IT-Grundschutz.

IT-Grundschutz verbindet einen Sicherheitsprozess mit einem Katalog wiederkehrender Sicherheitsanforderungen. Ein Informationssicherheits-Managementsystem, kurz ISMS, legt fest, wie eine Organisation ihre Informationen schützt, Entscheidungen trifft und die Wirksamkeit ihrer Maßnahmen überprüft. BSI-Standard 200-1 beschreibt dieses Managementsystem; BSI-Standard 200-2 konkretisiert die Grundschutz-Methodik.

Das IT-Grundschutz-Kompendium ordnet Sicherheitsanforderungen in Bausteine für unterschiedliche Themen und Zielobjekte. Dazu gehören Sicherheitsmanagement, Personal, Anwendungen, IT-Systeme, Netze und Infrastruktur. Das BSI hat bei der Entwicklung der Bausteine typische Risiken für normalen Schutzbedarf berücksichtigt. Ergänzende Umsetzungshinweise erläutern mögliche Maßnahmen, sind aber ein eigenes Hilfsmittel.

Die Standards ergänzen einander mit unterschiedlichen Aufgaben. BSI-Standard 200-3 beschreibt die zusätzliche Risikoanalyse; BSI-Standard 200-4 behandelt Business Continuity Management, also die Vorbereitung auf Unterbrechungen und die Fortführung wichtiger Geschäftsprozesse. Ein Katalog allein ersetzt damit weder die Sicherheitsorganisation noch die Entscheidungen über den eigenen Schutzbedarf.

Die bei dieser Recherche abgerufene BSI-Übersicht führt das IT-Grundschutz-Kompendium Edition 2023. Für ein konkretes Vorhaben sollten Sie die verwendete Ausgabe, die zugehörigen Errata und die gültige Prüfungsgrundlage festhalten. Eine nachträgliche Änderung des Katalogstands muss im Sicherheitskonzept nachvollziehbar bleiben.

IT-Grundschutz richtet sich an Unternehmen, Behörden und andere Organisationen, die Informationssicherheit systematisch organisieren wollen. BSI-Standard 200-1, Kapitel 1.3, berücksichtigt auch kleinere Institutionen. Ob die Anwendung im Einzelfall verbindlich ist, ergibt sich aus den einschlägigen gesetzlichen, behördlichen oder vertraglichen Vorgaben; die Methodik selbst ist kein allgemeines Unternehmensgesetz.

Die Basis-Absicherung ermöglicht einen breiten Einstieg mit grundlegenden Anforderungen. Die Kern-Absicherung konzentriert sich auf besonders wichtige Geschäftsprozesse und die dafür benötigten Ressourcen. Die Standard-Absicherung geht den vollständigen methodischen Weg für den festgelegten Informationsverbund. BSI-Standard 200-2, Kapitel 3.3 sowie Kapitel 6 bis 8, beschreibt diese drei Vorgehensweisen.

Die Entscheidung hängt vom Ziel und vom bearbeitbaren Geltungsbereich ab. Wer zunächst besonders kritische Leistungen absichert, braucht trotzdem klare Schnittstellen zu unterstützenden Diensten. Wer eine Zertifizierung anstrebt, sollte den vorgesehenen Untersuchungsgegenstand früh mit dem Auditteam abstimmen; Basis-Absicherung allein reicht dafür nach BSI-Standard 200-2, Kapitel 11, nicht aus.

Der formale Nachweis heißt ISO-27001-Zertifikat auf der Basis von IT-Grundschutz. Ein vom BSI zertifizierter Auditor untersucht den festgelegten Informationsverbund; die Zertifizierungsstelle des BSI bewertet den Auditbericht und entscheidet über das Zertifikat. BSI-Standard 200-2, Kapitel 11, sieht diesen Weg für Standard-Absicherung und grundsätzlich auch für Kern-Absicherung vor.

Die Referenzdokumente zeigen den Weg von den Sicherheitszielen bis zur Umsetzung. Das BSI-Auditierungsschema, Kapitel 2.3, nennt Leitlinie und Richtlinien, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Grundschutz-Check, Risikoanalyse und Realisierungsplan. Ein Audit prüft deshalb mehr als das Vorhandensein von Dokumenten: Die beschriebenen Maßnahmen müssen im untersuchten Verbund nachvollziehbar umgesetzt sein.

Das bei der Recherche geprüfte BSI-Zertifizierungsschema, Kapitel 2.8.1, sieht drei Jahre Laufzeit mit jährlichen Überwachungsaudits vor. Kapitel 2.8.3 behandelt die Re-Zertifizierung. Wesentliche Änderungen am zertifizierten Informationsverbund müssen berücksichtigt werden; ein laufendes Erneuerungsverfahren verlängert ein abgelaufenes Zertifikat nicht automatisch.

ISO 27001 beschreibt Anforderungen an ein ISMS; IT-Grundschutz verbindet ein solches Managementsystem mit der BSI-Methodik und dem Kompendium. NIS2 betrifft gesetzliche Pflichten bestimmter Einrichtungen, deren Erfüllung sich aus einem Grundschutz-Zertifikat allein nicht ableiten lässt. Für Business Continuity Management bietet BSI-Standard 200-4 eine Methodik; ISO 22301 behandelt Anforderungen an ein entsprechendes Managementsystem.

Secani stellt Arbeitsbereiche für Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und Grundschutz-Check bereit. Risiken und ein Realisierungsplan ergänzen die Bearbeitung. Damit lassen sich fachliche Entscheidungen und ihr Umsetzungsstand im Grundschutz-Vorhaben dokumentieren; die Prüfung und Zertifizierungsentscheidung bleiben beim Auditteam und der zuständigen Stelle.

Der erste Schritt ist ein gemeinsames Bild des Geltungsbereichs. Benennen Sie die betrachteten Geschäftsprozesse und ihre Verantwortlichen, erfassen Sie die unterstützenden Ressourcen und entscheiden Sie, welche Vorgehensweise Ihrem Ziel entspricht. BSI-Standard 200-2, Kapitel 3 und 8.1, liefert dafür den methodischen Ausgangspunkt.