselung | CON.1 Kryptokonzept; Pseudonymisierung ist gesondert zu konzipieren |
| Verfügbarkeit | BSI 200-4 BCMS |
| Belastbarkeit | DER.4 Notfallmanagement |
| Regelmäßige Überprüfung | DER.3.1 Audits und Revisionen als Baustein; Wirksamkeit der konkreten Maßnahmen zusätzlich testen und bewerten |
Der Vorteil der Zuordnung liegt in der überprüfbaren Entscheidungsgrundlage. Bei einer Kontrolle durch eine Landesdatenschutzbehörde können Sie den Schutzbedarf, ausgewählte Anforderungen, tatsächlich umgesetzte Maßnahmen und ihre Wirksamkeitsprüfung erläutern. Die Behörde kann trotzdem zu einer anderen Bewertung kommen, wenn etwa die Verarbeitung ein besonderes Risiko hat oder wichtige Kontrollen fehlen. Ein Zertifikat ersetzt weder diese Prüfung noch die Dokumentation von Rechtsgrundlagen, Zwecken und Betroffenenrechten. Nach einem Vorfall ist außerdem gesondert zu prüfen, ob eine Meldung nach Artikel 33 DSGVO nötig ist.
Zertifizierung und regulatorischer Nachweis richtig einordnen
Ein Zertifikat bezieht sich auf einen beschriebenen Geltungsbereich und eine festgelegte Prüfgrundlage. Beschaffen Sie vor einer Beschaffungs- oder Auditentscheidung die genaue Scope-Beschreibung: Welche Standorte, Prozesse, Anwendungen und ausgelagerten Dienste sind enthalten? Das BSI-Antragsformular macht deutlich, dass diese Abgrenzung explizit verlangt wird. Ein Zertifikat für die Büro-IT beantwortet keine Frage zur Sicherheit eines ausgelagerten Produktionssystems, wenn dieses nicht erfasst ist.
Auch bei KRITIS- oder Kundenprüfungen ist der Umfang entscheidend. Das BSI weist ausdrücklich darauf hin, dass eine ISO-27001-Zertifizierung nicht automatisch den gesamten für einen §-8a-BSIG-Nachweis relevanten Bereich erfasst. Fragen Sie daher zuerst nach der konkret verlangten Pflicht und dann nach dem passenden Nachweismittel. Für personenbezogene Daten bleibt parallel die risikobezogene Bewertung nach Artikel 32 DSGVO erforderlich. Diese Unterscheidung spart falsche Sicherheit und lässt vorhandene Prüfbelege sinnvoll weiterverwenden.
10. Praktische Umsetzungs-Reihenfolge
Eine brauchbare Reihenfolge beginnt mit einem klar abgegrenzten Informationsverbund und einer verantwortlichen Leitung. Erfassen Sie Prozesse, Anwendungen, Systeme, Räume und Verbindungen, bestimmen Sie den Schutzbedarf, modellieren Sie passende Bausteine und führen Sie einen IT-Grundschutz-Check durch. Danach schließen Sie priorisierte Lücken und vertiefen Risiken, wo die Methode es verlangt. Die BSI-Methodik 200-2 beschreibt diese Abfolge; das aktuelle Zertifizierungsschema ist gesondert zu prüfen, falls eine Zertifizierung das Ziel ist.
Ein Pilotbereich kann das Vorgehen erlernbar machen, sofern Schnittstellen und Abhängigkeiten nicht ausgeblendet werden. Zeit- und Kostenangaben sind ohne konkreten Geltungsbereich unseriös. Erfassen Sie stattdessen den Aufwand für Inventarisierung, Interviews, Umsetzung, Nachweise und Betrieb. Planen Sie regelmäßige Reviews und anlassbezogene Änderungen ein. Ein Zertifikat ist ein mögliches Ergebnis, aber der Sicherheitsprozess muss auch danach weitergeführt werden.
