BSI IT-Grundschutz: Standards, Kompendium und Vorgehensweisen im Überblick

IT-Grundschutz ist die Methodik des BSI für ein ISMS. Sie besteht aus den BSI-Standards 200-1 (Managementsystem), 200-2 (Vorgehen) und 200-3 (Risikoanalyse) sowie dem IT-Grundschutz-Kompendium. 200-2 liegt in Version 1.0 vom Oktober 2017 vor, hat 100-2 abgelöst und baut auf 200-1 und ISO 27001 auf (200-2, Kap. 1.1 und 1.2).

Der Kerngedanke: Für typische Prozesse, Anwendungen und Komponenten hat das BSI die Gefährdungslage vorab bewertet und daraus Anforderungen abgeleitet. Das hat laut 200-3 den Vorteil, „dass Anwender des IT-Grundschutzes für einen Großteil des Informationsverbundes keine individuelle Bedrohungs- und Schwachstellenanalyse durchführen müssen, weil diese bereits vorab vom BSI durchgeführt wurde“ (200-3, Kap. 1.2). Organisation, Personal, Gebäude und Technik werden dabei gemeinsam betrachtet, Industriesteuerungen und IoT-Geräte eingeschlossen.

Vorausgesetzt wird ein IT-Betrieb mit festgelegten Rollen, gleich wie groß er ist (200-2, Kap. 1.3). Angesprochen sind vor allem die Personen, die das Sicherheitsmanagement verantworten oder beraten.

200-2 beschreibt den Sicherheitsprozess in Phasen: Initiierung mit Übernahme der Verantwortung durch die Leitungsebene, Konzeption und Planung, Bereitstellung von Ressourcen und Entscheidung für eine Vorgehensweise; dann die Leitlinie zur Informationssicherheit, der Aufbau der Organisation, die Erstellung und Umsetzung der Sicherheitskonzeption und schließlich Aufrechterhaltung und kontinuierliche Verbesserung (Kap. 2.6). Nach 200-2 „verbleibt“ die Verantwortung für Informationssicherheit „in jedem Fall bei der obersten Managementebene“; die Aufgabe wird typischerweise an einen Informationssicherheitsbeauftragten (ISB) delegiert (Kap. 2.3).

In der Standard-Absicherung folgt die Sicherheitskonzeption einer festen Reihenfolge. Die Strukturanalyse erhebt Geschäftsprozesse, Anwendungen, Netzplan, IT-Systeme und Räume und fasst gleichartige Objekte zu Gruppen zusammen. Die Schutzbedarfsfeststellung bewertet zuerst Geschäftsprozesse und Anwendungen und leitet daraus den Schutzbedarf der übrigen Objekte ab. Die Modellierung ordnet den Zielobjekten die passenden Bausteine zu. Der IT-Grundschutz-Check vergleicht die Anforderungen mit dem Ist-Zustand. Wo der Schutzbedarf hoch oder sehr hoch ist oder Objekte sich nicht modellieren lassen, schließt sich eine Risikoanalyse nach 200-3 an. Danach werden die Maßnahmen konsolidiert, geplant und umgesetzt (Kap. 8 und 9).

Das Ergebnis ist ein Sicherheitskonzept, das auf die Anforderungen im Kompendium verweist und deshalb vergleichsweise kompakt bleibt (Kap. 2.7). Die Aufrechterhaltung umfasst die Überprüfung anhand von Kennzahlen, ein Reifegradmodell, die Überprüfung der Umsetzung und gegebenenfalls die Erweiterung der Vorgehensweise, etwa von Basis- auf Standard-Absicherung (Kap. 10).

Der klassische IT-Grundschutz bietet drei Vorgehensweisen. Die Basis-Absicherung ist für Institutionen gedacht, deren Informationssicherheit noch am Anfang steht, deren Geschäftsprozesse kein deutlich erhöhtes Gefährdungspotenzial haben und für die kleinere Sicherheitsvorfälle tolerierbar sind. Sie erzielt eine breite, grundlegende Erst-Absicherung, liegt im Sicherheitsniveau aber deutlich unter der Standard-Absicherung (200-2, Kap. 1.2 und 3.3.1).

