IT-Grundschutz.
Förstå BSI Grundschutz: standarder, kompendium och vägen från informationsmiljö till granskat ledningssystem för informationssäkerhet.
- BSI-standarderna 200-1 till 200-4
- Av Jonathan Bezdek
- Aktuellt per: 2026-10-22
- Lästid: 6 min.
Kort svar.
IT-Grundschutz är BSI:s metod för att bygga upp och driva ett ledningssystem för informationssäkerhet. BSI-Standard 200-2 beskriver arbetssättet och IT-Grundschutz-kompendiet innehåller säkerhetskrav för typiska användningsområden. Företag och myndigheter avgränsar sin informationsmiljö, fastställer skyddsbehov och granskar genomförandet. Ett möjligt sätt att styrka arbetet är ISO 27001-certifiering baserad på IT-Grundschutz.
BSI-standarder och IT-Grundschutz-kompendiet.
IT-Grundschutz förenar en säkerhetsprocess med en katalog över återkommande säkerhetskrav. Ett ledningssystem för informationssäkerhet, ISMS, fastställer hur en organisation skyddar sin information, fattar beslut och kontrollerar åtgärdernas effektivitet. BSI-Standard 200-1 beskriver ledningssystemet och BSI-Standard 200-2 konkretiserar Grundschutz-metoden.
IT-Grundschutz-kompendiet ordnar säkerhetskrav i moduler för olika ämnen och målobjekt. Dessa omfattar säkerhetsledning, personal, applikationer, IT-system, nätverk och infrastruktur. BSI har vid utvecklingen av modulerna beaktat typiska risker vid normalt skyddsbehov. Kompletterande genomförandeanvisningar beskriver möjliga åtgärder men är ett separat hjälpmedel.
Standarderna kompletterar varandra med olika uppgifter. BSI-Standard 200-3 beskriver den kompletterande riskanalysen. BSI-Standard 200-4 behandlar kontinuitetshantering, alltså beredskap för avbrott och upprätthållande av viktiga verksamhetsprocesser. En katalog ersätter därför varken säkerhetsorganisationen eller besluten om det egna skyddsbehovet.
Den BSI-översikt som hämtades vid denna efterforskning anger IT-Grundschutz-kompendiet utgåva 2023. För ett konkret projekt bör ni dokumentera vilken utgåva, vilka tillhörande rättelser och vilket giltigt granskningsunderlag som används. En senare ändring av katalogversionen måste förbli spårbar i säkerhetskonceptet.
Vem BSI Grundschutz passar för.
IT-Grundschutz riktar sig till företag, myndigheter och andra organisationer som vill organisera informationssäkerheten systematiskt. BSI-Standard 200-1, kapitel 1.3, beaktar även mindre institutioner. Om tillämpningen är obligatorisk i ett enskilt fall följer av tillämpliga lagkrav, myndighetskrav eller avtalskrav. Metoden är i sig ingen allmän företagslag.
Basis-Absicherung ger en bred start med grundläggande krav. Kern-Absicherung fokuserar på särskilt viktiga verksamhetsprocesser och de resurser de behöver. Standard-Absicherung följer hela metoden för den fastställda informationsmiljön. BSI-Standard 200-2, kapitel 3.3 och kapitel 6–8, beskriver dessa tre arbetssätt.
Valet beror på målet och vilken omfattning som går att hantera. Den som först skyddar särskilt kritiska leveranser behöver ändå tydliga gränssnitt mot stödjande tjänster. Den som eftersträvar certifiering bör tidigt stämma av det planerade granskningsobjektet med revisionsteamet. Enbart Basis-Absicherung räcker enligt BSI-Standard 200-2, kapitel 11, inte för detta.
Vad IT-Grundschutz i grunden kräver.
IT-Grundschutz kräver ett spårbart säkerhetskoncept och en fortlöpande säkerhetsprocess. Följande områden beskriver metoden på en övergripande nivå. Vilka krav som konkret gäller framgår först av den avgränsade informationsmiljön och det valda arbetssättet.
Ansvar och säkerhetsorganisation.
