IT-Grundschutz.net einfach erklärt

Grundschutz++ Governance: die Praktik Governance und Compliance (GC)

Grundschutz++ erklärt6 Min. Lesezeit

Grundschutz++ Governance verständlich: was die Praktik GC zu Leitlinie, ISB, Geltungsbereich, Schutzbedarf und Compliance verlangt und wie KMU starten.

Bei der Grundschutz++ Governance geht es um die Frage, wer in Ihrem Betrieb Informationssicherheit steuert und nach welchen Regeln. Die Praktik «Governance und Compliance» (Kürzel GC) im neuen IT-Grundschutz des BSI legt den Rahmen fest: Ziele, Leitlinie, Geltungsbereich, Zuständigkeiten und die Pflichten aus Gesetzen und Verträgen.

Warum das wichtig ist

Ohne diesen Rahmen bleiben Sicherheitsmaßnahmen Stückwerk. Erst wenn die Geschäftsleitung Ziele vorgibt, Verantwortung übernimmt und Mittel bereitstellt, wird aus einzelnen Maßnahmen ein funktionierendes System. Gleichzeitig zeigt die Praktik, welche gesetzlichen Pflichten für Ihren Betrieb überhaupt gelten.

Was verbindlich ist

Fast alle Anforderungen dieser Praktik sind Pflicht. Die Geschäftsleitung muss die Regeln für die Informationssicherheit freigeben, eine Leitlinie beschließen und den Geltungsbereich festlegen. Die Zuständigkeit für Informationssicherheit muss eine unabhängige Person erhalten, die direkt der Leitung unterstellt ist. Laut den Erläuterungen im Katalog gilt das für jede Institution, unabhängig von ihrer Größe. In kleinen Betrieben darf diese Aufgabe aber neben anderen Aufgaben wahrgenommen werden.

Der erste Schritt

Benennen Sie eine verantwortliche Person für Informationssicherheit und geben Sie ihr Zeit und ein direktes Gesprächsrecht bei Ihnen. Formulieren Sie gemeinsam zwei oder drei messbare Ziele und halten Sie diese in einer kurzen, von Ihnen unterschriebenen Leitlinie fest.

Die Praktik «Governance und Compliance» (GC) ist die erste der fünf ISMS-Praktiken im Anwenderkatalog Grundschutz++. Dieser Artikel erklärt die Grundschutz++ Governance anhand des Katalogstands vom 22. Oktober 2026: Ziel, Gruppen, verbindliche Anforderungen, Nachweise und einen praxistauglichen Einstieg.

Ziel der Praktik

Laut Katalog stellt die Praktik sicher, dass Informationssicherheitsstrategien mit den übergeordneten Zielen der Institution und regulatorischen Anforderungen im Einklang stehen. Sie beantwortet die Fragen nach dem «Was» und «Warum» von Anforderungen und Sicherheitsmaßnahmen und sorgt für die Einbindung der obersten Führungsebene. Die konkrete Ausgestaltung übernehmen andere Praktiken wie Strukturmodellierung und Umsetzung. In der Methodik entspricht GC dem Prozessschritt 1 «Erhebung und Planung», also der Plan-Phase des PDCA-Zyklus.

Aufbau: zwölf Gruppen, 35 Anforderungen

Gruppe Inhalt
GC.1 Grundlagen ISMS nach Grundschutz++ verankern und durch die Institutionsleitung freigeben
GC.2 Institutionskontext externe und interne Rahmenbedingungen analysieren
GC.3 Compliance-Management gesetzliche und vertragliche Verpflichtungen erfassen, zuständige Stellen anhören, Verstößen vorbeugen
GC.4 Stakeholder interne und externe interessierte Parteien und ihre Erwartungen analysieren
GC.5 Informationssicherheitsleitlinie Ziele, Sicherheitsstrategie, Verpflichtung der Leitung, Leitlinie und ihre Freigabe
GC.6 Geltungsbereich nachvollziehbar abgegrenzter Geltungsbereich
GC.7 Informationssicherheitseinstufung Geschäftsprozesse festlegen, Schutzbedarf einstufen, Risikobetrachtung bei hohem Schutzbedarf
GC.8 Ressourcen kontinuierliche, wirtschaftliche Ressourcenplanung für das ISMS
GC.9 Sicherheitsorganisation Rollen, ISB, Vorspracherecht, Stellvertretung, Interessenkonflikte, Qualifikation
GC.10 Kommunikation Kommunikationsmanagement, externer Austausch, Beteiligung in Projekten
GC.11 Dokumentenlenkung Lenkung der ISMS-Dokumente über den Lebenszyklus
GC.12 Risiko einheitliche Methodik für das Informationssicherheitsrisikomanagement

Die wichtigsten MUSS-Anforderungen

31 der 35 Anforderungen sind MUSS-Anforderungen. Besonders prägend sind diese:

GC.1.2 «Governance und Compliance MUSS alle festgelegten Verfahren für das ISMS durch die Institutionsleitung autorisieren.»

