IT-Grundschutz.
Forstå BSI Grundschutz: standarder, kompendium og vejen fra informationsdomæne til revideret ISMS.
- BSI-standarder 200-1 til 200-4
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
IT-Grundschutz er BSI’s metode til at opbygge og drive et ledelsessystem for informationssikkerhed. BSI-Standard 200-2 beskriver fremgangsmåden, og IT-Grundschutz-kompendiet indeholder sikkerhedskrav til typiske anvendelsesområder. Virksomheder og myndigheder afgrænser deres informationsdomæne, fastlægger beskyttelsesbehovet og kontrollerer implementeringen. En mulig dokumentation er ISO 27001-certificering på grundlag af IT-Grundschutz.
BSI-standarder og IT-Grundschutz-kompendiet.
IT-Grundschutz forbinder en sikkerhedsproces med et katalog over tilbagevendende sikkerhedskrav. Et ledelsessystem for informationssikkerhed, forkortet ISMS, fastlægger, hvordan en organisation beskytter sine informationer, træffer beslutninger og kontrollerer effektiviteten af sine foranstaltninger. BSI-Standard 200-1 beskriver dette ledelsessystem; BSI-Standard 200-2 konkretiserer Grundschutz-metoden.
IT-Grundschutz-kompendiet ordner sikkerhedskrav i moduler for forskellige emner og målobjekter. Det omfatter sikkerhedsledelse, personale, applikationer, IT-systemer, netværk og infrastruktur. BSI har ved udviklingen af modulerne taget højde for typiske risici ved normalt beskyttelsesbehov. Supplerende implementeringsvejledninger forklarer mulige foranstaltninger, men udgør et særskilt hjælpemiddel.
Standarderne supplerer hinanden med forskellige opgaver. BSI-Standard 200-3 beskriver den supplerende risikoanalyse; BSI-Standard 200-4 behandler Business Continuity Management, altså forberedelse på afbrydelser og videreførelse af vigtige forretningsprocesser. Et katalog alene erstatter dermed hverken sikkerhedsorganisationen eller beslutningerne om eget beskyttelsesbehov.
Den BSI-oversigt, der blev hentet under denne undersøgelse, angiver IT-Grundschutz-kompendiet, udgave 2023. For et konkret projekt bør De dokumentere den anvendte udgave, de tilhørende rettelsesblade og det gældende revisionsgrundlag. En senere ændring af katalogversionen skal fortsat kunne spores i sikkerhedskonceptet.
Hvem BSI Grundschutz egner sig til.
IT-Grundschutz henvender sig til virksomheder, myndigheder og andre organisationer, der vil organisere informationssikkerhed systematisk. BSI-Standard 200-1, kapitel 1.3, tager også hensyn til mindre institutioner. Om anvendelsen er bindende i det konkrete tilfælde, følger af relevante lovmæssige, myndighedsmæssige eller kontraktlige krav; selve metoden er ikke en generel virksomhedslov.
Basis-Absicherung giver en bred indgang med grundlæggende krav. Kern-Absicherung koncentrerer sig om særligt vigtige forretningsprocesser og de nødvendige ressourcer. Standard-Absicherung følger hele den metodiske fremgangsmåde for det fastlagte informationsdomæne. BSI-Standard 200-2, kapitel 3.3 og kapitel 6 til 8, beskriver disse tre fremgangsmåder.
Beslutningen afhænger af målet og det anvendelsesområde, der kan håndteres. Den, der først sikrer særligt kritiske ydelser, har stadig brug for klare grænseflader til understøttende tjenester. Den, der ønsker certificering, bør tidligt afstemme det planlagte undersøgelsesobjekt med auditteamet; Basis-Absicherung alene er ikke tilstrækkelig efter BSI-Standard 200-2, kapitel 11.
Hvad IT-Grundschutz grundlæggende kræver.
IT-Grundschutz kræver et sporbart sikkerhedskoncept og en løbende sikkerhedsproces. Følgende områder beskriver metoden generelt; de konkrete krav følger først af det afgrænsede informationsdomæne og den valgte fremgangsmåde.
Ansvar og sikkerhedsorganisation.
Ledelsen fastlægger sikkerhedsmål, bærer det overordnede ansvar og stiller ressourcer til rådighed. Ansvar og kommunikationsveje skal passe til organisationen. BSI-Standard 200-1, kapitel 4 og 7, behandler ledelsesprincipperne og sikkerhedsprocessen; indkøb af teknik alene udgør endnu ikke et ISMS.
