IT-Grundschutz.
BSI Grundschutz duiden: standaarden, compendium en het traject van informatieverbond naar getoetst ISMS.
- BSI-standaarden 200-1 tot en met 200-4
- Door Jonathan Bezdek
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
IT-Grundschutz is de BSI-methodiek voor het opzetten en onderhouden van een managementsysteem voor informatiebeveiliging. BSI-standaard 200-2 beschrijft de werkwijze; het IT-Grundschutz-compendium bevat beveiligingseisen voor typische toepassingsgebieden. Ondernemingen en overheden bakenen hun informatieverbond af, bepalen de beschermingsbehoefte en toetsen de implementatie. ISO 27001-certificering op basis van IT-Grundschutz is een mogelijke bewijsvoering.
BSI-standaarden en IT-Grundschutz-compendium.
IT-Grundschutz verbindt een beveiligingsproces met een catalogus van terugkerende beveiligingseisen. Een managementsysteem voor informatiebeveiliging, kortweg ISMS, legt vast hoe een organisatie haar informatie beschermt, beslissingen neemt en de doeltreffendheid van haar maatregelen toetst. BSI-standaard 200-1 beschrijft dit managementsysteem; BSI-standaard 200-2 concretiseert de Grundschutz-methodiek.
Het IT-Grundschutz-compendium groepeert beveiligingseisen in bouwstenen voor verschillende onderwerpen en doelobjecten. Daaronder vallen beveiligingsmanagement, personeel, applicaties, IT-systemen, netwerken en infrastructuur. Bij het ontwikkelen van de bouwstenen heeft het BSI rekening gehouden met typische risico’s bij een normale beschermingsbehoefte. Aanvullende implementatieaanwijzingen lichten mogelijke maatregelen toe, maar vormen een afzonderlijk hulpmiddel.
De standaarden vullen elkaar aan met verschillende taken. BSI-standaard 200-3 beschrijft de aanvullende risicoanalyse; BSI-standaard 200-4 behandelt bedrijfscontinuïteitsmanagement, dus het voorbereiden op onderbrekingen en het voortzetten van belangrijke bedrijfsprocessen. Een catalogus alleen vervangt daarmee noch de beveiligingsorganisatie, noch de beslissingen over de eigen beschermingsbehoefte.
Het tijdens dit onderzoek geraadpleegde BSI-overzicht vermeldt het IT-Grundschutz-compendium, editie 2023. Leg voor een concreet project de gebruikte uitgave, bijbehorende errata en geldende toetsingsgrondslag vast. Een latere wijziging van de catalogusversie moet in het beveiligingsconcept navolgbaar blijven.
Voor wie BSI Grundschutz geschikt is.
IT-Grundschutz richt zich op ondernemingen, overheden en andere organisaties die informatiebeveiliging systematisch willen organiseren. BSI-standaard 200-1, hoofdstuk 1.3, houdt ook rekening met kleinere instellingen. Of toepassing in een bepaald geval verplicht is, volgt uit de toepasselijke wettelijke, bestuurlijke of contractuele voorschriften; de methodiek zelf is geen algemene ondernemingswet.
De Basis-Absicherung biedt een brede start met fundamentele eisen. De Kern-Absicherung concentreert zich op bijzonder belangrijke bedrijfsprocessen en de daarvoor benodigde middelen. De Standard-Absicherung volgt het volledige methodische traject voor het afgebakende informatieverbond. BSI-standaard 200-2, hoofdstuk 3.3 en hoofdstukken 6 tot en met 8, beschrijft deze drie werkwijzen.
De keuze hangt af van het doel en een hanteerbare scope. Wie eerst bijzonder kritieke diensten beveiligt, heeft ook duidelijke interfaces met ondersteunende diensten nodig. Wie certificering nastreeft, stemt het beoogde onderzoeksobject bij voorkeur vroeg af met het auditteam; alleen Basis-Absicherung volstaat daarvoor volgens BSI-standaard 200-2, hoofdstuk 11, niet.
Wat IT-Grundschutz in de kern vereist.
IT-Grundschutz vereist een navolgbaar beveiligingsconcept en een doorlopend beveiligingsproces. De volgende gebieden beschrijven de methodiek op algemeen niveau; welke concrete eisen gelden, volgt pas uit het afgebakende informatieverbond en de gekozen werkwijze.
Verantwoordelijkheid en beveiligingsorganisatie.
De directie stelt beveiligingsdoelen vast, draagt de eindverantwoordelijkheid en stelt middelen beschikbaar. Verantwoordelijkheden en communicatiekanalen moeten bij de organisatie passen. BSI-standaard 200-1, hoofdstukken 4 en 7, behandelt de managementprincipes en het beveiligingsproces; alleen techniek aanschaffen vormt nog geen ISMS.