GC.5.1.2 «Governance und Compliance MUSS die Verpflichtung der Institutionsleitung zuweisen.»

GC.5.1.4 «Governance und Compliance MUSS die festgelegte Sicherheitsleitlinie durch die Institutionsleitung autorisieren.»

GC.6.1 «Governance und Compliance MUSS den nachvollziehbar abgegrenzten Geltungsbereich nach Freigabe der Institutionsleitung festlegen.»

Zur Sicherheitsorganisation verlangt der Katalog eine klar verortete Rolle für Informationssicherheit:

GC.9.1.1.1 «Governance und Compliance MUSS die Zuständigkeit für Informationssicherheit einer unabhängigen Person , welche unmittelbar der Institutionsleitung unterstellt ist, zuweisen.»

GC.9.1.1.1.2 «Governance und Compliance MUSS das direkte Vorspracherecht des Informationssicherheitsbeauftragten bei der Institutionsleitung verankern.»

GC.9.1.1.3 «Governance und Compliance MUSS Maßnahmen zur Vermeidung von Interessenkonflikten bei der Festlegung von Rollen und Zuständigkeiten des ISMS festlegen.»

Die Erläuterung zu GC.9.1.1.1 stellt klar, dass diese Rolle «in jeder Institution (unabhängig von Art und Größe) zu besetzen» ist. Zu den Ressourcen des ISB heißt es: «In kleinen Institutionen kann die Funktion des ISB auch von einem qualifizierten Mitarbeiter neben anderen Aufgaben wahrgenommen werden.» Maßgeblich sei ausreichend Zeit und das Fehlen von Interessenkonflikten.

Für Schutzbedarf und Compliance gelten unter anderem:

GC.3.1.1 «Governance und Compliance MUSS gesetzliche Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen, analysieren.»

GC.7.1.2 «Governance und Compliance MUSS eine Einstufung des Schutzbedarfs der relevanten Geschäftsprozesse oder Informationen unter Berücksichtigung der Geschäftsziele und in Absprache mit der Institutionsleitung festlegen.»

GC.7.2 «Governance und Compliance MUSS eine dedizierte Risikobetrachtung von Geschäftsprozessen oder Informationen mit hohem Schutzbedarf entsprechend der gewählten Methodik für das Informationssicherheitsrisikomanagement ausführen.»

GC.12.1 «Governance und Compliance MUSS eine einheitliche Methodik für das Informationssicherheitsrisikomanagement unter Berücksichtigungen von Kontext, Geschäftsprozessanalyse und interessierten Parteien verankern.»

Der Schutzbedarf wird laut Erläuterung nur noch in den Stufen «normal» oder «hoch» eingestuft. Für hohen Schutzbedarf führt GC.7.2 in eine Risikobetrachtung, deren Ausgestaltung Grundschutz++ nicht vorgibt. Als gängige Grundlagen nennt der Katalog ISO 27005, ISO 31000 und den BSI-Standard 200-3.

SOLLTE-Anforderungen

Vier Anforderungen sind als SOLLTE formuliert: die Anhörung zuständiger Stellen (GC.3.1.2), die Analyse vertraglicher Verpflichtungen (GC.3.1.3), Verfahren zur Prävention von Verstößen (GC.3.1.4) und der externe Austausch zur Informationssicherheit (GC.10.1.1). Gesetzliche Verpflichtungen sind dagegen zwingend zu analysieren. Von einer SOLLTE-Anforderung dürfen Sie nur nach sorgfältiger Abwägung und mit stichhaltiger Begründung abweichen.

Normale und erhöhte Sicherheitsstufe

Alle 35 Anforderungen der Praktik gehören zum Sicherheitsniveau normal (Stand der Technik). Eine erhöhte Stufe gibt es hier nicht. Die Anforderungen gelten als ISMS-Anforderungen ohne weitere Auswahl für den gesamten Informationsverbund. Ein höherer Schutzbedarf wirkt sich in dieser Praktik über die Risikobetrachtung nach GC.7.2 aus, nicht über zusätzliche Anforderungen.

