IT-Grundschutz.
Entender el enfoque Grundschutz del BSI: estándares, compendio y el camino desde el conjunto de información hasta un SGSI auditado.
- BSI-Standards 200-1 a 200-4
- Por Jonathan Bezdek
- Actualizado: 22/10/2026
- Tiempo de lectura: 9 min.
Respuesta breve.
IT-Grundschutz es la metodología del BSI para establecer y operar sistemas de gestión de seguridad de la información. BSI-Standard 200-2 describe el procedimiento; el compendio, requisitos para usos típicos. Empresas y administraciones delimitan su conjunto de información, determinan necesidades de protección y comprueban la implantación. Pueden acreditarlo mediante certificación ISO 27001 basada en IT-Grundschutz.
Estándares del BSI y compendio IT-Grundschutz.
IT-Grundschutz combina un proceso de seguridad con un catálogo de requisitos de seguridad recurrentes. Un sistema de gestión de la seguridad de la información, o SGSI, establece cómo protege una organización su información, toma decisiones y comprueba la eficacia de sus medidas. BSI-Standard 200-1 describe este sistema de gestión; BSI-Standard 200-2 concreta la metodología Grundschutz.
El compendio IT-Grundschutz organiza los requisitos de seguridad en módulos para distintos temas y objetos de análisis. Incluye gestión de la seguridad, personal, aplicaciones, sistemas informáticos, redes e infraestructura. Al desarrollar los módulos, el BSI tuvo en cuenta los riesgos típicos de unas necesidades de protección normales. Las orientaciones complementarias explican posibles medidas, pero constituyen una herramienta independiente.
Los estándares se complementan con funciones diferentes. BSI-Standard 200-3 describe el análisis de riesgos adicional; BSI-Standard 200-4 aborda la gestión de la continuidad del negocio, es decir, la preparación ante interrupciones y la continuidad de procesos de negocio importantes. Por tanto, un catálogo por sí solo no sustituye ni la organización de la seguridad ni las decisiones sobre las propias necesidades de protección.
La página general del BSI consultada durante esta investigación recoge la edición 2023 del compendio IT-Grundschutz. Para un proyecto concreto, conviene documentar la edición utilizada, sus erratas y la base de auditoría vigente. Cualquier cambio posterior de la versión del catálogo debe seguir siendo trazable en el plan de seguridad.
A quién se dirige Grundschutz del BSI.
IT-Grundschutz se dirige a empresas, administraciones y otras organizaciones que desean organizar sistemáticamente la seguridad de la información. BSI-Standard 200-1, capítulo 1.3, también contempla instituciones pequeñas. Su obligatoriedad en cada caso depende de las disposiciones legales, administrativas o contractuales pertinentes; la metodología en sí no es una ley general para las empresas.
La protección básica permite una aproximación amplia con requisitos fundamentales. La protección esencial se concentra en los procesos de negocio especialmente importantes y los recursos necesarios para ellos. La protección estándar sigue el recorrido metodológico completo para el conjunto de información definido. BSI-Standard 200-2, capítulo 3.3 y capítulos 6 a 8, describe estos tres enfoques.
La decisión depende del objetivo y del ámbito de aplicación que pueda abordarse. Quien empieza protegiendo servicios especialmente críticos también necesita interfaces claras con los servicios de apoyo. Quien aspire a una certificación debe acordar pronto con el equipo auditor el objeto previsto del análisis; conforme a BSI-Standard 200-2, capítulo 11, la protección básica por sí sola no basta.
Qué exige IT-Grundschutz en esencia.
IT-Grundschutz exige un plan de seguridad trazable y un proceso de seguridad continuo. Los ámbitos siguientes describen la metodología en términos generales; los requisitos concretos solo se determinan a partir del conjunto de información delimitado y del enfoque elegido.
Responsabilidad y organización de la seguridad.
La dirección fija los objetivos de seguridad, asume la responsabilidad general y proporciona recursos. Las competencias y los canales de comunicación deben adaptarse a la organización. BSI-Standard 200-1, capítulos 4 y 7, aborda los principios de gestión y el proceso de seguridad; adquirir tecnología por sí solo todavía no constituye un SGSI.
