IT-Grundschutz-Profile

Was ein IT-Grundschutz-Profil ist

IT-Grundschutz-Profile sind laut BSI Musterkonzepte für Informationssicherheit. Sie zeigen anhand eines Anwendungsbeispiels, wie die IT-Grundschutz-Vorgehensweise in einem bestimmten Umfeld umgesetzt werden kann. Institutionen erstellen sie für Anwendungsfälle und stellen sie anderen zur Verfügung. Sie eignen sich besonders für Branchen, Sektoren oder Verbünde mit ähnlichen Rahmenbedingungen, etwa Maschinenhersteller, Zahnarztpraxen oder Handwerksbetriebe, die das BSI als Beispiele nennt.

Inhalt eines Profils

Ein Profil dokumentiert typischerweise die Ergebnisse der Methodikschritte für ein Referenzszenario:

• Rahmenbedingungen und Geltungsbereich: Für welche Art von Institution gilt das Profil, welche Prozesse sind erfasst, was ist ausgeschlossen?
• Gewählte Vorgehensweise: Basis-, Kern- oder Standard-Absicherung.
• Strukturanalyse: typische Geschäftsprozesse, Anwendungen, IT-Systeme, Netze und Räume des Referenzszenarios.
• Schutzbedarfsfeststellung: Einschätzung für die typischen Objekte.
• Modellierung: Auswahl der Bausteine und deren Zuordnung zu den Zielobjekten.
• Spezifische Anforderungen und Maßnahmen: Ergänzungen, Anpassungen oder Hinweise, wo Bausteine nicht ausreichen.
• Weitere Hinweise: etwa zu rechtlichen Rahmenbedingungen der Branche.

Das BSI stellt eine Anleitung zur Erstellung von Profilen bereit. Profile sind damit keine eigene Vorgehensweise neben Basis-, Kern- und Standard-Absicherung, sondern eine vorbereitete Anwendung dieser Vorgehensweisen auf ein typisches Szenario.

Beispiele veröffentlichter Profile

Auf der Seite des BSI sind unter anderem Profile zu folgenden Bereichen gelistet (Auswahl, Stand der BSI-Liste beim Abruf):

• Handwerksbetriebe (Zentralverband des Deutschen Handwerks), ergänzt durch einen Routenplaner Cyber-Sicherheit für Handwerksbetriebe, sowie Handwerkskammern,
• Basis-Absicherung Kommunalverwaltung (kommunale Spitzenverbände),
• Hochschulen,
• Reedereien, getrennt für Land- und Schiffsbetrieb,
• Papierfabriken und Chemie,
• kleine und mittlere Flughäfen, Leitstellen,
• 5G-Campusnetze sowie Weltrauminfrastrukturen.

Die Liste verändert sich; maßgeblich ist die jeweils aktuelle Übersicht des BSI. Daneben verweist das BSI auf KRITIS-bezogene Profile.

Wie man ein Profil nutzt

1. Passendes Profil auswählen

Prüfen, ob Rahmenbedingungen und Geltungsbereich des Profils zur eigenen Institution passen. Ein Profil für Handwerksbetriebe passt etwa nicht ohne Weiteres zu einem Betrieb mit eigener Softwareentwicklung.

2. Abweichungen erfassen

Die eigene Strukturanalyse mit dem Referenzszenario abgleichen. Zusätzliche Systeme, Cloud-Dienste, Standorte oder Prozesse werden ergänzt, nicht vorhandene gestrichen.

3. Modellierung übernehmen und anpassen

Die vorgeschlagene Bausteinauswahl ist ein guter Startpunkt, muss aber an die tatsächlichen Zielobjekte angepasst werden. Wichtig ist auch die Edition: Profile beziehen sich auf eine bestimmte Edition des Kompendiums. Wurden Bausteine seitdem ersetzt oder umbenannt, ist die Modellierung nachzuziehen.

4. Check und Umsetzung

Der IT-Grundschutz-Check bleibt Pflicht. Das Profil sagt, was typischerweise relevant ist, nicht, was im Betrieb umgesetzt ist.

Woran man ein gutes Profil erkennt

• Es nennt klar Geltungsbereich, Zielgruppe und die zugrunde liegende Edition des Kompendiums.
• Es begründet, warum bestimmte Bausteine modelliert oder weggelassen wurden.
• Es benennt branchentypische Kronjuwelen und Besonderheiten, etwa Fachverfahren, Maschinensteuerungen oder Meldewege.
• Es wird vom Herausgeber gepflegt und hat einen erkennbaren Versionsstand.

Fehlt eines dieser Merkmale, ist das Profil nicht wertlos, aber der Anpassungsaufwand steigt.

Nutzen und Grenzen

Nutzen:

• deutlich weniger Aufwand in Strukturanalyse und Modellierung,
• branchenspezifische Erfahrung, etwa zu typischen Fachanwendungen oder Kronjuwelen,
• gemeinsame Sprache innerhalb einer Branche oder eines Verbands.

Grenzen:

• Ein Profil ist kein Zertifikat und kein Nachweis der Umsetzung.
• Es kann veralten, wenn neue Editionen erscheinen oder sich die Technik in der Branche wandelt.
• Es deckt das Referenzszenario ab, nicht Besonderheiten des einzelnen Betriebs.

Profil, WiBA oder DIN SPEC 27076?

Für kleine Betriebe stellt sich oft die Frage, welcher Einstieg passt:

• IT-Grundschutz-Profil: sinnvoll, wenn es ein Profil für die eigene Branche gibt und die Institution ohnehin nach IT-Grundschutz arbeiten will. Es liefert eine vorbereitete Modellierung.
• WiBA: Checklisten des BSI mit Prüffragen für kleine Organisationen, unabhängig von der Branche, ohne vertiefte Methodenkenntnis nutzbar.
• CyberRisikoCheck nach DIN SPEC 27076: ein standardisiertes Beratungsgespräch mit einem Dienstleister, das in kurzer Zeit eine Einschätzung und Handlungsempfehlungen liefert.

Die Wege schließen sich nicht aus. Ein Profil kann etwa nach einem ersten CyberRisikoCheck als Grundlage für den weiteren Ausbau dienen.

Eigene Profile erstellen

Verbände oder Gruppen ähnlicher Institutionen können selbst Profile erarbeiten und dem BSI zur Veröffentlichung anbieten. Das lohnt sich, wenn viele Mitglieder ähnliche Strukturen haben. Grundlage ist die Anleitung des BSI.

Ausblick

Für den Grundschutz++ kündigt das BSI an, dass sich die bewährten WiBA-Checklisten künftig automatisiert an den jeweiligen Anwendungsfall anpassen lassen. Wie bestehende Profile in das neue Modell überführt werden, sollte bei Bedarf beim BSI oder beim Herausgeber des jeweiligen Profils nachgefragt werden.