IT-Grundschutz.
Inquadrare il Grundschutz del BSI: standard, Compendio e percorso dal perimetro informativo all'ISMS verificato.
- BSI-Standard da 200-1 a 200-4
- Di Jonathan Bezdek
- Aggiornato al: 22/10/2026
- Tempo di lettura: 8 min.
Risposta breve.
IT-Grundschutz è la metodologia del BSI per istituire e gestire un sistema di gestione della sicurezza delle informazioni. BSI-Standard 200-2 descrive il metodo; il Compendio contiene requisiti di sicurezza per ambiti tipici. Imprese e autorità delimitano il perimetro informativo, determinano le esigenze di protezione e verificano l'attuazione. Una possibile attestazione è la certificazione ISO 27001 basata su IT-Grundschutz.
Standard BSI e Compendio IT-Grundschutz.
IT-Grundschutz unisce un processo di sicurezza a un catalogo di requisiti ricorrenti. Un sistema di gestione della sicurezza delle informazioni, in breve ISMS, stabilisce come un'organizzazione protegge le informazioni, prende decisioni e verifica l'efficacia delle misure. BSI-Standard 200-1 descrive questo sistema di gestione; BSI-Standard 200-2 precisa la metodologia Grundschutz.
Il Compendio IT-Grundschutz organizza i requisiti di sicurezza in moduli per diversi temi e oggetti di analisi. Questi includono gestione della sicurezza, personale, applicazioni, sistemi IT, reti e infrastrutture. Nello sviluppo dei moduli, il BSI ha considerato rischi tipici per esigenze di protezione normali. Indicazioni integrative di attuazione illustrano possibili misure, ma costituiscono uno strumento distinto.
Gli standard si integrano con funzioni diverse. BSI-Standard 200-3 descrive l'analisi aggiuntiva dei rischi; BSI-Standard 200-4 tratta la gestione della continuità operativa, ossia la preparazione alle interruzioni e la prosecuzione dei processi aziendali importanti. Un catalogo da solo non sostituisce quindi né l'organizzazione della sicurezza né le decisioni sulle proprie esigenze di protezione.
La panoramica del BSI consultata durante questa ricerca riporta il Compendio IT-Grundschutz, edizione 2023. Per un progetto concreto occorre registrare l'edizione utilizzata, le relative errata corrige e la base di verifica valida. Una modifica successiva della versione del catalogo deve restare tracciabile nel piano di sicurezza.
A chi è adatto il Grundschutz del BSI.
IT-Grundschutz si rivolge a imprese, autorità e altre organizzazioni che vogliono organizzare sistematicamente la sicurezza delle informazioni. BSI-Standard 200-1, capitolo 1.3, considera anche le istituzioni più piccole. L'eventuale obbligatorietà nel singolo caso deriva dalle disposizioni legali, amministrative o contrattuali pertinenti; la metodologia stessa non è una legge generale sulle imprese.
La protezione di base (Basis-Absicherung) offre un avvio ampio con requisiti fondamentali. La protezione del nucleo (Kern-Absicherung) si concentra sui processi aziendali particolarmente importanti e sulle risorse necessarie. La protezione standard (Standard-Absicherung) segue l'intero percorso metodologico per il perimetro informativo definito. BSI-Standard 200-2, capitolo 3.3 e capitoli da 6 a 8, descrive questi tre approcci.
La scelta dipende dall'obiettivo e da un ambito di applicazione gestibile. Anche chi protegge inizialmente le prestazioni più critiche ha bisogno di interfacce chiare con i servizi di supporto. Chi mira alla certificazione dovrebbe concordare presto l'oggetto previsto della verifica con il team di audit; secondo BSI-Standard 200-2, capitolo 11, la sola protezione di base non è sufficiente.
Cosa richiede essenzialmente IT-Grundschutz.
IT-Grundschutz richiede un piano di sicurezza tracciabile e un processo di sicurezza continuo. I seguenti ambiti descrivono la metodologia in termini generali; i requisiti concretamente applicabili derivano solo dal perimetro informativo delimitato e dall'approccio scelto.
Responsabilità e organizzazione della sicurezza.
