BSI IT-Grundschutz: Bausteine, Schichten und der Weg zum Testat

Das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI) bündelt in der Edition 2023 mehr als 100 Bausteine in zehn Schichten und bildet damit die operative Grundlage für Informationssicherheit nach BSI-Standard 200-2. Wer NIS-2-Pflichten, KRITIS-Vorgaben oder Vergaben des Bundes adressiert, kommt am Grundschutz kaum vorbei. Die methodische Tiefe ist ein Vorteil, der Pflegeaufwand ein bekanntes Risiko.

Dieser Beitrag beschreibt, wie der Grundschutz-Prozess von der Strukturanalyse bis zum Testat operativ aufgesetzt wird, welche Stolpersteine bei Modellierung und Risikoanalyse typisch sind, und wie sich der Aufwand mit einem Workspace samt vorbefüllten Bausteinen halbieren lässt. CIVAC begleitet als Compliance-Plattform und Officer-as-a-Service Unternehmen, die Grundschutz nicht nur dokumentieren, sondern auch leben wollen.

IT-Grundschutz ist die seit 1994 fortgeschriebene Methodik des BSI, mit der Behörden und Unternehmen ein Informationssicherheits-Managementsystem (ISMS) aufbauen können. Grundlage sind vier BSI-Standards (200-1 bis 200-4) sowie das IT-Grundschutz-Kompendium, das jährlich aktualisiert wird. Die Edition 2023 enthält über 100 Bausteine, gegliedert in zehn Schichten.

Die Methodik richtet sich an Bundes- und Landesbehörden, KRITIS-Betreiber und zunehmend auch an mittelständische Unternehmen, die mit der öffentlichen Hand zusammenarbeiten oder NIS-2-Pflichten unterliegen. Vergaben des Bundes verlangen häufig ein ISO 27001-Zertifikat auf Basis von IT-Grundschutz, wodurch der Grundschutz faktisch zur Eintrittskarte wird.

Im Vergleich zu ISO/IEC 27001:2022 ist Grundschutz präskriptiver, also weniger risikobasiert und mehr maßnahmenorientiert. Wer ISO 27001 bereits umgesetzt hat, kennt die Logik der Annex-A-Controls, muss sich aber an die feinere Granularität der Bausteine gewöhnen, in denen einzelne Anforderungen detailliert beschrieben sind.

Die Anwendung ist freiwillig, soweit sie nicht durch Vergaberecht oder Sektorvorgaben verpflichtend wird. KRITIS-Betreiber nach BSI-KritisV nutzen sie oft als Strukturierungsrahmen, NIS-2-Adressaten als Brücke zwischen Geschäftsleitungspflicht (§ 38 NIS2UmsuCG) und konkreten technischen Maßnahmen.

Die Vorteile liegen in der Tiefe und Wiederverwendbarkeit der Bausteine sowie in der Anerkennung durch deutsche Aufsichtsbehörden. Der Nachteil ist der Pflegeaufwand: Wer Modellierung, Anpassungen und Prüfprotokolle nicht systematisch dokumentiert, verliert schnell den Überblick. Hier setzt eine Plattform an, die das ISB-Mandat operativ trägt.

Das Ergebnis eines vollständigen Grundschutz-Prozesses kann ein BSI-Testat sein, das in Stufen (Basis, Standard, Kern) ausgestellt wird und drei Jahre Gültigkeit besitzt. Re-Auditierungen finden in der Regel jährlich statt.

Das IT-Grundschutz-Kompendium ist in zehn Schichten gegliedert. Drei prozessuale Schichten (ISMS, ORP für Organisation und Personal, CON für Konzepte) treffen auf sieben Systemschichten, darunter OPS (Betrieb), DER (Detektion und Reaktion), APP (Anwendungen), SYS (Systeme), IND (industrielle IT), NET (Netze) und INF (Infrastruktur).

Jeder Baustein folgt einer einheitlichen Struktur: Beschreibung, Zielsetzung, Abgrenzung, Gefährdungslage, Anforderungen in drei Stufen (Basis, Standard, erhöhter Schutzbedarf) sowie weiterführende Informationen. Diese Granularität erleichtert die Zuordnung zu konkreten Assets und Prozessen erheblich.