Die Kern-Absicherung konzentriert sich auf einen kleinen, aber sehr wichtigen Teil des Informationsverbunds, die „Kronjuwelen“. Sie passt, wenn eine Institution wenige Geschäftsprozesse mit deutlich erhöhtem Schutzbedarf zügig identifizieren und abgrenzen kann (Kap. 3.3.2). Die Standard-Absicherung entspricht im Wesentlichen der klassischen Vorgehensweise nach 100-2 und ist laut BSI die Vorgehensweise, die grundsätzlich angestrebt werden sollte (Kap. 3.3.3).

Basis- und Kern-Absicherung sind ausdrücklich als Einstieg gedacht; „Ziel muss es sein, mittelfristig ein vollständiges Sicherheitskonzept gemäß der Standard-Absicherung zu erstellen“ (200-2, Kap. 3.3). Welche Vorgehensweise für welchen Bereich gilt, entscheidet die Leitung und dokumentiert es mit Zeitplan (Kap. 3.3.5). Für ein Zertifikat ist die Standard-Absicherung die Grundlage, die Kern-Absicherung grundsätzlich möglich, die Basis-Absicherung allein reicht nicht (Kap. 11).

Das in 200-2 beschriebene Nachweisverfahren ist die Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz. Prüfgrundlage sind ISO/IEC 27001, die BSI-Standards 200-x und das Kompendium. Ein externer, beim BSI zertifizierter Auditor prüft, die Zertifizierungsstelle entscheidet auf Grundlage seines Auditberichts (200-2, Kap. 11). Was das Zertifikat belegt, sagt 200-2 so: Es zeigt, dass „ein funktionierendes IS-Management vorhanden ist“ und dass „zu einem bestimmten Zeitpunkt ein definiertes Sicherheitsniveau erreicht wurde“ (Kap. 11).

Neben dem Zertifikat ist in der Praxis vom Testat die Rede. 200-2 regelt kein Testat. Welche Nachweisformen es gibt, wer sie ausstellt und welche Unterlagen ein Audit braucht, ordnet die Seite zur Zertifizierung.

Als Anlässe für ein Zertifikat nennt 200-2 unter anderem den Nachweis gegenüber Kunden und Partnern und den Anschluss an ein gemeinsames Netz; umgekehrt können Institutionen ein solches Zertifikat von ihren Partnern verlangen (Kap. 1.4, 11).

Für Einrichtungen der Bundesverwaltung verweist § 44 Abs. 1 BSIG auf Mindestanforderungen, die sich aus den BSI-Standards und dem Grundschutzkompendium (IT-Grundschutz) sowie aus den Mindeststandards des Bundes in den jeweils geltenden Fassungen ergeben. Nach § 44 Abs. 2 BSIG ist mit ihrer Umsetzung die Erfüllung der Vorgaben nach § 30 BSIG gewährleistet, soweit kein weitergehender Durchführungsrechtsakt der EU-Kommission nach der NIS-2-Richtlinie greift. Ab wann Grundschutz++ die „jeweils geltende Fassung“ ist, legen die Themenseite des BSI und 300-1 nicht ausdrücklich fest; das prüft die zuständige Stelle der Einrichtung.

Für besonders wichtige und wichtige Einrichtungen außerhalb der Bundesverwaltung schreibt § 30 BSIG kein Rahmenwerk vor. Die Maßnahmen sollen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen. IT-Grundschutz ist dort ein möglicher Weg. Häufig kommt die Anforderung aus Verträgen, etwa wenn ein öffentlicher Auftraggeber einen Grundschutz-Nachweis verlangt. Ob eine Pflicht besteht, ist eine Rechtsfrage zur Prüfung durch Ihre Rechtsabteilung.