IT-Grundschutz-Praktiker und -Berater

Das Qualifizierungsmodell des BSI

Das BSI hat ein zweistufiges Modell für Personen eingeführt, die mit IT-Grundschutz arbeiten:

1. IT-Grundschutz-Praktiker: Basisschulung mit Prüfung bei einem Schulungsanbieter.
2. IT-Grundschutz-Berater: Aufbauschulung, Nachweis von Berufserfahrung und Prüfung beim BSI, danach Personenzertifizierung durch das BSI.

Davon zu unterscheiden sind die Zertifizierungen als Auditor beziehungsweise Auditteamleiter für ISO-27001-Audits auf Basis von IT-Grundschutz und die Schulungen zum BCM-Praktiker im Umfeld von BSI-Standard 200-4.

IT-Grundschutz-Praktiker

Schulung

Die Basisschulung umfasst laut BSI 24 Unterrichtseinheiten zu je 60 Minuten. Die Inhalte richten sich nach einem verbindlichen Curriculum des BSI, das die Schulungsanbieter umsetzen müssen. Inhaltlich geht es um die Grundlagen der Informationssicherheit, die BSI-Standards 200-1 bis 200-3, die Methodik mit Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und IT-Grundschutz-Check, die Risikoanalyse, die Umsetzungsplanung und Grundlagen der Zertifizierung. Die genaue Gliederung steht im Curriculum.

Prüfung

Für den Abschluss gelten einheitliche Prüfungsbedingungen des BSI zu Umfang und Prüftiefe. Anbieter können die Prüfung mit oder ohne vorherige Teilnahme an ihrer Schulung anbieten. Wer die Methodik bereits gut kennt, kann also auch direkt zur Prüfung antreten.

Anbieter

Schulungen bieten zahlreiche private Anbieter an, darunter Akademien, Prüforganisationen und Beratungshäuser. Anbieter geben eine Selbsterklärung gegenüber dem BSI ab, das daraufhin einen Link auf der Übersichtsseite veröffentlicht. Das BSI nimmt das individuelle Schulungskonzept nicht ab, behält sich aber vor, Unterlagen einzusehen und an Schulungen oder Prüfungen teilzunehmen. Preise, Dauer in Tagen und Format (Präsenz oder online) unterscheiden sich je Anbieter.

IT-Grundschutz-Berater

Voraussetzungen

Für die Zertifizierung zum IT-Grundschutz-Berater verlangt das BSI:

• den Abschluss als IT-Grundschutz-Praktiker,
• die Teilnahme an einer Aufbauschulung mit 16 Unterrichtseinheiten nach dem BSI-Curriculum,
• den Nachweis fachlicher und praktischer Berufserfahrung; die Einzelheiten regelt das BSI in seinen Zertifizierungsunterlagen,
• das Bestehen der Prüfung, die ausschließlich das BSI abnimmt.

Rolle

Zertifizierte Berater begleiten Institutionen beim Aufbau eines ISMS nach IT-Grundschutz. Das BSI veröffentlicht eine Liste der zertifizierten IT-Grundschutz-Berater. Für die Zertifizierung des ISMS selbst ist dagegen ein Auditor zuständig; Beratung und Audit derselben Institution müssen getrennt bleiben.

Was die Qualifikation leistet und was nicht

Sie belegt:

• Kenntnis der BSI-Standards und des Kompendiums,
• die Fähigkeit, die Methodik anzuwenden und Ergebnisse nachvollziehbar zu dokumentieren.

Sie ersetzt nicht:

• technische Fachkenntnis in einzelnen Themen wie Netzwerk, Cloud oder Active Directory,
• Erfahrung in der jeweiligen Branche,
• die Verantwortung der Leitung.

Für einen kleinen Betrieb ist die Kombination aus einer intern geschulten Person und punktueller externer Unterstützung oft wirtschaftlicher als eine vollständige Auslagerung.

Lohnt sich die Schulung für einen kleinen Betrieb?

Die Praktiker-Schulung lohnt sich, wenn eine Person die Rolle des ISB dauerhaft übernimmt und nach IT-Grundschutz gearbeitet werden soll. Für einen Betrieb, der nur die WiBA-Checklisten abarbeiten will, ist sie nicht zwingend; dort genügt oft eine Einweisung und der kostenlose Online-Kurs. Ein Mittelweg ist, die Schulung erst nach den ersten Monaten praktischer Arbeit zu besuchen, wenn konkrete Fragen vorliegen. Dann lässt sich das Gelernte unmittelbar auf die eigene Dokumentation anwenden.

Auswahl eines externen Beraters

Bei der Suche nach Unterstützung helfen folgende Fragen:

• Liegt eine Zertifizierung als IT-Grundschutz-Berater vor oder mindestens der Praktiker-Abschluss?
• Gibt es Erfahrung mit Betrieben ähnlicher Größe und Branche?
• Wird mit der Basis-Absicherung oder WiBA begonnen, wenn das zur Ausgangslage passt, statt sofort das volle Programm anzubieten?
• Wie wird Wissen an den Betrieb übergeben, damit die Dokumentation auch ohne Berater gepflegt werden kann?
• Wird klar zwischen Beratung und späterem Audit getrennt?
• Sind Umfang, Ergebnisse und Aufwand vorab schriftlich beschrieben, etwa als Festpreis für eine Basis-Absicherung oder als Tagessatz mit Obergrenze?

Eine Zertifizierung ist kein Ersatz für Referenzen. Ein kurzes Gespräch mit einem früheren Kunden ähnlicher Größe sagt oft mehr über die Arbeitsweise als jede Urkunde.

Kostenlose Einstiegsangebote des BSI

Das BSI stellt einen Online-Kurs zum IT-Grundschutz bereit, der auf dem Kompendium und den Standards 200-1 bis 200-3 basiert, in neun Lektionen mit Testfragen gegliedert ist und sich ausdrücklich auch an kleine und mittlere Unternehmen richtet. Er ersetzt keine Praktiker-Schulung, eignet sich aber zur Orientierung, bevor man eine Schulung bucht.

Ausblick: Grundschutz++

Mit dem Grundschutz++ kündigt das BSI neue Schulungskonzepte an; laut Meilensteinplan (Stand Oktober 2026) sollen sie Ende November 2026 veröffentlicht werden. Ab dem 1. Quartal 2027 soll die Ausbildung zum GS++-Berater und GS++-Auditteamleiter für bereits zertifizierte Personen starten. Wer jetzt eine Praktiker-Schulung plant, sollte beim Anbieter nachfragen, wie der Übergang berücksichtigt wird. Die methodischen Grundlagen wie Strukturanalyse, Schutzbedarf und Soll-Ist-Vergleich bleiben auch im neuen Modell nützlich.