Beispiele aus der Edition 2023: ISMS.1 (Sicherheitsmanagement) ist Pflichtbaustein für jedes ISMS. CON.3 (Datensicherungskonzept) adressiert Backups. OPS.1.1.5 (Protokollierung) deckt Logging und SIEM ab. APP.4.3 (Relationale Datenbanksysteme) gehört in jede Datenbankumgebung. SYS.2.2.3 (Clients unter Linux) ist optional, je nach Architektur.

Die Modellierung verknüpft Bausteine mit den im Informationsverbund identifizierten Zielobjekten (Geschäftsprozesse, Anwendungen, IT-Systeme, Räume, Kommunikationsverbindungen). Eine korrekte Modellierung ist die zentrale Vorbedingung für jeden weiteren Schritt, einschließlich der späteren Auditierung.

Bausteine werden außerdem nach Lebenszyklusphasen (Planung, Beschaffung, Umsetzung, Betrieb, Aussonderung, Notfallvorsorge) sortiert. Das hilft, Maßnahmen organisatorisch zuzuordnen: Beschaffungsanforderungen liegen beim Einkauf, Betriebsanforderungen beim IT-Betrieb, Notfallvorsorge beim BCM-Team.

Wer mit einer Plattform arbeitet, sieht idealerweise pro Baustein den Erfüllungsgrad, die verantwortliche Person, das Prüfdatum und den Nachweis. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software, mit Bausteinbibliothek, Audit-Vorlagen und nachvollziehbarem Status.

BSI-Standard 200-2 kennt drei Vorgehensweisen, die unterschiedliche Tiefen der Umsetzung erlauben. Die Basis-Absicherung deckt die wichtigsten Anforderungen ab und richtet sich an Organisationen, die schnell ein Sicherheitsniveau erreichen wollen, ohne sofort den vollen Grundschutz umzusetzen.

Die Standard-Absicherung ist die vollständige Umsetzung des IT-Grundschutzes und Voraussetzung für ein Zertifikat ISO 27001 auf Basis von IT-Grundschutz. Sie umfasst alle Standard-Anforderungen der modellierten Bausteine und kann durch erhöhte Anforderungen ergänzt werden, wo der Schutzbedarf dies verlangt.

Die Kern-Absicherung fokussiert auf die kritischsten Geschäftsprozesse und Assets, sogenannte Kronjuwelen. Sie ist sinnvoll, wenn flächendeckender Schutz unverhältnismäßig wäre, aber bestimmte Bereiche überdurchschnittlich schützenswert sind, etwa Forschungsdaten oder Steuerungssysteme.

Die Wahl der Vorgehensweise hängt vom Reifegrad, vom regulatorischen Druck und vom verfügbaren Personal ab. Behörden und KRITIS-Betreiber wählen meist die Standard-Absicherung. Mittelständler beginnen oft mit Basis-Absicherung und wechseln nach 12 bis 18 Monaten auf Standard, wenn das ISMS gefestigt ist.

Der Wechsel zwischen den Vorgehensweisen ist möglich, erfordert aber eine erneute Modellierung und Lückenanalyse. Eine Plattform, die alle drei Vorgehensweisen abbildet, erleichtert diesen Übergang erheblich, weil bereits erbrachte Nachweise erhalten bleiben und nur Delta-Maßnahmen ergänzt werden.

Wer eine externe Zertifizierung anstrebt, sollte die Vorgehensweise frühzeitig mit dem geplanten Auditor abstimmen. Auch die Wahl der Zertifizierungsstelle (z. B. TÜV, DEKRA, DQS) beeinflusst die Erwartungshaltung an Tiefe und Form der Dokumentation.

Der Grundschutz-Prozess beginnt mit der Strukturanalyse: Welche Geschäftsprozesse gibt es, welche Anwendungen unterstützen sie, welche IT-Systeme, Netze und Räume sind beteiligt? Das Ergebnis ist der dokumentierte Informationsverbund, der alle weiteren Schritte trägt und bei jeder größeren Änderung fortgeschrieben werden muss.

