Grundschutz, systematisch.
Der deutsche Sicherheits-Standard für Behörden und KRITIS-Betreiber. Das IT-Grundschutz-Kompendium liefert für jede der zehn Schichten konkrete Bausteine mit Anforderungen – wir bringen sie in Ihre Prozesse.
Für viele nicht optional.
KRITIS-Betreiber (§ 8a BSIG), Bundesbehörden und viele Landesbehörden müssen nach BSI-Standards arbeiten. Wer öffentliche Aufträge will, kommt an IT-Grundschutz oft nicht vorbei.
Konkret statt abstrakt.
Wo ISO 27001 offen lässt, „wie", sagt der IT-Grundschutz genau, was zu tun ist. Für jede Schicht gibt es Bausteine mit Basis-, Standard- und Kern-Anforderungen – deutlich weniger Interpretationsspielraum.
Anschluss an die Aufsicht.
Wer BSI-konform ist, ist gegenüber Aufsichtsbehörden auf der sicheren Seite: BSI-Standard 200 ist das Referenzsystem für Prüfungen nach BSIG, NIS2 (in DE) und diversen Fachverordnungen.
Basis-Absicherung
Erste, wichtigste Schritte für kleine und mittlere Institutionen. Nur die Basis-Anforderungen aus jedem Baustein – schnell umsetzbar, nicht auditfest im engeren Sinne, aber ein belastbarer Anfang.
Kern-Absicherung
Volle Absicherung nur der geschäftskritischen Prozesse und Werte. Für Institutionen, die gezielt ihren Kern absichern wollen, bevor sie breit ausrollen. Zertifizierbar auf den definierten Kernbereich.
Standard-Absicherung
Vollständige Absicherung nach BSI-Standard 200-2. Alle relevanten Bausteine, alle Standard-Anforderungen, systematische Modellierung. Basis für „ISO 27001-Zertifikat auf Basis IT-Grundschutz".
Risikoanalyse nach 200-3
Für hohen und sehr hohen Schutzbedarf reichen die Standard-Bausteine nicht aus. BSI 200-3 gibt eine strukturierte Methode für ergänzende Risikoanalysen – wir setzen sie punktuell und nachvollziehbar ein.
Strukturanalyse & Schutzbedarf
Was gehört zum Informationsverbund? Welche Geschäftsprozesse, Anwendungen, IT-Systeme, Räume und Kommunikationsverbindungen? Für jedes Element wird der Schutzbedarf in Vertraulichkeit, Integrität und Verfügbarkeit bestimmt.
Modellierung
Der Informationsverbund wird gegen das Grundschutz-Kompendium gemappt: welche Bausteine aus welchen Schichten sind anwendbar? Ergebnis: Baustein-Liste mit Anforderungen, die erfüllt werden müssen.
IT-Grundschutz-Check
Für jede Anforderung wird geprüft: „entbehrlich", „ja", „teilweise", „nein". Das ist die Grundschutz-eigene Form der Gap-Analyse und die zentrale Nachweisführung im Audit.
Ergänzende Risikoanalyse (200-3)
Für Werte mit hohem oder sehr hohem Schutzbedarf reichen die Standard-Anforderungen nicht. Wir führen eine ergänzende Risikoanalyse nach BSI 200-3 durch und definieren zusätzliche Maßnahmen.
Zertifizierungsaudit
Das Audit findet durch einen vom BSI zugelassenen Auditor statt (nicht durch das BSI selbst). Ergebnis: „ISO 27001-Zertifikat auf der Basis von IT-Grundschutz" – dreijährig gültig, mit jährlichen Überwachungsaudits.
Ein Zertifikat, das anschlussfähig ist – für BSIG, NIS2, KRITIS-Prüfungen und Behördenanfragen.
Am Ende steht das „ISO 27001-Zertifikat auf der Basis von IT-Grundschutz" – die einzige Zertifizierung, die sowohl den internationalen ISO-Standard als auch die deutschen BSI-Anforderungen abdeckt. Für KRITIS-Betreiber der übliche Weg.
Ihr Team hat danach die Modellierung, den Grundschutz-Check und die Nachweisführung im Griff. Wir sind bei den Überwachungsaudits punktuell dabei, aber nicht als Dauer-Standardausrüstung.
- Zertifikat
- 3 Jahre ISO 27001 auf Basis IT-GS
- Audit-Turnus
- jährlich Überwachung
- Nachweis
- BSIG § 8a KRITIS-tauglich
- Anerkennung
- Behörden Bund & Länder
Ist BSI IT-Grundschutz nicht viel aufwendiger als ISO 27001?
Ja, in der Regel schon – mehr Struktur, mehr Nachweispflicht, mehr Bausteine. Der Trade-off: weniger Interpretationsspielraum, klarere Anforderungen und automatische Anschlussfähigkeit an BSIG, NIS2 und KRITIS-Prüfungen. Für Behörden und KRITIS-Betreiber lohnt sich der Aufwand fast immer.
Was bedeutet „ISO 27001 auf Basis IT-Grundschutz"?
Es ist ein doppeltes Zertifikat: Sie erhalten das internationale ISO-27001-Zertifikat UND den Nachweis, dass Sie es auf Basis der detaillierten BSI-Anforderungen umgesetzt haben. Das ist der Standardweg für deutsche Behörden und KRITIS.
Muss ich alle zehn Schichten umsetzen?
Nein – die Modellierung entscheidet, welche Bausteine für Ihren Informationsverbund relevant sind. Ein reiner Web-Dienstleister braucht z. B. keine Bausteine aus der Schicht IND (Industrielle IT). Aber die Auswahl muss begründet und dokumentiert sein.
Für den Amtsträger gedacht, für Praktiker gemacht.
Ein Erstgespräch reicht, um Informationsverbund, Schutzbedarf und die passende Vorgehensweise einzuschätzen – anhand Ihrer konkreten Aufsichts- und Kundenanforderungen. Unverbindlich.