Typische Nachweise

Der Katalog nennt im Feld «Dokumentation» für viele Anforderungen, wo die Umsetzung festgehalten wird. In GC sind das unter anderem:

  • ISMS-Regelwerk und Managementbericht (Freigabe des ISMS)
  • Informationssicherheitsleitlinie und Informationssicherheitsstrategie
  • Leitungsentscheidung zur Verpflichtung der Institutionsleitung
  • Compliance-Verpflichtungen und Arbeitsanweisung zur Prävention von Verstößen
  • Geschäftsprozesse, Schutzbedarfsfeststellung und Risikobetrachtung
  • Sicherheitsorganisation, Tätigkeits- und Rollenbeschreibungen, Geschäftsverteilungsplan
  • Übersicht der Kommunikationspartner
  • Richtlinie zur Lenkung von Dokumenten und Aufzeichnungen

Für elf Anforderungen nennt der Katalog keine typische Dokumentation, etwa für die Kontextanalyse oder den Geltungsbereich. Nachvollziehbar festhalten sollten Sie die Ergebnisse trotzdem, weil spätere Prozessschritte darauf aufbauen.

Betroffene Zielobjekte

Keine Anforderung der Praktik ist einer Zielobjektkategorie zugeordnet. Die Anforderungen gelten einmal für den Geltungsbereich und den Informationsverbund, nicht für einzelne Systeme oder Räume.

Vergleich mit dem Kompendium Edition 2023

Wer mit dem bisherigen IT-Grundschutz gearbeitet hat, kennt die Inhalte vor allem aus dem Baustein ISMS.1 Sicherheitsmanagement und aus ORP.5 Compliance Management. Neu ist die stärkere Betonung von Kontext und interessierten Parteien, wie sie auch die ISO 27001 vorsieht, und die prozessorientierte Einstufung des Schutzbedarfs über Geschäftsprozesse und Informationen.

Umsetzungstipps für kleine und mittlere Unternehmen

  • Eine Seite Kontext: Notieren Sie Kunden, Dienstleister, Aufsichtsbehörden, Mitarbeitende und deren Erwartungen an Ihre Informationssicherheit. Das deckt GC.2 und GC.4 im ersten Durchlauf ab.
  • Rechtliche Pflichten sammeln: Halten Sie in einer Liste fest, welche Gesetze und Verträge die Verarbeitung Ihrer Informationen betreffen, etwa Datenschutz oder Vorgaben großer Kunden. Lassen Sie sich bei Unklarheit rechtlich beraten.
  • Kurze Leitlinie: Zwei bis drei Seiten mit Zielen, Strategie, Rollen und der Verpflichtung zur Verbesserung genügen oft. Die Freigabe muss dokumentiert sein, zum Beispiel per Unterschrift.
  • ISB benennen: Eine interne Person mit klarem Zeitbudget oder ein externer ISB. Wichtig sind Unabhängigkeit und das direkte Vorspracherecht.
  • Wichtigsten Geschäftsprozess zuerst: Legen Sie fest, welcher Prozess für den Fortbestand Ihres Betriebs entscheidend ist, und stufen Sie dessen Schutzbedarf ein.
  • Dokumente lenken: Version, Autor, Datum und Ablageort für jedes ISMS-Dokument reichen für den Anfang.

Häufige Fragen

Braucht auch ein kleiner Betrieb einen Informationssicherheitsbeauftragten?

Ja. GC.9.1.1.1 ist eine MUSS-Anforderung, und die Erläuterung nennt die Rolle in jeder Institution unabhängig von Art und Größe als erforderlich. In kleinen Betrieben kann ein qualifizierter Mitarbeiter sie neben anderen Aufgaben übernehmen.

Darf der ISB der IT-Leitung unterstellt sein?

Der Katalog verlangt eine unabhängige Person, die unmittelbar der Institutionsleitung unterstellt ist, und Maßnahmen gegen Interessenkonflikte. Die Methodik rät ausdrücklich davon ab, den ISB unter dem IT-Leiter zu verorten.

Welche Schutzbedarfsstufen gibt es in Grundschutz++?

Laut Katalog und Methodik nur noch normal und hoch. Für Geschäftsprozesse oder Informationen mit hohem Schutzbedarf ist eine dedizierte Risikobetrachtung durchzuführen (GC.7.2).

Muss ich eine bestimmte Risikomethode verwenden?

Nein. GC.12.1 verlangt eine einheitliche Methodik. Die Erläuterungen nennen ISO 27005, ISO 31000 und den BSI-Standard 200-3 als gängige Grundlagen.

Quellen