Die Schutzbedarfsfeststellung ordnet jedem Zielobjekt einen Schutzbedarf in den Kategorien Vertraulichkeit, Integrität und Verfügbarkeit zu. Die Skala ist dreistufig: normal, hoch, sehr hoch. Die Einstufung folgt dem Maximumprinzip, dem Verteilungseffekt und dem Kumulationseffekt, je nach Konstellation der Zielobjekte zueinander.

In der Praxis ist die Schutzbedarfsfeststellung der am häufigsten unterschätzte Schritt. Geschäftsprozesse werden zu pauschal auf hoch eingestuft, weil dies sicherer wirkt. Das führt zu unnötigen Risikoanalysen und überdimensionierten Maßnahmen. Eine konservative, aber differenzierte Einstufung spart später viel Aufwand.

Werkzeuge wie verit oder andere Grundschutz-Tools des BSI unterstützen den Prozess. Sie ersetzen aber kein operatives Managementsystem, sondern bleiben Dokumentationswerkzeuge. Die eigentliche Steuerung, also Aufgaben, Fristen, Verantwortliche und Nachweise, gehört in ein Plattform-Umfeld.

CIVAC bildet Strukturanalyse und Schutzbedarfsfeststellung im Workspace ab. Zielobjekte werden mit Bausteinen verknüpft, Schutzbedarfe vererbt und Begründungen revisionssicher abgelegt. Damit liegt bei jeder Auditfrage die Argumentationskette bereit: Welcher Prozess, welche Anwendung, welches System, welcher Schutzbedarf, welche Maßnahme.

Bestellurkunde, unterschrieben, abgelegt, belegbar. Dasselbe Prinzip gilt für Schutzbedarfsfeststellungen: Sie müssen jederzeit nachvollziehbar sein, inklusive der Person, die die Entscheidung getroffen hat, und des Datums.

Die Modellierung verknüpft die Zielobjekte des Informationsverbunds mit den passenden Bausteinen des Kompendiums. Jeder Baustein wird einmal modelliert und kann mehreren Zielobjekten zugeordnet sein. Die Modellierung folgt den Modellierungshinweisen, die das BSI für jeden Baustein vorgibt.

Im Anschluss folgt der IT-Grundschutz-Check. Für jede Anforderung wird geprüft, ob sie umgesetzt, teilweise umgesetzt, nicht umgesetzt oder entbehrlich ist. Die Entbehrlichkeit muss begründet werden, etwa weil die Komponente nicht im Einsatz ist oder eine kompensierende Maßnahme greift.

Der Grundschutz-Check ist arbeitsintensiv. Bei mittlerer Organisationsgröße entstehen schnell 800 bis 1.500 einzelne Anforderungsprüfungen. Ohne Tool und ohne klare Rollenverteilung dauert dies sechs bis neun Monate. Mit vorbefüllten Vorlagen und einem Workspace, der Verantwortliche, Fristen und Status pro Anforderung verwaltet, reduziert sich der Aufwand erheblich.

Anforderungen werden in drei Stufen geprüft: Basis-Anforderungen (müssen erfüllt sein), Standard-Anforderungen (regelmäßig zu erfüllen) und Anforderungen bei erhöhtem Schutzbedarf (nur bei entsprechender Einstufung). Die Stufung erlaubt eine schrittweise Annäherung an die Standard-Absicherung.

Pro Anforderung verlangt das BSI einen Nachweis: Konzeptdokument, Konfigurationsausdruck, Logauszug, Schulungsbestätigung. Diese Nachweise müssen revisionssicher abgelegt werden, mit Versionierung, Datum und Verantwortlichem. Andernfalls scheitert das Audit nicht an fehlender Sicherheit, sondern an fehlender Belegbarkeit.

Die CIVAC-Plattform liefert Audit-Vorlagen, die direkt an Bausteine und Anforderungen geknüpft sind. Wer den Informationssicherheitsbeauftragten intern besetzt, lizenziert den Workspace; wer keine internen Ressourcen hat, bestellt einen externen ISB über CIVAC. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

BSI-Standard 200-3 beschreibt die ergänzende Risikoanalyse für Zielobjekte mit hohem oder sehr hohem Schutzbedarf oder für Konstellationen, die im Kompendium nicht abgedeckt sind. Sie ist nicht für jedes Zielobjekt verpflichtend, sondern nur dort, wo der Standard-Grundschutz nicht ausreicht.

