IT-Grundschutz.
Comprendre l’IT-Grundschutz du BSI : standards, recueil et démarche, de l’ensemble informationnel au SMSI évalué.
- BSI-Standards 200-1 à 200-4
- Par Jonathan Bezdek
- À jour au 22/10/2026
- Temps de lecture : 9 min
Réponse courte.
IT-Grundschutz est la méthode du BSI pour établir et exploiter un système de management de la sécurité de l’information. Le BSI-Standard 200-2 décrit la démarche et le recueil IT-Grundschutz les exigences des usages courants. Entreprises et administrations délimitent leur ensemble informationnel, déterminent les besoins de protection et vérifient l’application. La certification ISO 27001 fondée sur IT-Grundschutz constitue une preuve possible.
Les standards du BSI et le recueil IT-Grundschutz.
IT-Grundschutz associe un processus de sécurité à un catalogue d’exigences de sécurité récurrentes. Un système de management de la sécurité de l’information, ou SMSI, définit comment une organisation protège ses informations, prend ses décisions et vérifie l’efficacité de ses mesures. Le BSI-Standard 200-1 décrit ce système de management ; le BSI-Standard 200-2 précise la méthode IT-Grundschutz.
Le recueil IT-Grundschutz organise les exigences de sécurité en modules consacrés à différents sujets et objets cibles : management de la sécurité, personnel, applications, systèmes informatiques, réseaux et infrastructures. Le BSI a tenu compte, lors de leur élaboration, des risques typiques associés à des besoins de protection normaux. Des recommandations de mise en œuvre complémentaires expliquent les mesures possibles, mais constituent un outil distinct.
Les standards se complètent en remplissant des fonctions différentes. Le BSI-Standard 200-3 décrit l’analyse des risques complémentaire ; le BSI-Standard 200-4 traite du management de la continuité d’activité, soit la préparation aux interruptions et la poursuite des processus métier importants. Un catalogue seul ne remplace donc ni l’organisation de la sécurité ni les décisions concernant les besoins de protection propres à l’organisation.
La page de synthèse du BSI consultée lors de cette recherche présente l’édition 2023 du recueil IT-Grundschutz. Pour un projet concret, consignez l’édition utilisée, ses errata et la base d’évaluation applicable. Toute modification ultérieure de la version du catalogue doit rester traçable dans le concept de sécurité.
À qui s’adresse l’IT-Grundschutz du BSI.
IT-Grundschutz s’adresse aux entreprises, aux administrations et aux autres organisations souhaitant organiser systématiquement la sécurité de l’information. Le BSI-Standard 200-1, chapitre 1.3, prend aussi en compte les petites institutions. Le caractère obligatoire dans un cas précis découle des dispositions légales, administratives ou contractuelles pertinentes ; la méthode elle-même n’est pas une loi générale applicable aux entreprises.
La protection de base (Basis-Absicherung) permet de commencer largement par les exigences fondamentales. La protection ciblée (Kern-Absicherung) se concentre sur les processus métier particulièrement importants et les ressources nécessaires. La protection standard (Standard-Absicherung) suit l’ensemble de la démarche pour l’ensemble informationnel défini. Le BSI-Standard 200-2, chapitre 3.3 et chapitres 6 à 8, décrit ces trois approches.
Le choix dépend de l’objectif et du périmètre pouvant être traité. Même en protégeant d’abord les prestations les plus critiques, il faut définir clairement les interfaces avec les services de soutien. Si vous visez une certification, convenez tôt avec l’équipe d’audit de l’objet prévu de l’examen ; selon le BSI-Standard 200-2, chapitre 11, la protection de base seule ne suffit pas.
Les exigences centrales d’IT-Grundschutz.
IT-Grundschutz exige un concept de sécurité traçable et un processus de sécurité continu. Les domaines suivants décrivent la méthode de manière générale ; les exigences concrètement applicables dépendent de l’ensemble informationnel délimité et de l’approche choisie.
Responsabilités et organisation de la sécurité.
La direction fixe les objectifs de sécurité, assume la responsabilité globale et fournit les ressources. Les responsabilités et les circuits de communication doivent être adaptés à l’organisation. Le BSI-Standard 200-1, chapitres 4 et 7, traite des principes de management et du processus de sécurité ; l’achat de technologies seul ne constitue pas un SMSI.
