Basis-Absicherung, Kern-Absicherung oder Standard-Absicherung: die passende Vorgehensweise wählen

Die Basis-Absicherung ist der Einstieg für Institutionen, deren Informationssicherheit noch am Anfang steht. Sie arbeitet mit einer Ersterfassung statt einer vollständigen Strukturanalyse, ordnet die Bausteine zu und prüft im IT-Grundschutz-Check nur die Basis-Anforderungen (200-2, Kap. 6, 6.3). Die Aktionsfelder bilden keinen geschlossenen Zyklus; am Ende steht die Wahl, mit welcher Vorgehensweise das Niveau angehoben wird (Kap. 6.5). Eine eigene Risikoanalyse ist zunächst nicht vorgesehen; nach 200-3 Kap. 2 werden bei Basis-Absicherung zuerst nur die Basis-Anforderungen umgesetzt.

Die Kern-Absicherung konzentriert sich auf die „Kronjuwelen“: Geschäftsprozesse und Informationen, die am wichtigsten für den Erhalt der Institution sind (Kap. 7.3). Der Informationsverbund wird bewusst klein gehalten. Weil hier grundsätzlich von erhöhtem Schutzbedarf auszugehen ist, müssen die Basis- und Standard-Anforderungen der relevanten Bausteine komplett umgesetzt werden, und eine Risikoanalyse gehört dazu (Kap. 7.1). Die Kern-Absicherung ist Teil des Sicherheitsprozesses. Als Projekt betrachten lässt sie sich laut 200-2 nur, wenn sie anschließend in die Standard-Absicherung integriert wird; bis dahin ist sie regelmäßig zu überprüfen und zu verbessern.

Die Standard-Absicherung entspricht im Wesentlichen der klassischen Vorgehensweise nach BSI-Standard 100-2 und ist die vom BSI präferierte. Sie umfasst für den gesamten Informationsverbund Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und IT-Grundschutz-Check, dazu eine Risikoanalyse für die Zielobjekte, bei denen sie nach Kap. 8.5 nötig ist (Kap. 3.3.3, 8). Basis- und Kern-Absicherung sind ausdrücklich Einstiege: „Ziel muss es sein, mittelfristig ein vollständiges Sicherheitskonzept gemäß der Standard-Absicherung zu erstellen“ (Kap. 3.3).

Die Matrix stellt die Kriterien, die 200-2 in Kap. 3.3.1 bis 3.3.3 für jede Vorgehensweise nennt, nebeneinander und ergänzt Zertifizierbarkeit, Aufwand und Risikoanalyse aus Kap. 3.3.5, 7.1 und 11. 200-2 formuliert die Kriterien als Empfehlung; für Kern- und Standard-Absicherung ausdrücklich dann, wenn die Punkte „überwiegend zutreffen“. Ein einzelnes Merkmal entscheidet also nicht. Unsere Arbeitsregel: Zählen Sie je Spalte, wie viele der ersten fünf Zeilen (Reifegrad bis Toleranz für Sicherheitsvorfälle) auf Ihre Institution zutreffen. Für die Basis-Absicherung sollten nach 200-2 alle fünf zutreffen, für die Standard-Absicherung die meisten, für die Kern-Absicherung die meisten der Zeilen zwei bis fünf; Reifegrad und Sicherheitsniveau der Kern-Spalte stammen aus Kap. 7 und 7.1 und zählen nicht mit. Die übrigen Zeilen zeigen, was aus der Wahl folgt. Abweichungen von der Spalte mit den meisten Treffern begründen Sie schriftlich in der Managementvorlage.

Die drei Institutionen sind erfunden. Sie zeigen, wie die Matrix zu einer begründeten Entscheidung führt; die Zählung der Treffer ist unsere Arbeitsregel und kein Verfahren des BSI.

Die Vorgehensweisen schließen sich nicht aus. 200-2 Kap. 3.3.4 beschreibt Institutionen, die für mehrere Bereiche parallel oder nacheinander Basis-, Standard- oder Kern-Absicherung durchführen, etwa Kern-Absicherung für einen kleinen Bereich mit besonders gefährdeten Assets und Basis-Absicherung für den Rest, damit dort ein Mindestmaß an Sicherheit besteht. 200-1 beschreibt dasselbe Muster als Keimzellen: in die Breite mit Basis-, in die Tiefe mit Kern-Absicherung, von dort aus zügig auf das angestrebte Niveau (200-1, Kap. 4.1).

Für den Übergang zur Standard-Absicherung gilt: Wer mit der Basis-Absicherung beginnt, führt später einen eigenen Check mit den Standard-Anforderungen durch; die Ergebnisse des ersten Checks sollten so aufbereitet sein, dass sie direkt übernommen werden können (Kap. 6.3). Nach der Basis-Absicherung soll zeitnah entschieden werden, wann der Verbesserungsprozess beginnt, als Zwischenschritt ist die Kern-Absicherung möglich (Kap. 6.5).

Für das Zertifikat ist die Lage eindeutig. Das Kompendium hält fest, dass für den gewählten Geltungsbereich die Basis- und Standard-Anforderungen erfüllt sein müssen und dass eine Zertifizierung nur möglich ist, wenn alle Teilanforderungen mit MUSS erfüllt sind (Kapitel „IT-Grundschutz - Basis für Informationssicherheit“). Eine reine Basis-Absicherung reicht dafür nicht (200-2, Kap. 11). Verfahren und Unterlagen beschreibt die Seite Zertifizierung.

BSI-Standard 300-1 kennt die drei Vorgehensweisen nicht. Er beschreibt ein Vorgehen in fünf Prozessschritten. Das nächste Gegenstück zur Kern-Absicherung ist die Empfehlung, bei erstmaliger Implementierung mit dem wichtigsten Geschäftsprozess aus der höchsten Schutzbedarfskategorie zu beginnen und sukzessive alle Geschäftsprozesse des Anwendungsbereichs zu untersuchen (300-1, Kap. 2.6). Die Reihenfolge der Abarbeitung ist eine Entscheidungsvorlage an die Leitung (Kap. 2.10). Eine breite Erst-Absicherung mit reduziertem Anforderungsumfang wie bei der Basis-Absicherung beschreibt 300-1 nicht.

Für die Wahl heute folgt daraus eine Abwägung. Laut Meilensteinplan sind Zertifizierungsanträge auf Basis von Grundschutz++ ab dem 01.01.2027 möglich, und der klassische IT-Grundschutz bleibt bis zum 30.11.2031 zertifizierbar; das ist ein Verfahrenstermin des BSI und keine gesetzliche Frist. Wer jetzt neu beginnt und mittelfristig ein Zertifikat anstrebt, sollte prüfen, ob sich ein klassischer Einstieg mit späterer Überführung lohnt oder ob ein direkter Beginn mit Grundschutz++ besser passt. Die Entscheidungstabelle je Ausgangslage steht auf der Seite Umstieg entscheiden.

Die Entscheidungsvorlage für die Leitung, ob Sie klassisch mit Basis-, Kern- oder Standard-Absicherung weiterarbeiten oder mit Grundschutz++ beginnen, ist Gegenstand von Paket A „Entscheidung und Übergangsplanung“ der Blackfort Technology.