Informationsdomæne og strukturanalyse.
Strukturanalysen registrerer anvendelsesområdets forretningsprocesser, informationer og målobjekter med deres afhængigheder. BSI-Standard 200-2, kapitel 8.1, behandler blandt andet applikationer, netværk, IT-systemer og lokaler. Beskrivelsen skal forklare, hvilke ressourcer der faktisk muliggør de betragtede ydelser.
Fastlæg beskyttelsesbehovet med begrundelse.
Fastlæggelsen af beskyttelsesbehovet vurderer mulige skader på fortrolighed, integritet og tilgængelighed. BSI-Standard 200-2, kapitel 8.2, beskriver kategorierne normalt, højt og meget højt samt overførslen til afhængige målobjekter. Klassificeringen kræver begrundede antagelser fra fagområderne og ikke blot et udvalg af tekniske nøgletal.
Modeller passende moduler.
Modelleringen vælger passende moduler i IT-Grundschutz-kompendiet og knytter dem til de betragtede målobjekter. BSI-Standard 200-2, kapitel 8.3, forklarer valg og tilpasning. Det afgørende er dækningen af informationsdomænet: En lang modulliste uden begrundet forbindelse til den reelle struktur er ikke et holdbart sikkerhedskoncept.
Kontroller og videreudvikl implementeringen.
IT-Grundschutz-tjekket undersøger den faktiske implementeringsstatus ud fra de relevante krav. BSI-Standard 200-2, kapitel 8.4, beskriver forberedelse, sammenligning af krav og faktisk status samt dokumentation. Interviews og kontrollerbare bilag hjælper med at underbygge udsagn; BSI-Standard 200-1, kapitel 7, behandler løbende kontrol og forbedring af sikkerhedsprocessen.
Håndter yderligere risici.
En supplerende risikoanalyse er især nødvendig ved højt eller meget højt beskyttelsesbehov, mangel på passende moduler eller særlige anvendelsesscenarier. BSI-Standard 200-3, kapitel 1.2 og 1.3, beskriver disse tilfælde. Trusselsoversigt, risikoklassificering og håndtering fører til begrundede beslutninger og eventuelt yderligere foranstaltninger.
Fremgangsmåden efter BSI-Standard 200-2.
Fastlæg opgave og fremgangsmåde.
Aftal sikkerhedsmål, ansvarlige og ressourcer med ledelsen, og vælg Basis-, Kern- eller Standard-Absicherung efter BSI-Standard 200-2, kapitel 3.3.
Registrer informationsdomænet.
Afgræns anvendelsesområdet, og dokumenter forretningsprocesser, informationer, målobjekter og afhængigheder i strukturanalysen efter BSI-Standard 200-2, kapitel 8.1.
Begrund beskyttelsesbehovet.
Fastlæg mulige skader med de fagligt ansvarlige, og overfør beskyttelsesbehovet til understøttende ressourcer efter BSI-Standard 200-2, kapitel 8.2.
Modeller og kontroller implementeringen.
Vælg de passende moduler, og kontroller deres implementeringsstatus med IT-Grundschutz-tjekket efter BSI-Standard 200-2, kapitel 8.3 og 8.4.
Træf beslutning om risici og foranstaltninger.
Suppler med nødvendige risikoanalyser efter BSI-Standard 200-3, og fastlæg foranstaltningerne med prioriteter, ansvar og implementeringsfrister.
Følg effektivitet og ændringer.
Gennemgå regelmæssigt foranstaltninger og sikkerhedskoncept samt efter relevante ændringer, så sikkerhedsprocessen forbliver effektiv efter BSI-Standard 200-1, kapitel 7.
Grundschutz-certificering og kontrollerbar dokumentation.
Den formelle dokumentation hedder et ISO 27001-certifikat på grundlag af IT-Grundschutz. En BSI-certificeret auditor undersøger det fastlagte informationsdomæne; BSI’s certificeringsorgan vurderer auditrapporten og træffer afgørelse om certifikatet. BSI-Standard 200-2, kapitel 11, beskriver denne vej for Standard-Absicherung og principielt også for Kern-Absicherung.