La direzione definisce gli obiettivi di sicurezza, assume la responsabilità complessiva e mette a disposizione le risorse. Competenze e canali di comunicazione devono adattarsi all'organizzazione. BSI-Standard 200-1, capitoli 4 e 7, tratta i principi di gestione e il processo di sicurezza; il solo acquisto di tecnologia non costituisce un ISMS.
Perimetro informativo e analisi strutturale.
L'analisi strutturale rileva processi aziendali, informazioni e oggetti di analisi dell'ambito di applicazione con le loro dipendenze. BSI-Standard 200-2, capitolo 8.1, tratta tra l'altro applicazioni, reti, sistemi IT e locali. La descrizione deve spiegare quali risorse rendono effettivamente possibili le prestazioni considerate.
Determinare in modo motivato le esigenze di protezione.
La determinazione delle esigenze di protezione valuta i possibili danni a riservatezza, integrità e disponibilità. BSI-Standard 200-2, capitolo 8.2, descrive le categorie normale, elevata e molto elevata e la loro trasposizione agli oggetti dipendenti. La classificazione richiede ipotesi motivate dalle funzioni aziendali, non una semplice scelta di indicatori tecnici.
Modellare i moduli adatti.
La modellazione seleziona i moduli adatti del Compendio IT-Grundschutz e li associa agli oggetti considerati. BSI-Standard 200-2, capitolo 8.3, spiega selezione e adattamento. Conta la copertura del perimetro informativo: un lungo elenco di moduli privo di collegamento motivato con la struttura reale non è un piano di sicurezza solido.
Verificare e sviluppare l'attuazione.
Il controllo IT-Grundschutz esamina il livello effettivo di attuazione rispetto ai requisiti pertinenti. BSI-Standard 200-2, capitolo 8.4, descrive preparazione, confronto tra stato atteso ed effettivo e documentazione. Colloqui e documenti verificabili aiutano a sostenere le dichiarazioni; BSI-Standard 200-1, capitolo 7, tratta il controllo e il miglioramento continui del processo di sicurezza.
Trattare i rischi aggiuntivi.
Un'analisi integrativa dei rischi è necessaria in particolare per esigenze di protezione elevate o molto elevate, mancanza di moduli adatti o scenari d'uso particolari. BSI-Standard 200-3, capitoli 1.2 e 1.3, inquadra questi casi. Panoramica delle minacce, classificazione e trattamento dei rischi conducono a decisioni motivate e, se necessario, a misure aggiuntive.
Il percorso secondo BSI-Standard 200-2.
Definire mandato e approccio.
Concordate con la direzione obiettivi di sicurezza, responsabili e risorse e scegliete la protezione di base, del nucleo o standard secondo BSI-Standard 200-2, capitolo 3.3.
Rilevare il perimetro informativo.
Delimitate l'ambito e documentate processi aziendali, informazioni, oggetti di analisi e dipendenze nell'analisi strutturale secondo BSI-Standard 200-2, capitolo 8.1.
Motivare le esigenze di protezione.
Definite i possibili danni con i responsabili di funzione e trasferite le esigenze di protezione alle risorse di supporto secondo BSI-Standard 200-2, capitolo 8.2.
Modellare e verificare l'attuazione.
Scegliete i moduli adatti e verificatene il livello di attuazione con il controllo IT-Grundschutz secondo BSI-Standard 200-2, capitoli 8.3 e 8.4.
Decidere su rischi e misure.
Integrate le analisi dei rischi necessarie secondo BSI-Standard 200-3 e definite le misure con priorità, responsabilità e scadenze di attuazione.
Monitorare efficacia e cambiamenti.
Riesaminate regolarmente misure e piano di sicurezza e dopo cambiamenti rilevanti, affinché il processo di sicurezza secondo BSI-Standard 200-1, capitolo 7, rimanga efficace.
Certificazione Grundschutz ed evidenze verificabili.
L'attestazione formale si chiama certificato ISO 27001 basato su IT-Grundschutz. Un auditor certificato dal BSI esamina il perimetro informativo definito; l'organismo di certificazione del BSI valuta la relazione di audit e decide sul certificato. BSI-Standard 200-2, capitolo 11, prevede questo percorso per la protezione standard e, in linea di principio, anche per quella del nucleo.
