BSI 200-2: die IT-Grundschutz-Methodik als kommentierter Lesepfad

200-2 löst BSI-Standard 100-2 ab. Mit der Neufassung kamen neben der Standard-Absicherung die Basis- und die Kern-Absicherung hinzu, außerdem Virtualisierung, Cloud, ICS und IoT; das durchgehende Beispiel heißt seither RECPLAST GmbH, und der Begriff „Aktiva“ wurde durch „Assets“ ersetzt (Kap. 1.1). Die Methodik baut auf BSI-Standard 200-1 und damit auf ISO 27001 auf (Kap. 1.2).

Der Standard ist in zwölf Kapitel gegliedert. Kapitel 2 bis 5 betreffen alle Vorgehensweisen: Grundlagen, Initiierung, Organisation und Dokumentation. Kapitel 6, 7 und 8 beschreiben je eine Vorgehensweise, Kapitel 9 und 10 die Umsetzung und Aufrechterhaltung, Kapitel 11 die Zertifizierung, Kapitel 12 erläutert die Schadensszenarien. Viele Abschnitte enden mit einer Liste „Aktionspunkte zu …“; sie eignet sich als Abhakliste für das eigene Projekt.

Eine Voraussetzung nennt 200-2 früh und deutlich: Es muss einen IT-Betrieb mit klar definierten Rollen geben, der vom einzelnen Administrator bis zu mehreren IT-Abteilungen reichen kann (Kap. 1.3). Wer diese Voraussetzung nicht erfüllt, liest die folgenden Kapitel mit einer offenen Baustelle.

Der Lesepfad folgt der Reihenfolge der Arbeit. Kapitel 6 und 7 lesen Sie nur, wenn Sie Basis- oder Kern-Absicherung gewählt haben; für die Standard-Absicherung springen Sie von Kapitel 5 direkt zu Kapitel 8. Kapitel 8 brauchen Sie in jedem Fall: Die Kern-Absicherung verweist für Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Check und Risikoanalyse auf die Einzelschritte in Kap. 8.1 bis 8.5 (Kap. 7.4 bis 7.8), die Basis-Absicherung für Modellierung und Check auf Kap. 8.3 und 8.4 (Kap. 6.2, 6.3). Nach Kapitel 7 lesen Sie an den Stationen 8 bis 12 weiter, nach Kapitel 6 an den Stationen 10 und 11; danach geht es für beide mit Station 13 (Kapitel 9, auf das Kap. 6.4 für die Realisierung verweist) und Station 14 weiter. Station 15 setzt Standard- oder Kern-Absicherung voraus. Die Spalte „Lesehinweis“ enthält unsere Kommentare, die Spalte „In 300-1“ den Ort, an dem Sie das Thema für Grundschutz++ wiederfinden.

Einige Stellen in 200-2 lassen sich erst mit dem Kompendium oder mit der Zeit seit 2017 richtig verstehen. Die Liste fasst sie zusammen; sie ist unsere Einordnung des Standards und keine Fehlerliste des BSI.

300-1 nennt 200-2 nicht, beschreibt aber dieselben Arbeitsgegenstände anders. Geschäftsprozesse gab es schon in 200-2; neu ist, dass der Schutzbedarf je Geschäftsprozess mit nur zwei Kategorien festgestellt wird (300-1, Kap. 2.6). Die Modellierung ordnet Assets Zielobjektkategorien zu und ergibt ein Anforderungspaket. Der IT-Grundschutz-Check mit vier Werten wird zur Ermittlung des Umsetzungsstatus mit „erfüllt“, „nicht erfüllt“ und „nicht anwendbar“; als nicht anwendbar gilt eine Anforderung nur, wenn die zugrunde liegende Komponente im Informationsverbund nicht existiert oder die Anforderung funktional nicht erfüllt werden kann (Kap. 4.1.1). Fehlende Relevanz ist dafür kein Grund, anders als beim alten „entbehrlich“.

Bei der Risikobetrachtung nennt 300-1 drei Anlässe: hoher Schutzbedarf eines Geschäftsprozesses, nicht hinreichend abgedeckte Assets und dauerhaft nicht erfüllte SOLLTE-Anforderungen, dazu die Restrisikobetrachtung für SOLLTE-Anforderungen, die in der Umsetzungsplanung stehen, aber noch nicht erfüllt sind (Kap. 2.11). Für temporär nicht erfüllte SOLLTE-Anforderungen sagt Kap. 4.1.2 dagegen, die temporäre Nichterfüllung löse keine Risikobetrachtung aus. Wie beide Stellen zusammenpassen, ist eine offene Auslegungsfrage. Eine naheliegende Lesart: Die temporäre Nichterfüllung löst keine explizite Risikobetrachtung nach Kap. 4.2 aus, das noch nicht mitigierte Risiko ist aber nach Kap. 4.1.1 zu identifizieren und der Institutionsleitung mitzuteilen. Ihre Lesart halten Sie mit dem Auditor fest.

Die vollständige Gegenüberstellung steht im Vergleich IT-Grundschutz 2023 und Grundschutz++, die Durchführung der Überführung auf der Seite Migration.

Drei Situationen kommen in Betracht. Ein bestehendes ISMS nach 200-2 mit Zertifikat nach ISO 27001 auf Basis von IT-Grundschutz läuft weiter, solange der klassische IT-Grundschutz zertifizierbar ist; laut Meilensteinplan endet das am 30.11.2031, als Verfahrenstermin des BSI und nicht als gesetzliche Frist. Nennt ein Vertrag oder eine interne Vorgabe ausdrücklich 200-2, arbeiten Sie danach, bis die Vorgabe angepasst ist; ob eine solche Vorgabe rechtlich fortgilt, prüft Ihre Rechtsabteilung. Und für Einrichtungen der Bundesverwaltung verweist § 44 Abs. 1 BSIG auf die BSI-Standards, das Grundschutzkompendium und die Mindeststandards des Bundes in den jeweils geltenden Fassungen; welche Fassungen gelten, veröffentlicht das BSI nach dem Gesetzeswortlaut auf seiner Internetseite. Ab wann Grundschutz++ in diesem Sinn gilt, legen die ausgewerteten Quellen nicht ausdrücklich fest; das klärt die zuständige Stelle der Einrichtung.

Wer neu beginnt, sollte die Wahl zwischen klassischem Vorgehen und Grundschutz++ bewusst treffen, weil ab dem 01.01.2027 Zertifizierungsanträge auf Basis von Grundschutz++ möglich sind. Eine Entscheidungstabelle je Ausgangslage bietet die Seite Umstieg entscheiden. Blackfort Technology unterstützt Institutionen mit bestehendem 200-2-ISMS bei der Bestandsbewertung und der Planung des Umstiegs.