Informatieverbond en structuuranalyse.
De structuuranalyse brengt de bedrijfsprocessen, informatie en doelobjecten binnen de scope met hun afhankelijkheden in kaart. BSI-standaard 200-2, hoofdstuk 8.1, behandelt onder meer applicaties, netwerken, IT-systemen en ruimten. De beschrijving moet uitleggen welke middelen de onderzochte diensten daadwerkelijk mogelijk maken.
Beschermingsbehoefte navolgbaar bepalen.
De vaststelling van de beschermingsbehoefte beoordeelt mogelijke schade aan vertrouwelijkheid, integriteit en beschikbaarheid. BSI-standaard 200-2, hoofdstuk 8.2, beschrijft hiervoor de categorieën normaal, hoog en zeer hoog en de doorvertaling naar afhankelijke doelobjecten. De classificatie vereist onderbouwde aannames uit de vakafdelingen, meer dan alleen een selectie van technische kengetallen.
Passende bouwstenen modelleren.
Bij het modelleren worden passende bouwstenen van het IT-Grundschutz-compendium geselecteerd en aan de onderzochte doelobjecten gekoppeld. BSI-standaard 200-2, hoofdstuk 8.3, licht selectie en aanpassing toe. De dekking van het informatieverbond is bepalend: een lange lijst bouwstenen zonder onderbouwde relatie met de werkelijke structuur vormt geen deugdelijk beveiligingsconcept.
Implementatie toetsen en verder ontwikkelen.
De IT-Grundschutz-check onderzoekt de feitelijke implementatiestatus aan de hand van de relevante eisen. BSI-standaard 200-2, hoofdstuk 8.4, beschrijft voorbereiding, vergelijking van gewenste en feitelijke situatie en documentatie. Interviews en controleerbare documenten helpen uitspraken te onderbouwen; BSI-standaard 200-1, hoofdstuk 7, behandelt de doorlopende controle en verbetering van het beveiligingsproces.
Aanvullende risico’s behandelen.
Een aanvullende risicoanalyse is met name nodig bij een hoge of zeer hoge beschermingsbehoefte, ontbrekende passende bouwstenen of bijzondere gebruiksscenario’s. BSI-standaard 200-3, hoofdstukken 1.2 en 1.3, duidt deze gevallen. Dreigingsoverzicht, risicoclassificatie en behandeling leiden tot onderbouwde beslissingen en zo nodig aanvullende maatregelen.
De werkwijze volgens BSI-standaard 200-2.
Opdracht en werkwijze vastleggen.
Spreek beveiligingsdoelen, verantwoordelijken en middelen af met de directie en kies Basis-, Kern- of Standard-Absicherung volgens BSI-standaard 200-2, hoofdstuk 3.3.
Informatieverbond in kaart brengen.
Baken de scope af en documenteer bedrijfsprocessen, informatie, doelobjecten en afhankelijkheden in de structuuranalyse volgens BSI-standaard 200-2, hoofdstuk 8.1.
Beschermingsbehoefte onderbouwen.
Bepaal mogelijke schade samen met de inhoudelijk verantwoordelijken en vertaal de beschermingsbehoefte naar ondersteunende middelen volgens BSI-standaard 200-2, hoofdstuk 8.2.
Modelleren en implementatie toetsen.
Selecteer de passende bouwstenen en toets hun implementatiestatus met de IT-Grundschutz-check volgens BSI-standaard 200-2, hoofdstukken 8.3 en 8.4.
Beslissen over risico’s en maatregelen.
Voeg de benodigde risicoanalyses volgens BSI-standaard 200-3 toe en leg maatregelen vast met prioriteiten, verantwoordelijkheden en implementatietermijnen.
Doeltreffendheid en wijzigingen volgen.
Toets maatregelen en het beveiligingsconcept regelmatig en na relevante wijzigingen, zodat het beveiligingsproces volgens BSI-standaard 200-1, hoofdstuk 7, doeltreffend blijft.
Grundschutz-certificering en toetsbaar bewijs.
Het formele bewijs heet een ISO 27001-certificaat op basis van IT-Grundschutz. Een door het BSI gecertificeerde auditor onderzoekt het afgebakende informatieverbond; de certificatie-instelling van het BSI beoordeelt het auditrapport en beslist over het certificaat. BSI-standaard 200-2, hoofdstuk 11, voorziet in dit traject voor Standard-Absicherung en in beginsel ook voor Kern-Absicherung.