Referencedokumenterne viser vejen fra sikkerhedsmål til implementering. BSI’s auditskema, kapitel 2.3, nævner overordnet politik og retningslinjer, strukturanalyse, fastlæggelse af beskyttelsesbehov, modellering, Grundschutz-tjek, risikoanalyse og realiseringsplan. En audit kontrollerer derfor mere end tilstedeværelsen af dokumenter: De beskrevne foranstaltninger skal være gennemført sporbart i det undersøgte domæne.
BSI’s certificeringsskema, som blev undersøgt under researchen, kapitel 2.8.1, fastsætter tre års gyldighed med årlige overvågningsaudits. Kapitel 2.8.3 behandler recertificering. Væsentlige ændringer i det certificerede informationsdomæne skal medregnes; en igangværende fornyelsesprocedure forlænger ikke automatisk et udløbet certifikat.
Læs videre på bloggen.
- Pragmatisk GrundschutzPlanlæg en overskuelig start med klar struktur og sporbart ansvar.
- Forbind beskyttelsesbehovSaml beskyttelsesbehov og risikovurdering i en sammenhængende arbejdsmodel.
- IT-Grundschutz++ og OSCALLæs den tidsbestemte vurdering af videreudviklingen af Grundschutz i maskinlæsbar form.
Forstå andre rammeværker.
ISO 27001 beskriver krav til et ISMS; IT-Grundschutz forbinder et sådant ledelsessystem med BSI-metoden og kompendiet. NIS2 vedrører lovpligter for bestemte enheder, hvis opfyldelse ikke alene kan udledes af et Grundschutz-certifikat. BSI-Standard 200-4 giver en metode til Business Continuity Management; ISO 22301 behandler krav til et tilsvarende ledelsessystem.
I Secani.
Secani stiller arbejdsområder til rådighed for strukturanalyse, fastlæggelse af beskyttelsesbehov, modellering og Grundschutz-tjek. Risici og en realiseringsplan supplerer arbejdet. Dermed kan faglige beslutninger og deres implementeringsstatus dokumenteres i Grundschutz-projektet; revisionen og certificeringsafgørelsen ligger fortsat hos auditteamet og det ansvarlige organ.
Start med et afgrænset informationsdomæne.
Det første skridt er en fælles forståelse af anvendelsesområdet. Angiv de betragtede forretningsprocesser og deres ansvarlige, registrer de understøttende ressourcer, og beslut, hvilken fremgangsmåde der passer til Deres mål. BSI-Standard 200-2, kapitel 3 og 8.1, giver det metodiske udgangspunkt.
Kilder.
- ISO 22301:2019: Business continuity management systems
- BSI-Standard 200-1: ledelsessystemer for informationssikkerhed
- BSI-Standard 200-2: IT-Grundschutz-metode
- BSI-Standard 200-3: risikoanalyse på grundlag af IT-Grundschutz
- BSI-Standard 200-4: Business Continuity Management
- BSI: IT-Grundschutz-kompendium
- BSI: certificeringsskema for ISO 27001 på grundlag af IT-Grundschutz
- BSI: auditskema for ISO 27001-audits på grundlag af IT-Grundschutz
Ofte stillede spørgsmål.
Nej. Efter BSI-Standard 200-2 kan et informationsdomæne også omfatte en afgrænset del af organisationen. Afhængigheder og grænseflader, der er relevante for dens forretningsprocesser, skal dog stadig medregnes.
Nej. Under modelleringen vælges de moduler, der passer til informationsdomænet. BSI-Standard 200-2, kapitel 8.3, beskriver valg og begrundet tilpasning.
Ikke alene fordi den drives eksternt. BSI-Standard 200-2, kapitel 8.3.5 og 8.3.7, tager højde for cloud-systemer og eksterne tjenesteudbydere i modelleringen. Ansvar og grænseflader hører til sikkerhedskonceptet.
Nej. ISO 27001-certifikatet på grundlag af IT-Grundschutz vedrører det undersøgte informationsdomæne og det tilhørende ISMS. BSI’s certificeringsskema beskriver undersøgelsesobjektet; det medfører ikke en generel certificering af alle anvendte produkter.
Arbejd sporbart med Grundschutz.
Tal med os om, hvordan De strukturerer Deres Grundschutz-projekt i Secani.
Denne side forklarer BSI-metoden. BSI’s publikationer og det revisionsgrundlag, der gælder for det enkelte projekt, er afgørende.