Ledningen sätter säkerhetsmål, bär det övergripande ansvaret och tillhandahåller resurser. Ansvarsfördelning och kommunikationsvägar måste passa organisationen. BSI-Standard 200-1, kapitel 4 och 7, behandlar ledningsprinciperna och säkerhetsprocessen. Enbart inköp av teknik utgör inget ISMS.
Informationsmiljö och strukturanalys.
Strukturanalysen kartlägger omfattningens verksamhetsprocesser, information och målobjekt med deras beroenden. BSI-Standard 200-2, kapitel 8.1, behandlar bland annat applikationer, nätverk, IT-system och lokaler. Beskrivningen ska förklara vilka resurser som faktiskt möjliggör de aktuella leveranserna.
Fastställ skyddsbehovet på ett spårbart sätt.
Skyddsbehovsbedömningen värderar möjliga skador på konfidentialitet, integritet och tillgänglighet. BSI-Standard 200-2, kapitel 8.2, beskriver kategorierna normalt, högt och mycket högt samt överföringen till beroende målobjekt. Klassificeringen behöver motiverade antaganden från verksamheten, inte bara ett urval tekniska mätvärden.
Modellera lämpliga moduler.
Modelleringen väljer lämpliga moduler ur IT-Grundschutz-kompendiet och kopplar dem till de aktuella målobjekten. BSI-Standard 200-2, kapitel 8.3, förklarar urval och anpassning. Avgörande är täckningen av informationsmiljön: en lång modullista utan motiverad koppling till den verkliga strukturen är inget tillförlitligt säkerhetskoncept.
Granska och vidareutveckla genomförandet.
IT-Grundschutz-kontrollen undersöker det faktiska genomförandet mot de relevanta kraven. BSI-Standard 200-2, kapitel 8.4, beskriver förberedelser, jämförelse mellan krav och nuläge samt dokumentation. Intervjuer och verifierbara handlingar hjälper till att styrka uppgifter. BSI-Standard 200-1, kapitel 7, behandlar löpande kontroll och förbättring av säkerhetsprocessen.
Hantera ytterligare risker.
En kompletterande riskanalys behövs särskilt vid högt eller mycket högt skyddsbehov, när lämpliga moduler saknas eller vid särskilda användningsscenarier. BSI-Standard 200-3, kapitel 1.2 och 1.3, beskriver dessa fall. Hotöversikt, riskklassificering och riskbehandling leder till motiverade beslut och vid behov ytterligare åtgärder.
Arbetssättet enligt BSI-Standard 200-2.
Fastställ uppdrag och arbetssätt.
Kom överens med ledningen om säkerhetsmål, ansvariga och resurser och välj Basis-, Kern- eller Standard-Absicherung enligt BSI-Standard 200-2, kapitel 3.3.
Kartlägg informationsmiljön.
Avgränsa omfattningen och dokumentera verksamhetsprocesser, information, målobjekt och beroenden i strukturanalysen enligt BSI-Standard 200-2, kapitel 8.1.
Motivera skyddsbehovet.
Fastställ möjliga skador tillsammans med verksamhetsansvariga och överför skyddsbehovet till stödjande resurser enligt BSI-Standard 200-2, kapitel 8.2.
Modellera och granska genomförandet.
Välj lämpliga moduler och granska genomförandet med IT-Grundschutz-kontrollen enligt BSI-Standard 200-2, kapitel 8.3 och 8.4.
Besluta om risker och åtgärder.
Komplettera med nödvändiga riskanalyser enligt BSI-Standard 200-3 och fastställ åtgärder med prioriteringar, ansvar och genomförandedatum.
Följ effektivitet och förändringar.
Granska regelbundet och efter relevanta förändringar åtgärderna och säkerhetskonceptet så att säkerhetsprocessen enligt BSI-Standard 200-1, kapitel 7, förblir effektiv.
Grundschutz-certifiering och granskningsbara underlag.
Det formella intyget heter ISO 27001-certifikat baserat på IT-Grundschutz. En BSI-certifierad revisor undersöker den fastställda informationsmiljön. BSI:s certifieringsorgan bedömer revisionsrapporten och beslutar om certifikatet. BSI-Standard 200-2, kapitel 11, anger denna väg för Standard-Absicherung och i princip även för Kern-Absicherung.
