BSI-Standards 200-1 bis 200-4
BSI-Standard 200-2 und die Standards 200-1, 200-3 und 200-4 verständlich erklärt: ISMS, Methodik, Risikoanalyse und Notfallmanagement im Überblick.
Die BSI-Standards sind die Spielregeln des IT-Grundschutzes. Der bekannteste ist der BSI-Standard 200-2: Er beschreibt Schritt für Schritt, wie ein Betrieb seine Informationssicherheit aufbaut. Daneben gibt es drei weitere Standards, die jeweils einen eigenen Schwerpunkt haben.
Die vier Standards in einem Satz
- 200-1 sagt, was ein Managementsystem für Informationssicherheit leisten muss: Verantwortung, Ziele, Abläufe, regelmäßige Kontrolle.
- 200-2 zeigt, wie man dabei konkret vorgeht, und bietet drei Wege an, vom schlanken Einstieg bis zum vollständigen Programm.
- 200-3 erklärt, wie man Risiken bewertet, wenn Daten oder Abläufe besonders wichtig sind.
- 200-4 beschreibt, wie ein Betrieb sich auf Notfälle vorbereitet und nach einem Ausfall weiterarbeiten kann.
Was bedeutet das für Ihren Betrieb?
Sie müssen die Standards nicht auswendig kennen. Für die Geschäftsführung ist vor allem wichtig: Informationssicherheit ist eine Leitungsaufgabe, braucht eine verantwortliche Person und wird regelmäßig überprüft. Das steht in allen Standards gleich.
Der nächste Schritt
Lassen Sie sich von Ihrer IT oder einem Berater erklären, welcher der drei Wege aus 200-2 zu Ihrem Betrieb passt. Für kleine Betriebe ist das meist die Basis-Absicherung. Die Standards sind kostenlos beim BSI erhältlich.
Überblick
Die BSI-Standards enthalten Empfehlungen zu Methoden, Prozessen und Verfahren der Informationssicherheit. Die Reihe 200 hat die früheren Standards 100-1 bis 100-3 abgelöst; die Versionen 1.0 von 200-1 bis 200-3 sind im Oktober 2017 erschienen. Der BSI-Standard 200-4 zum Business Continuity Management kam später hinzu und modernisiert das frühere Notfallmanagement nach BSI-Standard 100-4.
| Standard | Thema | Kernfrage |
|---|---|---|
| 200-1 | Managementsysteme für Informationssicherheit (ISMS) | Was muss ein ISMS leisten? |
| 200-2 | IT-Grundschutz-Methodik | Wie baue ich es mit IT-Grundschutz auf? |
| 200-3 | Risikoanalyse auf der Basis von IT-Grundschutz | Was tue ich bei erhöhtem Schutzbedarf? |
| 200-4 | Business Continuity Management | Wie bleibe ich im Notfall handlungsfähig? |
BSI-Standard 200-1: Anforderungen an ein ISMS
200-1 beschreibt allgemeine Anforderungen an ein Managementsystem für Informationssicherheit. Er ist laut BSI kompatibel zu ISO 27001 und berücksichtigt weitere ISO-Normen wie ISO 27002. Inhaltlich geht es um die Verantwortung der Leitung, die Sicherheitsleitlinie, die Sicherheitsorganisation, Ressourcen, Einbindung der Mitarbeitenden und den kontinuierlichen Verbesserungsprozess nach dem PDCA-Zyklus (Plan, Do, Check, Act). 200-1 sagt, was zu tun ist, nicht im Detail wie.
BSI-Standard 200-2: die IT-Grundschutz-Methodik
Drei Vorgehensweisen
Der BSI-Standard 200-2 ist das Herzstück. Er beschreibt drei Vorgehensweisen:
- Basis-Absicherung: breite Erst-Absicherung aller relevanten Geschäftsprozesse mit den Basis-Anforderungen. Laut 200-2 empfehlenswert, wenn Informationssicherheit noch am Anfang steht und keine existenzbedrohenden Assets vorhanden sind.
- Kern-Absicherung: vorrangiger, aber vollständiger Schutz der wichtigsten Geschäftsprozesse und Informationen, der sogenannten Kronjuwelen.
- Standard-Absicherung: das vollständige Vorgehen und die vom BSI präferierte Variante. Sie entspricht im Wesentlichen der früheren Methodik nach 100-2.
Basis- und Kern-Absicherung sind Einstiege; Ziel ist laut 200-2 mittelfristig ein vollständiges Sicherheitskonzept nach Standard-Absicherung.
Inhalte über die Absicherung hinaus
200-2 regelt auch die Initiierung des Sicherheitsprozesses (Übernahme der Verantwortung durch die Leitung, Leitlinie), die Sicherheitsorganisation mit ISB und IS-Management-Team, Dokumentation und Informationsfluss sowie die Aufrechterhaltung und Verbesserung. Für die Standard-Absicherung beschreibt er die Schritte Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check, Risikoanalyse und Umsetzungsplanung. Als durchgehendes Beispiel dient das fiktive Unternehmen RECPLAST GmbH.