Beispiel: IT-Grundschutz für einen Bestellprozess
Ein mittelständisches Unternehmen will seinen Online-Bestellprozess absichern. Zuerst beschreibt es den Prozess vom Kundenkonto über Bestellung, Zahlung, Lagerfreigabe bis zur Zustellung. Die eigentliche Webanwendung läuft bei einem Dienstleister, während Identitätssystem und Warenwirtschaft intern betrieben werden. Zum Informationsverbund gehören deshalb nicht nur die Webserver, sondern auch Schnittstellen, Administrationszugänge und relevante Dienstleisterabhängigkeiten. Die Geschäftsleitung legt fest, ob der erste Durchlauf auf diesen Prozess begrenzt ist und wer Ausnahmen entscheidet. Schon hier lässt sich eine häufige Lücke erkennen: Ein enger technischer Scope, der die betriebliche Wirkung eines Ausfalls nicht abbildet, führt später zu falschen Prioritäten.
Die Fachverantwortlichen beurteilen den Schaden bei Offenlegung, Veränderung und Ausfall getrennt. Ein kurzzeitiger Ausfall kann für den Vertrieb verkraftbar sein, während eine manipulierte Lieferadresse zu erheblichen Folgen führt. Die IT übernimmt diese Bewertung nicht stellvertretend; sie liefert Abhängigkeiten und technische Fakten. Bei der Modellierung werden passende Bausteine für Anwendungen, Systeme, Netze, Betrieb und Organisation zugeordnet. Im Check zeigen Belege, ob Anforderungen erfüllt sind. Ein dokumentiertes Berechtigungskonzept ist zum Beispiel nur der Anfang: Prüfen Sie, ob ausgeschiedene Mitarbeitende tatsächlich keinen Zugriff mehr haben und ob privilegierte Konten gesondert überwacht werden.
Angenommen, die Rücksicherung des Shops funktioniert, aber die Verbindung zur Warenwirtschaft wurde nie gemeinsam getestet. Dann steht im Maßnahmenplan ein Ende-zu-Ende-Test mit Verantwortlichen und Termin. Eine mögliche Modellierungslücke bei einem speziellen Zahlungsmodul wird in der 200-3-Risikoanalyse bearbeitet. Der Prozessverantwortliche dokumentiert danach das Restrisiko. Artikel 32 DSGVO verlangt zusätzlich, die Sicherheit der personenbezogenen Verarbeitung mit Blick auf deren konkretes Risiko zu beurteilen. Die BSI-Unterlagen liefern Struktur und Belege, aber kein automatisches datenschutzrechtliches Ergebnis. Wird eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen begründen, prüfen Sie daneben die DSFA nach Artikel 35.
Pflege des ISMS nach dem ersten Check
Ein Informationsverbund ändert sich, wenn ein Dienstleister wechselt, eine mobile App hinzukommt oder ein Geschäftsprozess andere Daten nutzt. Legen Sie deshalb fest, welche Änderungen eine Aktualisierung der Strukturanalyse, Schutzbedarfsfeststellung und Modellierung auslösen. Ein kleiner Versionsvermerk ohne erneute inhaltliche Prüfung ist wertlos. Bei einem Sicherheitsvorfall prüfen Sie, ob die bisherige Annahme zur Eintrittswahrscheinlichkeit noch tragfähig ist und ob die Kontrollen im Betrieb funktioniert haben. Aus dem Befund folgen gegebenenfalls neue Maßnahmen, Zuständigkeiten oder Tests.
Berichten Sie der Leitung nicht nur die Anzahl erfüllter Anforderungen. Aussagekräftiger sind die offenen Risiken für kritische Prozesse, die überfälligen Maßnahmen, Ergebnisse von Wiederherstellungsübungen und die wichtigsten ungeklärten Abhängigkeiten. Dokumentieren Sie, wer über ein Restrisiko entscheidet und wann diese Entscheidung überprüft wird. Bei ausgelagerten Systemen gehören vertragliche Zuständigkeiten und konkrete Nachweise des Anbieters in dieselbe Sicht. So kann das ISMS aus Fehlern lernen und das nächste Audit muss den Sachverhalt nicht erneut aus verstreuten E-Mails zusammensuchen.
