Was ist IT-Grundschutz?
IT-Grundschutz des BSI einfach erklärt: woraus er besteht, für wen er gedacht ist und wie kleine Betriebe sinnvoll einsteigen, ohne sich zu verzetteln.
Der IT-Grundschutz ist die Methode des Bundesamts für Sicherheit in der Informationstechnik (BSI), mit der ein Betrieb seine Informationen systematisch schützt. Man kann ihn sich wie einen Baukasten vorstellen: Für typische Dinge wie Büro-PCs, E-Mail, WLAN oder Datensicherung steht dort, was mindestens geregelt sein sollte.
Warum das Ihren Betrieb betrifft
Fast jeder Betrieb hängt heute an seiner IT: Angebote, Rechnungen, Kundendaten, Kommunikation. Fällt sie aus oder werden Daten gestohlen, steht oft der ganze Betrieb. Der IT-Grundschutz sorgt dafür, dass Sie nicht raten müssen, was wichtig ist, sondern einer bewährten Liste folgen.
Muss ich das alles umsetzen?
Nein. Der IT-Grundschutz ist für die meisten Unternehmen freiwillig und bewusst umfangreich. Für kleine Betriebe gibt es einen schlanken Einstieg, die Basis-Absicherung. Sie deckt die wichtigsten Punkte ab und lässt sich Schritt für Schritt umsetzen.
Der nächste Schritt
Klären Sie, wer im Betrieb für IT-Sicherheit verantwortlich ist, und verschaffen Sie sich einen Überblick, welche Geräte, Programme und Daten Sie haben. Danach lohnt ein strukturierter Check, zum Beispiel nach DIN SPEC 27076 oder mit dem WiBA-Leitfaden des BSI.
Bestandteile des IT-Grundschutzes
Der IT-Grundschutz besteht aus zwei Teilen, die zusammengehören:
- BSI-Standards 200-1 bis 200-4: 200-1 beschreibt die Anforderungen an ein Managementsystem für Informationssicherheit (ISMS), 200-2 die IT-Grundschutz-Methodik, 200-3 die Risikoanalyse und 200-4 das Business Continuity Management (Notfallmanagement).
- IT-Grundschutz-Kompendium: die Sammlung der Bausteine mit konkreten Anforderungen.
Bausteine und Schichten
Das Kompendium gliedert die Bausteine in Schichten. Prozess-Bausteine betreffen die Organisation, zum Beispiel ISMS, ORP (Organisation und Personal), CON (Konzeption), OPS (Betrieb) und DER (Detektion und Reaktion). System-Bausteine betreffen konkrete Zielobjekte, zum Beispiel APP (Anwendungen), SYS (IT-Systeme), NET (Netze), INF (Infrastruktur) und IND (industrielle IT).
Jeder Baustein beschreibt die Gefährdungslage und Anforderungen in drei Stufen:
- Basis-Anforderungen (Formulierung «MUSS»): vorrangig umzusetzen.
- Standard-Anforderungen («SOLLTE»): Stand der Technik für normalen Schutzbedarf.
- Anforderungen bei erhöhtem Schutzbedarf: zusätzliche Maßnahmen für besonders wichtige Informationen.
Absicherungsvarianten
BSI-Standard 200-2 kennt drei Wege:
Basis-Absicherung
Breiter Einstieg über die gesamte Organisation, nur Basis-Anforderungen. Geeignet für kleine Organisationen und als erster Schritt.
Kern-Absicherung
Konzentration auf die wichtigsten Geschäftsprozesse und ihre «Kronjuwelen», dort aber vollständig.
Standard-Absicherung
Der vollständige Weg: Strukturanalyse, Schutzbedarfsfeststellung, Modellierung mit Bausteinen, IT-Grundschutz-Check, Risikoanalyse für erhöhten Schutzbedarf und Umsetzungsplanung. Er ist Grundlage für eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz.
Einordnung für kleine Betriebe
Für Betriebe mit wenigen Mitarbeitenden ist der vollständige Weg meist zu groß. Praktikabel sind die Basis-Absicherung, der WiBA-Leitfaden des BSI (Checklisten für kleine Organisationen) oder ein CyberRisikoCheck nach DIN SPEC 27076. Wichtig ist, dass Verantwortung, Dokumentation und regelmäßige Überprüfung von Anfang an mitgedacht werden.
Wer den IT-Grundschutz nutzt
Verpflichtend ist er vor allem für Bundesbehörden. Viele Landesverwaltungen, Kommunen, Krankenhäuser, Versorger und Unternehmen nutzen ihn freiwillig, weil er konkrete, frei verfügbare Anforderungen liefert. Auditoren und Versicherer orientieren sich häufig an ihm. Für Betriebe, die unter NIS-2 fallen, ist er eine von mehreren Möglichkeiten, die geforderten Risikomanagementmaßnahmen strukturiert umzusetzen.
Wie man realistisch einsteigt
- Verantwortung klären und eine kurze Leitlinie verabschieden.
- Überblick schaffen: Geschäftsprozesse, Anwendungen, Systeme, Dienstleister.
- Mit den Basis-Anforderungen der wichtigsten Bausteine beginnen, etwa Datensicherung, Patch-Management, Identitäts- und Berechtigungsmanagement, Sensibilisierung.
- Ergebnisse dokumentieren und jährlich überprüfen.
- Bei Bedarf auf Kern- oder Standard-Absicherung erweitern.
Wichtig ist, nicht beim Lesen des Kompendiums stehenzubleiben. Ein umgesetzter Teil schützt mehr als ein vollständiger, aber unbenutzter Plan.
Häufige Fragen
Ist IT-Grundschutz Pflicht?
Für die meisten Unternehmen nicht. Er wird aber oft als Maßstab herangezogen, etwa bei Behörden, in Ausschreibungen oder als Weg zu einer ISO-27001-Zertifizierung.
Was kostet IT-Grundschutz?
Die BSI-Dokumente sind kostenlos. Kosten entstehen durch den Aufwand für Umsetzung und Dokumentation, der stark von Größe und Ausgangslage des Betriebs abhängt.
Was ist der Unterschied zu ISO 27001?
ISO 27001 legt fest, was ein ISMS leisten muss. Der IT-Grundschutz beschreibt zusätzlich sehr konkret, wie typische Systeme abgesichert werden. Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz verbindet beides.