BSI-Standard 200-3: Risikoanalyse
Für normalen Schutzbedarf hat das BSI die Risikoanalyse bereits beim Erstellen der Bausteine erledigt: Die Anforderungen wirken gegen typische Gefährdungen. 200-3 wird nötig, wenn Zielobjekte einen hohen oder sehr hohen Schutzbedarf haben, wenn es keinen passenden Baustein gibt oder wenn Einsatzszenarien vom Üblichen abweichen. Der Standard bündelt alle risikobezogenen Arbeitsschritte und nutzt als Ausgangspunkt die elementaren Gefährdungen aus dem Kompendium.
Vereinfacht läuft die Analyse so ab:
- Gefährdungsübersicht für das Zielobjekt erstellen, ausgehend von den elementaren Gefährdungen.
- Häufigkeit und mögliche Schadenshöhe einschätzen und daraus das Risiko einstufen.
- Risiken behandeln: vermeiden, durch zusätzliche Maßnahmen reduzieren, transferieren (etwa per Vertrag oder Versicherung) oder bewusst akzeptieren.
- Ergebnisse in das Sicherheitskonzept übernehmen und das Restrisiko von der Leitung tragen lassen.
BSI-Standard 200-4: Business Continuity Management
200-4 beschreibt den Aufbau eines Business Continuity Management Systems (BCMS). Er bietet Einsteigern einen leichten Zugang und erfahrenen Anwendern einen Anforderungskatalog. Mit Reaktiv-, Aufbau- und Standard-BCMS gibt es ein Stufenmodell, sodass auch kleinere Organisationen schrittweise beginnen können. Eine Zertifizierung zum Standard ist laut BSI derzeit nicht geplant.
Zusammenspiel mit dem Kompendium
Die Standards beschreiben Vorgehen und Management, das IT-Grundschutz-Kompendium liefert die konkreten Anforderungen. Wer nach 200-2 modelliert, wählt Bausteine aus dem Kompendium aus; wer nach 200-3 analysiert, nutzt die elementaren Gefährdungen und Kreuzreferenztabellen. Der Baustein DER.4 Notfallmanagement verweist auf 200-4.
Welcher Standard für welche Frage?
In der Praxis greift man je nach Aufgabe auf einen anderen Standard zurück:
- Die Leitung will wissen, was sie verantworten muss: 200-1, Kapitel zu Leitungsaufgaben und Sicherheitsorganisation. Die Sicherheitsleitlinie und die Benennung eines ISB sind die ersten greifbaren Ergebnisse.
- Der ISB plant das Vorgehen: 200-2. Hier stehen die Aktionspunkte zu jedem Schritt, die sich gut als Projektplan eignen.
- Ein System hat hohen Schutzbedarf oder es gibt keinen passenden Baustein: 200-3.
- Es geht um Ausfallzeiten, Wiederanlauf und Notfallorganisation: 200-4.
Typische Fehler beim Einstieg
- Nur 200-2 lesen und 200-1 überspringen. Ohne Leitungsentscheidung, Leitlinie und Zuständigkeiten bleibt die Methodik ein Papierprojekt.
- 200-3 auf alles anwenden. Für normalen Schutzbedarf ist keine eigene Risikoanalyse nötig, die Bausteine decken das ab. Eine flächendeckende Analyse kostet viel Zeit ohne Mehrwert.
- Notfallvorsorge auf später verschieben. Datensicherung und ein einfacher Notfallplan gehören schon in die Basis-Absicherung; 200-4 vertieft das Thema, ersetzt den Einstieg aber nicht.
Alle vier Standards stehen beim BSI kostenlos als PDF bereit, für 200-2 auch in englischer Sprache.
Ausblick
Mit dem Grundschutz++ führt das BSI eine neue Methodik ein. Die bisherigen Standards bleiben während der Übergangszeit anwendbar. Wer heute nach 200-2 arbeitet, sollte die Entwicklung verfolgen, muss aber nicht abwarten.
Häufige Fragen
Was regelt der BSI-Standard 200-2?
Er beschreibt die IT-Grundschutz-Methodik mit den drei Vorgehensweisen Basis-, Kern- und Standard-Absicherung und den Schritten von der Strukturanalyse bis zur Umsetzung.
Ist BSI-Standard 200-1 mit ISO 27001 vereinbar?
Ja. Das BSI beschreibt 200-1 als kompatibel zu ISO 27001.
Ersetzt 200-4 den Standard 100-4?
200-4 ist der modernisierte Standard zum Business Continuity Management und tritt an die Stelle des früheren Notfallmanagements nach 100-4. Für laufende Verfahren lohnt ein Blick auf die Hinweise des BSI.