Conjunto de información y análisis estructural.
El análisis estructural identifica los procesos de negocio, la información y los objetos del ámbito de aplicación, junto con sus dependencias. BSI-Standard 200-2, capítulo 8.1, aborda, entre otros elementos, aplicaciones, redes, sistemas informáticos y espacios. La descripción debe explicar qué recursos permiten realmente prestar los servicios examinados.
Determinar las necesidades de protección de forma trazable.
La determinación de las necesidades de protección evalúa los posibles daños a la confidencialidad, integridad y disponibilidad. BSI-Standard 200-2, capítulo 8.2, describe las categorías normal, alta y muy alta, así como su traslado a los objetos dependientes. La clasificación requiere supuestos justificados de las áreas funcionales, no una simple selección de indicadores técnicos.
Modelar los módulos adecuados.
El modelado selecciona los módulos adecuados del compendio IT-Grundschutz y los asigna a los objetos examinados. BSI-Standard 200-2, capítulo 8.3, explica la selección y la adaptación. Lo decisivo es cubrir el conjunto de información: una larga lista de módulos sin relación justificada con la estructura real no constituye un plan de seguridad sólido.
Comprobar y desarrollar la implantación.
La comprobación IT-Grundschutz examina el estado real de implantación según los requisitos pertinentes. BSI-Standard 200-2, capítulo 8.4, describe la preparación, la comparación entre la situación objetivo y la real y la documentación. Las entrevistas y los documentos verificables ayudan a fundamentar las afirmaciones; BSI-Standard 200-1, capítulo 7, aborda el control y la mejora continua del proceso de seguridad.
Tratar los riesgos adicionales.
Es necesario un análisis de riesgos complementario, especialmente cuando las necesidades de protección son altas o muy altas, faltan módulos adecuados o existen escenarios de uso especiales. BSI-Standard 200-3, capítulos 1.2 y 1.3, sitúa estos casos. La relación de amenazas, la clasificación del riesgo y su tratamiento conducen a decisiones fundamentadas y, en su caso, a medidas adicionales.
El procedimiento según BSI-Standard 200-2.
Definir el mandato y el enfoque.
Acuerde con la dirección objetivos de seguridad, responsables y recursos y elija la protección básica, esencial o estándar conforme a BSI-Standard 200-2, capítulo 3.3.
Identificar el conjunto de información.
Delimite el ámbito de aplicación y documente los procesos de negocio, la información, los objetos de análisis y sus dependencias mediante el análisis estructural conforme a BSI-Standard 200-2, capítulo 8.1.
Justificar las necesidades de protección.
Determine los posibles daños con los responsables funcionales y traslade las necesidades de protección a los recursos de apoyo conforme a BSI-Standard 200-2, capítulo 8.2.
Modelar y comprobar la implantación.
Seleccione los módulos adecuados y compruebe su estado de implantación mediante la comprobación IT-Grundschutz conforme a BSI-Standard 200-2, capítulos 8.3 y 8.4.
Decidir sobre riesgos y medidas.
Añada los análisis de riesgos necesarios conforme a BSI-Standard 200-3 y defina las medidas con prioridades, responsabilidades y fechas de implantación.
Hacer seguimiento de la eficacia y los cambios.
Revise periódicamente las medidas y el plan de seguridad, y tras los cambios pertinentes, para que el proceso de seguridad según BSI-Standard 200-1, capítulo 7, siga siendo eficaz.
Certificación Grundschutz y evidencias verificables.
La acreditación formal se denomina certificado ISO 27001 basado en IT-Grundschutz. Un auditor certificado por el BSI examina el conjunto de información definido; el organismo de certificación del BSI evalúa el informe de auditoría y decide sobre el certificado. BSI-Standard 200-2, capítulo 11, prevé esta vía para la protección estándar y, en principio, también para la protección esencial.