Die Risikoanalyse umfasst die Identifikation zusätzlicher Gefährdungen über die Elementaren Gefährdungen des Kompendiums hinaus, die Bewertung der Eintrittshäufigkeit und Schadenshöhe sowie die Risikobehandlung. Mögliche Behandlungsstrategien sind Reduktion, Vermeidung, Transfer und Akzeptanz.

In der Praxis lohnt sich eine Risikoanalyse vor allem für kritische Anwendungen und für industrielle Steuerungssysteme. Auch Cloud-Migrationen und ausgelagerte Kernprozesse profitieren von einer dezidierten Analyse, weil das Kompendium nicht alle Konstellationen abbildet, insbesondere bei Hybrid-Cloud-Szenarien.

Die Methodik nach 200-3 ist mit ISO/IEC 27005 weitgehend kompatibel, aber stärker auf die Logik des Kompendiums abgestimmt. Wer beide Welten verbinden will, dokumentiert die Risikoanalyse in einer Form, die sowohl Grundschutz- als auch ISO-Auditoren akzeptieren, etwa als tabellarische Risikoregister mit Bezug zu Bausteinen und Annex-A-Controls.

Risiken haben einen Lebenszyklus: identifiziert, bewertet, behandelt, überwacht, geschlossen. Der ISB ist verantwortlich, die Geschäftsleitung trägt die Restrisiken durch formale Akzeptanz. Diese Akzeptanz gehört dokumentiert, mit Datum und Unterschrift, am besten im selben Workspace wie die Bausteine und Maßnahmen.

Bei wesentlichen Sicherheitsvorfällen verlangt § 32 NIS2UmsuCG die 24-Stunden-Frühwarnung und die 72-Stunden-Folgemeldung. Diese Pflicht ist eng mit der Risikoanalyse verknüpft: Wer Risiken kennt und überwacht, erkennt Vorfälle schneller und meldet sie fristgerecht. Frist läuft ab Kenntnis.

Am Ende eines vollständigen Grundschutz-Prozesses kann ein Zertifikat oder Testat stehen. Das BSI hat das Verfahren in den letzten Jahren auf ISO 27001 auf Basis von IT-Grundschutz umgestellt. Die Zertifizierung erfolgt durch akkreditierte Stellen wie TÜV, DQS oder DEKRA, nicht durch das BSI selbst.

Das Audit besteht aus einer Dokumentenprüfung (Stufe 1) und einer Vor-Ort-Prüfung (Stufe 2). Die Dokumentenprüfung adressiert ISMS-Dokumentation, Informationsverbund, Schutzbedarfe, Modellierung und Grundschutz-Check. Die Vor-Ort-Prüfung verifiziert die tatsächliche Umsetzung anhand von Interviews, Stichproben und technischen Belegen.

Das Zertifikat ist drei Jahre gültig, mit jährlichen Überwachungsaudits. Nach drei Jahren erfolgt eine Re-Zertifizierung. Der Vorbereitungsaufwand für die Erstzertifizierung liegt bei mittelständischen Organisationen typischerweise bei 12 bis 24 Monaten, abhängig vom Reifegrad und von der gewählten Vorgehensweise.

Neben dem Zertifikat existieren Testate für Basis-Absicherung und Kern-Absicherung. Diese sind weniger umfangreich, aber für viele Ausschreibungen ausreichend, insbesondere bei Lieferanten der öffentlichen Hand, die kein vollständiges ISO 27001 benötigen.

Audit-Kosten variieren stark: Eine Erstzertifizierung für eine mittelständische Organisation kostet 25.000 bis 60.000 Euro für die externe Prüfung, dazu der interne Aufwand für Vorbereitung und Dokumentation. Ein Pre-Audit oder Stage-0-Audit reduziert das Risiko, im offiziellen Audit Nachforderungen zu erhalten.

Der Prüfer ruft an, der Nachweis liegt bereit. Wer Bausteine, Anforderungen, Nachweise und Risikoakzeptanzen in einem Workspace pflegt, kann Stichprobenanfragen im Audit binnen Minuten beantworten, ohne in PDF-Wüsten und SharePoint-Ordnern zu suchen.