Referensdokumenten visar vägen från säkerhetsmål till genomförande. BSI:s revisionsschema, kapitel 2.3, anger policy och riktlinjer, strukturanalys, skyddsbehovsbedömning, modellering, Grundschutz-kontroll, riskanalys och genomförandeplan. En revision granskar därför mer än om dokument finns: de beskrivna åtgärderna måste vara spårbart genomförda i den granskade miljön.
Det BSI-certifieringsschema som granskades vid efterforskningen anger i kapitel 2.8.1 tre års giltighet med årliga uppföljningsrevisioner. Kapitel 2.8.3 behandlar omcertifiering. Väsentliga förändringar av den certifierade informationsmiljön måste beaktas. Ett pågående förnyelseförfarande förlänger inte automatiskt ett utgånget certifikat.
Läs vidare i bloggen.
Förhållandet till andra ramverk.
ISO 27001 beskriver krav på ett ISMS. IT-Grundschutz förenar ett sådant ledningssystem med BSI:s metod och kompendiet. NIS2 gäller lagstadgade skyldigheter för vissa verksamhetsutövare, vars uppfyllelse inte kan härledas enbart ur ett Grundschutz-certifikat. BSI-Standard 200-4 erbjuder en metod för kontinuitetshantering, medan ISO 22301 behandlar krav på ett motsvarande ledningssystem.
I Secani.
Secani erbjuder arbetsområden för strukturanalys, skyddsbehovsbedömning, modellering och Grundschutz-kontroll. Risker och en genomförandeplan kompletterar arbetet. Därmed kan verksamhetsbeslut och genomförandestatus dokumenteras i Grundschutz-projektet. Granskning och certifieringsbeslut ligger fortsatt hos revisionsteamet och den behöriga instansen.
Börja med en avgränsad informationsmiljö.
Första steget är en gemensam bild av omfattningen. Ange de aktuella verksamhetsprocesserna och deras ansvariga, kartlägg stödjande resurser och bestäm vilket arbetssätt som motsvarar ert mål. BSI-Standard 200-2, kapitel 3 och 8.1, ger den metodiska utgångspunkten.
Källor.
- ISO 22301:2019: Business continuity management systems
- BSI-Standard 200-1: ledningssystem för informationssäkerhet
- BSI-Standard 200-2: IT-Grundschutz-metoden
- BSI-Standard 200-3: riskanalys baserad på IT-Grundschutz
- BSI-Standard 200-4: kontinuitetshantering
- BSI: IT-Grundschutz-kompendiet
- BSI: certifieringsschema för ISO 27001 baserat på IT-Grundschutz
- BSI: revisionsschema för ISO 27001-revisioner baserade på IT-Grundschutz
Vanliga frågor.
Nej. Enligt BSI-Standard 200-2 kan en informationsmiljö även omfatta en avgränsad del av organisationen. Beroenden och gränssnitt som är relevanta för dess verksamhetsprocesser måste ändå beaktas.
Nej. Vid modelleringen väljs de moduler som passar informationsmiljön. BSI-Standard 200-2, kapitel 8.3, beskriver urval och motiverad anpassning.
Inte enbart för att den drivs externt. BSI-Standard 200-2, kapitel 8.3.5 och 8.3.7, beaktar molnsystem och externa tjänsteleverantörer i modelleringen. Ansvar och gränssnitt ingår i säkerhetskonceptet.
Nej. ISO 27001-certifikatet baserat på IT-Grundschutz avser den granskade informationsmiljön och dess ISMS. BSI:s certifieringsschema beskriver granskningsobjektet. Detta innebär ingen generell certifiering av alla använda produkter.
Arbeta med Grundschutz på ett spårbart sätt.
Diskutera med oss hur ni kan strukturera ert Grundschutz-projekt i Secani.
Denna sida beskriver BSI:s metod. BSI:s publikationer och det granskningsunderlag som gäller för respektive projekt är avgörande.