Das IT-Grundschutz-Kompendium

Was das IT-Grundschutz-Kompendium ist

Das IT-Grundschutz-Kompendium bündelt die Bausteine des IT-Grundschutzes. Es ist der Nachfolger der früheren IT-Grundschutz-Kataloge, die bis zur 15. Ergänzungslieferung erschienen sind. Zusammen mit den BSI-Standards 200-1 bis 200-3 bildet es die Grundlage für ein ISMS nach IT-Grundschutz: Die Standards beschreiben das Vorgehen, das Kompendium liefert die konkreten Anforderungen.

Aktuell ist die Edition 2023 (Stand Februar 2023). Sie enthält nach Angaben des BSI 111 Bausteine, davon zehn neue; drei Bausteine der Edition 2022 sind entfallen, 21 wurden überarbeitet. Eine Edition 2024 oder 2025 hat das BSI nicht veröffentlicht, weil der IT-Grundschutz zum Grundschutz++ weiterentwickelt wird (siehe unten).

Aufbau des Kompendiums

Das Kompendium gliedert sich in mehrere Teile:

• Einstieg: Idee, Ziel und Struktur des IT-Grundschutzes.
• Schichtenmodell und Modellierung: Hinweise, wann welcher Baustein auf welche Zielobjekte anzuwenden ist, und in welcher Reihenfolge Bausteine umgesetzt werden sollten (Kennzeichnung R1, R2, R3).
• Rollen: Beschreibung der Rollen, die in den Anforderungen als zuständig genannt werden, etwa Informationssicherheitsbeauftragte (ISB), IT-Betrieb oder Institutionsleitung.
• Glossar: Begriffe rund um Informationssicherheit und IT-Grundschutz.
• Elementare Gefährdungen: 47 produktneutrale Gefährdungen von G 0.1 Feuer bis G 0.47 Schädliche Seiteneffekte IT-gestützter Angriffe.
• Bausteine: der eigentliche Hauptteil.

Die zehn Schichten

Die Bausteine sind in Prozess- und System-Bausteine aufgeteilt. Prozess-Bausteine gelten in der Regel für den gesamten Informationsverbund oder große Teile davon:

• ISMS – Sicherheitsmanagement
• ORP – Organisation und Personal
• CON – Konzepte und Vorgehensweisen
• OPS – Betrieb
• DER – Detektion und Reaktion

System-Bausteine werden auf einzelne Objekte oder Gruppen angewendet:

• APP – Anwendungen
• SYS – IT-Systeme
• IND – Industrielle IT
• NET – Netze und Kommunikation
• INF – Infrastruktur

Aufbau eines Bausteins

Alle Bausteine folgen demselben Muster: Beschreibung mit Einleitung, Zielsetzung sowie Abgrenzung und Modellierung, danach die spezifische Gefährdungslage, dann die Anforderungen und zum Schluss weiterführende Informationen. Die Anforderungen sind bausteinübergreifend eindeutig nummeriert, zum Beispiel ORP.4.A1 oder SYS.2.1.A3: zuerst die Schicht, dann Teilschicht und Baustein, dann die laufende Nummer der Anforderung.

Drei Stufen von Anforderungen

Jeder Baustein unterscheidet:

• Basis-Anforderungen (Modalverb MUSS): das Minimum, vorrangig umzusetzen, mit geringem Aufwand großer Nutzen.
• Standard-Anforderungen (SOLLTE): bilden gemeinsam mit den Basis-Anforderungen den Stand der Technik für normalen Schutzbedarf.
• Anforderungen bei erhöhtem Schutzbedarf: Vorschläge für besonders schutzbedürftige Bereiche, die meist mit einer Risikoanalyse nach BSI-Standard 200-3 verbunden werden.

Für eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz müssen im Geltungsbereich die Basis- und Standard-Anforderungen erfüllt sein.

Ergänzende Dokumente

Rund um das Kompendium veröffentlicht das BSI weitere Arbeitshilfen:

• Umsetzungshinweise zu vielen Bausteinen mit Best Practices, wie Anforderungen erfüllt werden können.
• Kreuzreferenztabellen (Excel), die die Anforderungen eines Bausteins den elementaren Gefährdungen gegenüberstellen. Seit der Edition 2023 stehen sie nicht mehr in den Bausteinen selbst, sondern werden separat veröffentlicht und zeigen nur noch direkte Beziehungen.
• Checklisten je Baustein für den IT-Grundschutz-Check.
• eine XML-Fassung für Werkzeuge und eine Zuordnungstabelle zu ISO 27001.
• Errata und im Jahresverlauf Drafts überarbeiteter Bausteine.

Grundlage für eine Zertifizierung bleibt laut BSI die deutsche PDF-Fassung des Kompendiums.

Praktische Nutzung im kleinen Betrieb

Der häufigste Fehler ist, das Kompendium als Lektüre zu behandeln. Sinnvoller ist ein gezielter Zugriff:

1. Mit einer Übersicht der eigenen IT beginnen (Geräte, Anwendungen, Räume, Dienstleister).
2. Über das Schichtenmodell die passenden Bausteine heraussuchen, zuerst die mit R1 gekennzeichneten.
3. Die Basis-Anforderungen dieser Bausteine mit der Checkliste abarbeiten und den Stand dokumentieren.
4. Erst danach Standard-Anforderungen ergänzen.

Für sehr kleine Organisationen ist der WiBA-Weg des BSI oft der leichtere Zugang, weil er die Inhalte in Prüffragen übersetzt.

Häufige Missverständnisse

«Das Kompendium ist eine Produktempfehlung»

Nein. Die Anforderungen sind produktneutral formuliert. Wo es produktspezifische Bausteine gibt, etwa für Windows-Clients oder Microsoft Exchange, ergänzen sie den allgemeinen Baustein und ersetzen ihn nicht.

«Was nicht im Kompendium steht, ist egal»

Das Kompendium deckt typische Einsatzszenarien ab. Gibt es für ein Zielobjekt keinen passenden Baustein, etwa für eine branchenspezifische Fachanwendung, verlangt die Methodik eine eigene Risikoanalyse nach BSI-Standard 200-3. Die elementaren Gefährdungen sind dafür der Ausgangspunkt.

«Eine Anforderung ist eine Maßnahme»

Anforderungen beschreiben, was erreicht werden soll. Welche konkrete Maßnahme das leistet, entscheidet die Institution passend zu ihrer Umgebung. Die Umsetzungshinweise machen Vorschläge, sind aber nicht verbindlich. Im IT-Grundschutz-Check wird dokumentiert, wie jede Anforderung erfüllt ist; eine Begründung ist besonders dann wichtig, wenn eine Anforderung als entbehrlich bewertet oder durch eine Alternative abgedeckt wird.

Weiterentwicklung zum Grundschutz++

Das BSI arbeitet an einem neu aufgebauten, prozessorientierten Grundschutz++. Dessen Anforderungen werden maschinenlesbar in einer Stand-der-Technik-Bibliothek bereitgestellt, die das IT-Grundschutz-Kompendium perspektivisch ablöst. Der bisherige IT-Grundschutz bleibt laut BSI während einer mehrjährigen Übergangszeit anwendbar und wird weiter gepflegt. Wer heute mit dem Kompendium arbeitet, verliert also nichts: Bestandsaufnahme, Verantwortlichkeiten und umgesetzte Maßnahmen bleiben auch im neuen Modell die Grundlage.