Ensemble informationnel et analyse structurelle.
L’analyse structurelle recense les processus métier, les informations et les objets cibles du périmètre, avec leurs dépendances. Le BSI-Standard 200-2, chapitre 8.1, traite notamment des applications, réseaux, systèmes informatiques et locaux. La description doit expliquer quelles ressources permettent effectivement de fournir les prestations étudiées.
Déterminer les besoins de protection de manière justifiée.
La détermination des besoins de protection évalue les dommages possibles en matière de confidentialité, d’intégrité et de disponibilité. Le BSI-Standard 200-2, chapitre 8.2, décrit les catégories normal, élevé et très élevé, ainsi que leur transmission aux objets cibles dépendants. La classification nécessite des hypothèses justifiées par les métiers, et non une simple sélection d’indicateurs techniques.
Modéliser les modules adaptés.
La modélisation sélectionne les modules adaptés du recueil IT-Grundschutz et les affecte aux objets cibles étudiés. Le BSI-Standard 200-2, chapitre 8.3, explique leur choix et leur adaptation. La couverture de l’ensemble informationnel est déterminante : une longue liste de modules sans lien justifié avec la structure réelle ne constitue pas un concept de sécurité solide.
Vérifier et faire évoluer la mise en œuvre.
L’évaluation IT-Grundschutz examine la mise en œuvre réelle au regard des exigences pertinentes. Le BSI-Standard 200-2, chapitre 8.4, décrit la préparation, la comparaison entre situation cible et situation réelle, et la documentation. Des entretiens et des documents vérifiables permettent d’étayer les affirmations ; le BSI-Standard 200-1, chapitre 7, traite du contrôle continu et de l’amélioration du processus de sécurité.
Traiter les risques supplémentaires.
Une analyse des risques complémentaire est notamment nécessaire en cas de besoins de protection élevés ou très élevés, d’absence de modules adaptés ou de scénarios d’utilisation particuliers. Le BSI-Standard 200-3, chapitres 1.2 et 1.3, précise ces cas. L’inventaire des menaces, la classification des risques et leur traitement conduisent à des décisions justifiées et, au besoin, à des mesures supplémentaires.
La démarche du BSI-Standard 200-2.
Définir le mandat et l’approche.
Convenez avec la direction des objectifs de sécurité, des responsables et des ressources, puis choisissez la protection de base, ciblée ou standard selon le BSI-Standard 200-2, chapitre 3.3.
Recenser l’ensemble informationnel.
Délimitez le périmètre et documentez les processus métier, les informations, les objets cibles et leurs dépendances dans l’analyse structurelle selon le BSI-Standard 200-2, chapitre 8.1.
Justifier les besoins de protection.
Définissez les dommages possibles avec les responsables métier et répercutez les besoins de protection sur les ressources de soutien selon le BSI-Standard 200-2, chapitre 8.2.
Modéliser et vérifier la mise en œuvre.
Sélectionnez les modules adaptés et vérifiez leur mise en œuvre au moyen de l’évaluation IT-Grundschutz selon le BSI-Standard 200-2, chapitres 8.3 et 8.4.
Décider des risques et des mesures.
Ajoutez les analyses des risques nécessaires selon le BSI-Standard 200-3 et définissez les mesures, leurs priorités, les responsabilités et les échéances de réalisation.
Suivre l’efficacité et les changements.
Réexaminez régulièrement les mesures et le concept de sécurité, ainsi qu’après tout changement pertinent, pour maintenir l’efficacité du processus selon le BSI-Standard 200-1, chapitre 7.
Certification IT-Grundschutz et preuves vérifiables.
Le justificatif formel est le certificat ISO 27001 sur la base d’IT-Grundschutz. Un auditeur certifié par le BSI examine l’ensemble informationnel défini ; l’organisme de certification du BSI évalue le rapport d’audit et décide de l’attribution du certificat. Le BSI-Standard 200-2, chapitre 11, prévoit cette voie pour la protection standard et, en principe, pour la protection ciblée.