Los documentos de referencia muestran el recorrido desde los objetivos de seguridad hasta la implantación. El esquema de auditoría del BSI, capítulo 2.3, enumera la política y las directrices, el análisis estructural, la determinación de necesidades de protección, el modelado, la comprobación Grundschutz, el análisis de riesgos y el plan de ejecución. Por tanto, una auditoría comprueba más que la existencia de documentos: las medidas descritas deben estar implantadas de forma trazable en el conjunto examinado.
El esquema de certificación del BSI examinado durante la investigación, capítulo 2.8.1, prevé una vigencia de tres años con auditorías de seguimiento anuales. El capítulo 2.8.3 aborda la recertificación. Deben tenerse en cuenta los cambios sustanciales en el conjunto de información certificado; un procedimiento de renovación en curso no prorroga automáticamente un certificado caducado.
Más información en el blog.
- Grundschutz de forma pragmáticaPlanificar un comienzo manejable con estructura clara y responsabilidades trazables.
- Conectar las necesidades de protecciónIntegrar las necesidades de protección y la valoración de riesgos en un modelo de trabajo coherente.
- IT-Grundschutz++ y OSCALLeer el análisis, situado en su contexto temporal, sobre la evolución de Grundschutz hacia un formato legible por máquina.
Entender otros marcos.
ISO 27001 describe los requisitos de un SGSI; IT-Grundschutz combina ese sistema de gestión con la metodología del BSI y el compendio. NIS2 regula obligaciones legales de determinadas entidades, cuyo cumplimiento no puede deducirse únicamente de un certificado Grundschutz. Para la gestión de la continuidad del negocio, BSI-Standard 200-4 ofrece una metodología; ISO 22301 aborda los requisitos del sistema de gestión correspondiente.
En Secani.
Secani ofrece áreas de trabajo para el análisis estructural, la determinación de necesidades de protección, el modelado y la comprobación Grundschutz. Los riesgos y un plan de ejecución completan el trabajo. Esto permite documentar las decisiones técnicas y su estado de implantación en el proyecto Grundschutz; la auditoría y la decisión de certificación siguen correspondiendo al equipo auditor y al organismo competente.
Empezar con un conjunto de información delimitado.
El primer paso consiste en compartir una visión común del ámbito de aplicación. Identifique los procesos de negocio examinados y sus responsables, registre los recursos de apoyo y decida qué enfoque se ajusta a su objetivo. BSI-Standard 200-2, capítulos 3 y 8.1, proporciona el punto de partida metodológico.
Fuentes.
- ISO 22301:2019: sistemas de gestión de la continuidad del negocio
- BSI-Standard 200-1: sistemas de gestión de la seguridad de la información
- BSI-Standard 200-2: metodología IT-Grundschutz
- BSI-Standard 200-3: análisis de riesgos basado en IT-Grundschutz
- BSI-Standard 200-4: gestión de la continuidad del negocio
- BSI: compendio IT-Grundschutz
- BSI: esquema de certificación ISO 27001 basado en IT-Grundschutz
- BSI: esquema de auditoría para auditorías ISO 27001 basadas en IT-Grundschutz
Preguntas frecuentes.
No. Según BSI-Standard 200-2, un conjunto de información también puede abarcar una parte delimitada de la organización. Aun así, deben tenerse en cuenta las dependencias e interfaces relevantes para sus procesos de negocio.
No. Durante el modelado se seleccionan los módulos adecuados para el conjunto de información. BSI-Standard 200-2, capítulo 8.3, describe la selección y la adaptación justificada.
No por el mero hecho de operarse externamente. BSI-Standard 200-2, capítulos 8.3.5 y 8.3.7, contempla los sistemas en la nube y los proveedores externos en el modelado. Las responsabilidades y las interfaces forman parte del plan de seguridad.
No. El certificado ISO 27001 basado en IT-Grundschutz se refiere al conjunto de información examinado y a su SGSI. El esquema de certificación del BSI describe el objeto del análisis; de él no se deriva una certificación general de todos los productos utilizados.
Trabajar Grundschutz de forma trazable.
Hable con nosotros sobre cómo estructurar su proyecto Grundschutz en Secani.
Esta página explica la metodología del BSI. Son determinantes las publicaciones del BSI y la base de auditoría vigente para cada proyecto.