De referentiedocumenten tonen het traject van beveiligingsdoelen tot implementatie. Het BSI-auditschema, hoofdstuk 2.3, noemt beleid en richtlijnen, structuuranalyse, vaststelling van de beschermingsbehoefte, modellering, Grundschutz-check, risicoanalyse en realisatieplan. Een audit toetst daarom meer dan de aanwezigheid van documenten: de beschreven maatregelen moeten in het onderzochte verbond aantoonbaar zijn geïmplementeerd.
Het tijdens het onderzoek gecontroleerde BSI-certificatieschema, hoofdstuk 2.8.1, voorziet in een looptijd van drie jaar met jaarlijkse toezichtsaudits. Hoofdstuk 2.8.3 behandelt hercertificering. Wezenlijke wijzigingen in het gecertificeerde informatieverbond moeten worden meegenomen; een lopende verlengingsprocedure verlengt een verlopen certificaat niet automatisch.
Verder lezen op de blog.
- Grundschutz pragmatisch toepassenEen overzichtelijke start plannen met een duidelijke structuur en navolgbare verantwoordelijkheden.
- Beschermingsbehoefte verbindenBeschermingsbehoefte en risicobeoordeling samenbrengen in een consistent werkmodel.
- IT-Grundschutz++ en OSCALDe tijdgebonden duiding van de doorontwikkeling van Grundschutz naar een machineleesbaar formaat lezen.
Andere frameworks duiden.
ISO 27001 beschrijft eisen aan een ISMS; IT-Grundschutz verbindt zo’n managementsysteem met de BSI-methodiek en het compendium. NIS2 betreft wettelijke verplichtingen voor bepaalde instellingen, waarvan de naleving niet uit alleen een Grundschutz-certificaat kan worden afgeleid. Voor bedrijfscontinuïteitsmanagement biedt BSI-standaard 200-4 een methodiek; ISO 22301 behandelt de eisen aan een bijbehorend managementsysteem.
In Secani.
Secani biedt werkgebieden voor structuuranalyse, vaststelling van de beschermingsbehoefte, modellering en de Grundschutz-check. Risico’s en een realisatieplan vullen de werkzaamheden aan. Daarmee kunnen inhoudelijke beslissingen en hun implementatiestatus in het Grundschutz-project worden gedocumenteerd; toetsing en certificatiebeslissing blijven bij het auditteam en de bevoegde instantie.
Begin met een afgebakend informatieverbond.
De eerste stap is een gezamenlijk beeld van de scope. Benoem de onderzochte bedrijfsprocessen en hun verantwoordelijken, breng ondersteunende middelen in kaart en bepaal welke werkwijze bij uw doel past. BSI-standaard 200-2, hoofdstukken 3 en 8.1, biedt daarvoor het methodische uitgangspunt.
Bronnen.
- ISO 22301:2019: Business continuity management systems
- BSI-standaard 200-1: managementsystemen voor informatiebeveiliging
- BSI-standaard 200-2: IT-Grundschutz-methodiek
- BSI-standaard 200-3: risicoanalyse op basis van IT-Grundschutz
- BSI-standaard 200-4: Business Continuity Management
- BSI: IT-Grundschutz-compendium
- BSI: certificatieschema voor ISO 27001 op basis van IT-Grundschutz
- BSI: auditschema voor ISO 27001-audits op basis van IT-Grundschutz
Veelgestelde vragen.
Nee. Volgens BSI-standaard 200-2 kan een informatieverbond ook een afgebakend deel van de organisatie omvatten. De relevante afhankelijkheden en interfaces voor de bedrijfsprocessen daarvan moeten wel worden meegenomen.
Nee. Bij het modelleren worden de bouwstenen geselecteerd die bij het informatieverbond passen. BSI-standaard 200-2, hoofdstuk 8.3, beschrijft de selectie en onderbouwde aanpassing.
Niet alleen omdat die extern wordt beheerd. BSI-standaard 200-2, hoofdstukken 8.3.5 en 8.3.7, neemt cloudsystemen en externe dienstverleners mee in de modellering. Verantwoordelijkheden en interfaces horen bij het beveiligingsconcept.
Nee. Het ISO 27001-certificaat op basis van IT-Grundschutz heeft betrekking op het onderzochte informatieverbond en het bijbehorende ISMS. Het BSI-certificatieschema beschrijft het onderzoeksobject; daaruit volgt geen algemene certificering van alle gebruikte producten.
Grundschutz navolgbaar uitvoeren.
Bespreek met ons hoe u uw Grundschutz-project in Secani structureert.
Deze pagina duidt de BSI-methodiek. De publicaties van het BSI en de voor het betreffende project geldende toetsingsgrondslag zijn bepalend.