Les documents de référence retracent le parcours des objectifs de sécurité à la mise en œuvre. Le schéma d’audit du BSI, chapitre 2.3, cite la politique et les directives, l’analyse structurelle, les besoins de protection, la modélisation, l’évaluation IT-Grundschutz, l’analyse des risques et le plan de réalisation. L’audit ne vérifie donc pas seulement la présence de documents : l’application des mesures décrites doit pouvoir être démontrée dans l’ensemble examiné.
Le schéma de certification du BSI examiné lors de la recherche prévoit, au chapitre 2.8.1, une validité de trois ans avec des audits de surveillance annuels. Le chapitre 2.8.3 traite du renouvellement de certification. Les changements majeurs de l’ensemble informationnel certifié doivent être pris en compte ; une procédure de renouvellement en cours ne prolonge pas automatiquement un certificat expiré.
Pour aller plus loin sur le blog.
- IT-Grundschutz en pratiquePlanifier un démarrage maîtrisé avec une structure claire et des responsabilités traçables.
- Relier les besoins de protectionRéunir les besoins de protection et l’appréciation des risques dans un modèle de travail cohérent.
- IT-Grundschutz++ et OSCALLire l’analyse, située dans son contexte temporel, de l’évolution d’IT-Grundschutz vers un format lisible par machine.
Situer les autres référentiels.
ISO 27001 décrit les exigences d’un SMSI ; IT-Grundschutz associe ce système de management à la méthode du BSI et au recueil. NIS2 concerne les obligations légales de certaines entités, dont le respect ne peut pas être déduit du seul certificat IT-Grundschutz. Le BSI-Standard 200-4 propose une méthode de management de la continuité d’activité ; ISO 22301 définit les exigences d’un système de management correspondant.
Dans Secani.
Secani propose des espaces de travail pour l’analyse structurelle, la détermination des besoins de protection, la modélisation et l’évaluation IT-Grundschutz. Les risques et un plan de réalisation complètent le travail. Les décisions métier et leur avancement peuvent ainsi être documentés dans le projet IT-Grundschutz ; l’examen et la décision de certification restent du ressort de l’équipe d’audit et de l’organisme compétent.
Commencer par un ensemble informationnel délimité.
La première étape consiste à partager une vision commune du périmètre. Nommez les processus métier étudiés et leurs responsables, recensez les ressources de soutien et choisissez l’approche adaptée à votre objectif. Le BSI-Standard 200-2, chapitres 3 et 8.1, fournit le point de départ méthodologique.
Sources.
- ISO 22301:2019 : systèmes de management de la continuité d’activité
- BSI-Standard 200-1 : systèmes de management de la sécurité de l’information
- BSI-Standard 200-2 : méthode IT-Grundschutz
- BSI-Standard 200-3 : analyse des risques sur la base d’IT-Grundschutz
- BSI-Standard 200-4 : management de la continuité d’activité
- BSI : recueil IT-Grundschutz
- BSI : schéma de certification ISO 27001 sur la base d’IT-Grundschutz
- BSI : schéma d’audit ISO 27001 sur la base d’IT-Grundschutz
Questions fréquentes.
Non. Selon le BSI-Standard 200-2, un ensemble informationnel peut aussi couvrir une partie délimitée de l’organisation. Les dépendances et interfaces pertinentes pour ses processus métier doivent néanmoins être prises en compte.
Non. La modélisation sélectionne les modules adaptés à l’ensemble informationnel. Le BSI-Standard 200-2, chapitre 8.3, décrit leur sélection et leur adaptation justifiée.
Pas du seul fait qu’il est exploité à l’extérieur. Le BSI-Standard 200-2, chapitres 8.3.5 et 8.3.7, prend en compte les systèmes cloud et les prestataires externes dans la modélisation. Les responsabilités et les interfaces font partie du concept de sécurité.
Non. Le certificat ISO 27001 sur la base d’IT-Grundschutz porte sur l’ensemble informationnel examiné et son SMSI. Le schéma de certification du BSI décrit l’objet de l’examen ; il n’en découle aucune certification générale de tous les produits utilisés.
Travailler sur IT-Grundschutz de manière traçable.
Discutons de la manière de structurer votre projet IT-Grundschutz dans Secani.
Cette page présente la méthode du BSI. Les publications du BSI et la base d’évaluation applicable au projet concerné font foi.