Beide Standards führen zu einem ISMS, unterscheiden sich aber in Philosophie und Tiefe. ISO/IEC 27001:2022 ist risikobasiert: Annex A enthält 93 Controls, die nach der Risikoanalyse nur dort angewendet werden müssen, wo Risiken sie erfordern. Die Statement of Applicability dokumentiert die Auswahl.

IT-Grundschutz ist präskriptiver: Die Bausteine geben die Anforderungen vor, die für die modellierten Zielobjekte verbindlich sind. Eine eigene Risikoanalyse ist nur bei hohem Schutzbedarf oder Sonderfällen nötig. Der Vorteil ist die Tiefe und Wiederverwendbarkeit, der Nachteil ist die geringere Flexibilität.

Wer in Deutschland mit Behörden, KRITIS-Bezug oder mit BSI-naher Aufsicht arbeitet, profitiert von Grundschutz. Wer international agiert, Lieferanten in mehreren Ländern hat oder das ISMS schlanker halten möchte, fährt mit reinem ISO/IEC 27001:2022 oft besser.

Eine Kombination ist möglich: ISO 27001 auf Basis von IT-Grundschutz vereint beides. Die Zertifizierung erfolgt nach ISO 27001, die Maßnahmen folgen aber dem Kompendium. Diese Variante ist besonders bei deutschen Konzernen mit internationaler Tochterstruktur beliebt, weil sie sowohl deutsche Behörden als auch internationale Kunden zufriedenstellt.

Der Übergang zur ISO/IEC 27001:2022 muss bis Oktober 2026 vollzogen sein. Wer parallel Grundschutz aufbaut, sollte beide Zeitachsen synchronisieren, um Doppelarbeit zu vermeiden. CIVAC begleitet beide Wege und mappt Bausteine auf Annex-A-Controls automatisch im Workspace.

Die Wahl zwischen den Standards ist keine Glaubensfrage, sondern eine Frage des Geschäftsmodells: Welche Kunden, welche Aufsicht, welche Lieferketten erwarten welches Niveau? Audit-fest, dokumentiert, paragraphenfest, gilt für beide Wege.

IT-Grundschutz scheitert selten an der Methodik, häufig aber an der operativen Tragfähigkeit. Wer interne Kapazität für einen ISB hat, braucht ein Werkzeug, das Bausteine, Anforderungen, Nachweise, Risikoanalysen und Audits in einem Workspace führt. Excel und Word reichen ab einer gewissen Größe nicht mehr, und Insellösungen erzeugen Medienbrüche.

CIVAC bietet einen Workspace mit vorbefüllten Bausteinen, 490 einsatzbereiten Audit-Vorlagen und 93 Controls nach ISO/IEC 27001:2022, die direkt auf Grundschutz mappen. Die Bestellurkunde des ISB, die Berichtslinie an die Geschäftsleitung und der Maßnahmenstatus sind im selben System sichtbar und versionsfest.

Wer keine interne ISB-Ressource aufbauen will oder die Bestellung schnell braucht, bestellt einen externen ISB über CIVAC. Die Bestellurkunde liegt in zwei Werktagen vor, statt der branchenüblichen zwei bis sechs Wochen. Der externe ISB nutzt denselben Workspace, sodass Übergaben an interne Nachfolger möglich bleiben.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle sind anschlussfähig, und der Wechsel zwischen ihnen erfordert keinen Datenexport. Der Informationsverbund, die Modellierung und die Nachweise bleiben in derselben EU-residenten Umgebung.

Für die ersten Schritte empfehlen wir eine Standortbestimmung: Vorhandene ISMS-Artefakte werden gesichtet, Gap-Listen erstellt und eine realistische Roadmap zum Testat skizziert. Dieser Schritt dauert üblicherweise zwei bis vier Wochen und liefert die Grundlage für die Budgetierung und Stakeholder-Kommunikation.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir melden uns mit einem Vorschlag für die Standortbestimmung und einem Termin für die operative Ausrichtung Ihres IT-Grundschutz-Prozesses.