I documenti di riferimento mostrano il percorso dagli obiettivi di sicurezza all'attuazione. Lo schema di audit del BSI, capitolo 2.3, cita politica e direttive, analisi strutturale, determinazione delle esigenze di protezione, modellazione, controllo Grundschutz, analisi dei rischi e piano di realizzazione. Un audit verifica quindi più della presenza di documenti: le misure descritte devono risultare attuate in modo tracciabile nel perimetro esaminato.
Lo schema di certificazione BSI esaminato durante la ricerca, capitolo 2.8.1, prevede una validità di tre anni con audit annuali di sorveglianza. Il capitolo 2.8.3 tratta la ricertificazione. Occorre considerare modifiche sostanziali al perimetro informativo certificato; una procedura di rinnovo in corso non prolunga automaticamente un certificato scaduto.
Approfondimenti sul blog.
- Grundschutz pragmaticoPianificare un avvio circoscritto con struttura chiara e responsabilità tracciabili.
- Collegare le esigenze di protezioneUnire esigenze di protezione e valutazione dei rischi in un modello di lavoro coerente.
- IT-Grundschutz++ e OSCALLeggere l'inquadramento, riferito al periodo, dell'evoluzione del Grundschutz verso formati leggibili dalle macchine.
Inquadrare gli altri framework.
ISO 27001 descrive i requisiti di un ISMS; IT-Grundschutz collega tale sistema di gestione alla metodologia BSI e al Compendio. NIS2 riguarda obblighi legali di determinati soggetti, il cui adempimento non può essere dedotto dal solo certificato Grundschutz. BSI-Standard 200-4 offre una metodologia per la gestione della continuità operativa; ISO 22301 tratta i requisiti del relativo sistema di gestione.
In Secani.
Secani offre aree di lavoro per analisi strutturale, determinazione delle esigenze di protezione, modellazione e controllo Grundschutz. Rischi e piano di realizzazione completano il lavoro. È così possibile documentare decisioni specialistiche e livello di attuazione nel progetto Grundschutz; verifica e decisione di certificazione restano al team di audit e all'organismo competente.
Iniziare con un perimetro informativo delimitato.
Il primo passo è una visione condivisa dell'ambito di applicazione. Identificate i processi aziendali considerati e i loro responsabili, rilevate le risorse di supporto e decidete l'approccio adatto all'obiettivo. BSI-Standard 200-2, capitoli 3 e 8.1, fornisce il punto di partenza metodologico.
Fonti.
- ISO 22301:2019: sistemi di gestione della continuità operativa
- BSI-Standard 200-1: sistemi di gestione della sicurezza delle informazioni
- BSI-Standard 200-2: metodologia IT-Grundschutz
- BSI-Standard 200-3: analisi dei rischi basata su IT-Grundschutz
- BSI-Standard 200-4: gestione della continuità operativa
- BSI: Compendio IT-Grundschutz
- BSI: schema di certificazione ISO 27001 basata su IT-Grundschutz
- BSI: schema per gli audit ISO 27001 basati su IT-Grundschutz
Domande frequenti.
No. Secondo BSI-Standard 200-2, un perimetro informativo può comprendere anche una parte delimitata dell'organizzazione. Occorre comunque considerare le dipendenze e le interfacce rilevanti per i suoi processi aziendali.
No. Durante la modellazione si selezionano i moduli adatti al perimetro informativo. BSI-Standard 200-2, capitolo 8.3, descrive selezione e adattamento motivato.
Non per il solo fatto di essere gestito esternamente. BSI-Standard 200-2, capitoli 8.3.5 e 8.3.7, considera sistemi cloud e fornitori esterni nella modellazione. Responsabilità e interfacce fanno parte del piano di sicurezza.
No. Il certificato ISO 27001 basato su IT-Grundschutz riguarda il perimetro informativo verificato e il relativo ISMS. Lo schema di certificazione BSI descrive l'oggetto della verifica; non ne deriva una certificazione generale di tutti i prodotti utilizzati.
Gestire il Grundschutz in modo tracciabile.
Parlate con noi di come strutturare il vostro progetto Grundschutz in Secani.
Questa pagina inquadra la metodologia BSI. Fanno fede le pubblicazioni del BSI e la base di verifica valida per il rispettivo progetto.