Die Art der Nachweise sollte zum Risiko passen. Für eine niedrig kritische Standardkomponente kann ein kontrollierter Konfigurationsauszug genügen; für einen kritischen Wiederanlaufprozess ist eine tatsächlich geübte Wiederherstellung überzeugender. Prüfen Sie zudem, ob Belege vertrauliche Schwachstellen enthalten und wer sie sehen darf. Eine offene Maßnahmenliste darf nicht im öffentlichen Projektordner landen. Verantwortliche sollten die Nachweise in einer Form aufbewahren, die spätere Änderungen und Freigaben erkennen lässt. Das ist zugleich die Grundlage für eine begründete Anpassung der technischen Maßnahmen, wenn sich das Risiko verändert.
11. Nachweise handhabbar halten
Ein Arbeitsregister sollte den Geltungsbereich, Zielobjekte, Schutzbedarf, modellierte Bausteine, Check-Ergebnisse, offene Maßnahmen, Risikoentscheidungen und Prüfbelege miteinander verknüpfen. Ein Tool kann Verantwortlichkeiten und Versionen sichtbar machen; die fachliche Entscheidung bleibt bei der Organisation.
Weitere DE-Leitfäden: DSGVO Artikel 32 Sicherheit, Business Continuity Plan DSGVO BSI, NIS2 Umsetzung Deutschland.
Fazit
IT-Grundschutz bietet eine ausführliche deutsche Methode für einen nachvollziehbaren Sicherheitsprozess. Ob die Tiefe des Vorgehens zum eigenen Zweck passt, lässt sich erst mit einem realen Informationsverbund und seinem Schutzbedarf beurteilen.
Der strategische Rat lautet: Nicht die Vollständigkeit des Kompendiums fürchten, sondern den Einstieg pragmatisch wählen. Beginnen Sie mit der Basis-Absicherung eines klar abgegrenzten Bereichs, dokumentieren Sie jeden Schritt konsequent und bauen Sie das ISMS iterativ aus. Der Mehrwert entsteht nicht mit dem Zertifikat, sondern bereits mit dem ersten strukturierten IT-Grundschutz-Check, der Ihnen schonungslos zeigt, wo Ihre tatsächlichen Sicherheitslücken liegen. Für DSGVO-Verantwortliche ist genau diese dokumentierte Selbsterkenntnis der stärkste Nachweis, dass die Sicherheit personenbezogener Daten nicht dem Zufall überlassen wird.
FAQ
Ist BSI IT-Grundschutz für privatwirtschaftliche Unternehmen Pflicht?
Eine allgemeine DSGVO-Pflicht zur Anwendung dieser Methode gibt es nicht. Prüfen Sie besondere Vorgaben für Ihre Behörde oder Branche; Artikel 32 verlangt eine eigenständige risikobezogene Beurteilung.
Wie lange dauert eine ISO-27001-Zertifizierung auf Basis IT-Grundschutz?
Eine pauschale Dauer ist nicht belastbar. Geltungsbereich, vorhandenes ISMS, offene Maßnahmen und Verfügbarkeit von Prüfern bestimmen den Zeitplan.
Was ist der Unterschied zwischen Basis- und Standard-Absicherung?
Basis-Absicherung umfasst nur Basis-Anforderungen (Mindestschutz). Standard-Absicherung betrachtet den Verbund umfassender. Für eine Zertifizierung auf Basis von IT-Grundschutz kommt nach BSI 200-2 auch eine abgegrenzte Kern-Absicherung infrage; maßgeblich sind das aktuelle Schema und der geprüfte Geltungsbereich.
Welche Versionen der BSI-Standards sind aktuell?
Prüfen Sie vor Projektbeginn die BSI-Veröffentlichungen und die im Zertifizierungsschema genannte Prüfgrundlage. Standards und Kompendium haben unterschiedliche Editionsstände.
Kann man IT-Grundschutz selbst umsetzen oder braucht es einen Auditor?
Die Umsetzung kann intern erfolgen; für eine Zertifizierung nach dem BSI-Schema sind dessen Prüfvorgaben und zugelassene Prüfer maßgeblich. Viele Unternehmen ziehen für die Erstaufstellung externe Beratung hinzu.