Kunde verlangt IT-Grundschutz: Forderung klären und ein begrenztes Vorhaben planen

Eine Grundschutz-Forderung im Vertrag hat beim Auftraggeber einen Grund. Drei Quellen sind in den ausgewerteten Unterlagen belegt. Bundeseinrichtungen müssen nach § 43 Abs. 3 BSIG vertraglich sicherstellen, dass beauftragte Stellen sich zur Einhaltung der Voraussetzungen für die Informationssicherheit verpflichten. Institutionen mit einem ISMS nach Grundschutz++ haben im Anwenderkatalog Anforderungen an ihre Dienstleister, etwa BES.4.7 „ISMS beim Dienstleister“, BES.5.11 „Recht auf Audit“, BES.4.8.3 „IT-Grundschutz-Analyse der Infrastruktur“ oder DLS.3.1.1 „Audit oder Zertifikat“. Und BSI-Standard 200-2 nennt in Kapitel 11 als Motiv für ein Zertifikat, dass Dienstleister damit einen vertrauenswürdigen Nachweis führen möchten, die Maßnahmen gemäß IT-Grundschutz realisiert zu haben.

Fragen Sie deshalb, aus welcher Anforderung im eigenen Regelwerk des Auftraggebers die Vertragsklausel entstanden ist. DLS.3.1.1 zum Beispiel verlangt die Überprüfung anhand eines „Audits, Zertifikates oder vergleichbaren Sicherheitsnachweises“; welche dieser Formen er akzeptiert, legt der Auftraggeber als Parameter fest. Mit der Antwort wissen Sie, welcher Nachweis gemeint ist.

Diese Seite legt keinen Vertrag aus. Wir ordnen die Vorgaben ein, die Sie nennen oder die in Ihren Unterlagen stehen; ob sie rechtlich gelten und was eine Klausel bedeutet, prüft Ihre Rechtsabteilung.

Die Fragen sind so formuliert, dass Sie sie unverändert in eine E-Mail oder ein Abstimmungsprotokoll übernehmen können. Die rechte Spalte zeigt, wozu Sie die Antwort brauchen.

Welche Option passt, hängt von der Antwort auf R-04 ab. Die Tabelle stellt die Optionen nebeneinander, die in den ausgewerteten Quellen vorkommen. Sie trifft keine Aussage dazu, welche Option Ihr Auftraggeber akzeptieren muss.

BSI-Standard 300-1 erlaubt einen schmalen Anwendungsbereich. Er kann „die gesamte Institution oder einen Teilbereich umfassen“ (Kapitel 2.3), der Informationsverbund kann einen Ausschnitt abbilden (Kapitel 3.1), und für die erste Einführung empfiehlt der Standard, mit dem wichtigsten Geschäftsprozess aus der höchsten Schutzbedarfskategorie zu beginnen (Kapitel 2.6). Für ein Unternehmen, dessen Kunde einen Nachweis für eine bestimmte Leistung verlangt, liegt es nahe, genau diese Leistung als ersten Geschäftsprozess zu nehmen. Die betrachteten Geschäftsprozesse müssen dabei vollständig im Anwendungsbereich liegen; ausgeschlossene Bereiche dürfen benannt werden.

Nicht verkleinern lässt sich die Methodik. Die Methodik-Anforderungen gelten nach Kapitel 3.4.1 „für alle Institutionen und sind verpflichtend auf jeden Informationsverbund anzuwenden“, und alle weiteren Anforderungen ohne Zielobjektkategorie sind verpflichtend in das Anforderungspaket aufzunehmen. Im Anwenderkatalog (Build 2026-10-29) sind das nach unserer Zählung 364 von 1.000 Anforderungen, davon 319 auf dem Sicherheitsniveau normal-SdT (139 MUSS, 180 SOLLTE) und 45 auf „erhöht“. Leitlinie, Rollen, Dokumentenlenkung, internes Audit und Managementbewertung gehören damit auch zu einem kleinen Vorhaben. Verkleinern lässt sich die Zahl der Assets und damit die Zahl der Anforderungen mit Zielobjektkategorie.

Ein begrenzter Zuschnitt ist auch ein Zuschnitt des Nachweises. Ein Zertifikat oder Audit gilt für den Verbund, der geprüft wurde. Verlangt später ein zweiter Kunde einen Nachweis für eine andere Leistung, erweitern Sie den Anwendungsbereich um den nächsten Geschäftsprozess; das sieht 300-1 mit der schrittweisen Untersuchung aller Prozesse ohnehin vor.

Die Reihenfolge setzt die Antworten aus dem Rückfragenkatalog voraus. Sie folgt den Prozessschritten aus BSI-Standard 300-1 und endet mit dem vereinbarten Nachweis.