Der BSI-Standard 200-2 beschreibt drei Vorgehensweisen zur Umsetzung des IT-Grundschutzes: die Basis-Absicherung, die Standard-Absicherung und die Kern-Absicherung. Sie unterscheiden sich in Umfang und Tiefe, stellen jedoch keine drei Zertifizierungsstufen dar.
Die Basis-Absicherung kann unabhängig geprüft und mit einem Testat bestätigt werden. Die Standard- und die Kern-Absicherung können eine Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz tragen, sofern die Anforderungen des BSI-Zertifizierungsverfahrens erfüllt sind. Dieser Leitfaden erläutert die Unterschiede und zeigt, wie sich die passende Vorgehensweise auswählen lässt.
Was der BSI-IT-Grundschutz abdeckt
Der IT-Grundschutz ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI) samt begleitender Hilfestellungen, um Informationssicherheit aufzubauen und aufrechtzuerhalten. Er umfasst organisatorische, personelle, bauliche und technische Maßnahmen und reicht damit über die Endpunktsicherheit hinaus.
Der BSI-Standard 200-1 legt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) fest. Der Standard 200-2 erläutert die Methodik der Implementierung, der Standard 200-3 behandelt die Risikoanalyse und der Standard 200-4 das Geschäftskontinuitäts-Management. Das IT-Grundschutz-Kompendium liefert Bausteine, die Sicherheitsanforderungen enthalten.
Ein Informationsverbund ist der festgelegte Bereich, der betrachtet wird, einschließlich seiner Prozesse, Informationen, Personen, Systeme und unterstützenden Infrastruktur. Er kann das gesamte Unternehmen oder einen klar abgegrenzten Teil umfassen. Der Geltungsbereich ist entscheidend, wenn beschrieben wird, was ein Testat oder Zertifikat tatsächlich abdeckt.
Die drei Ansätze im Überblick
| Ansatz | Geltungsbereich und Zweck | Voraussetzungen | Externe Anerkennung |
| Basis-Absicherung | Breite Grundabsicherung über den festgelegten Informationsverbund | Anwendbare Basis-Anforderungen | Testat eines vom BSI zertifizierten IT-Grundschutz-Auditors; allein auf dieser Grundlage kein ISO-27001-Zertifikat |
| Standard-Absicherung | Umfassender Schutz über den gesamten festgelegten Informationsverbund | Anwendbare Basis- und Standard-Anforderungen, ergänzt um zusätzliche Maßnahmen, soweit die Risikoanalyse sie erfordert | ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz ist möglich |
| Kern-Absicherung | Vorrangiger Schutz besonders kritischer Prozesse und Werte, einschließlich ihrer Abhängigkeiten | Anwendbare Basis- und Standard-Anforderungen, ergänzt um zusätzliche Maßnahmen auf Basis der Risikoanalyse | ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz ist für den festgelegten Geltungsbereich möglich |
Quellen: Hinweise des BSI zu Methodik, Zertifizierung, Testat und Anforderungen
Basis-Absicherung
Die Basis-Absicherung bietet eine erste Grundlage, indem die anwendbaren Basis-Anforderungen über den ausgewählten Informationsverbund hinweg umgesetzt werden. Sie eignet sich, wenn ein Unternehmen zunächst grundlegende Lücken schließen muss, bevor es einen umfassenderen Ansatz verfolgt. Planen Sie, wie Sie je nach Sicherheitsbedarf und verfügbaren Ressourcen zur Standard- oder Kern-Absicherung weiterkommen.
Ein Testat zur Basis-Absicherung ist nach einer Dokumentenprüfung und einer Vor-Ort-Prüfung erhältlich. Es wird von einem vom BSI zertifizierten IT-Grundschutz-Auditor nach dem BSI-Prüfschema ausgestellt. Die Zertifizierungsstelle des BSI stellt das Testat nicht aus. Die Basis-Absicherung allein berechtigt nicht zu einer ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz.
Standard-Absicherung
Die Standard-Absicherung schützt den ausgewählten Informationsverbund umfassend. Sie umfasst einen strukturierten Sicherheitsprozess, die Feststellung des Schutzbedarfs, die Auswahl der anwendbaren Bausteine des Kompendiums, einen IT-Grundschutz-Check sowie bei Bedarf eine Risikoanalyse. Dabei werden sowohl die Basis- als auch die Standard-Anforderungen berücksichtigt.
Der Geltungsbereich kann das gesamte Unternehmen oder einen klar abgegrenzten Teil umfassen. Ein Zertifikat für einen Informationsverbund darf nicht als Beleg dafür herangezogen werden, dass jeder Service, jeder Standort oder jede Geschäftseinheit zertifiziert ist.
Kern-Absicherung
Die Kern-Absicherung stellt die Informationen und Prozesse in den Vordergrund, die für das Unternehmen am wichtigsten sind. Einzubeziehen sind die Personen, Systeme, Infrastrukturen und externen Abhängigkeiten, die zum Schutz dieser Prozesse erforderlich sind. Ein kleinerer Geltungsbereich kann ebenfalls erheblichen Aufwand bedeuten.
Die Kern-Absicherung umfasst die anwendbaren Basis- und Standard-Anforderungen, wobei die Risikoanalyse zusätzliche Maßnahmen bestimmt. Sie stellt nicht automatisch eine höhere Reifegradstufe als die Standard-Absicherung dar. Ihr Merkmal ist vielmehr der konzentrierte Geltungsbereich, der kritischen Werten Vorrang einräumt.
So funktioniert die Zertifizierung
Sowohl bei der Standard- als auch bei der Kern-Absicherung setzt die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz ein Audit durch einen vom BSI zertifizierten ISO-27001-Auditor für IT-Grundschutz voraus. Der Auditbericht wird beim BSI eingereicht, das ihn prüft und die Zertifizierungsentscheidung trifft. Die Anwendung der Methodik oder das Bestehen einer internen Bewertung führt für sich genommen noch nicht zur Zertifizierung.
Klären Sie vor der Terminierung des Audits, welche Auditgrundlage, welcher Geltungsbereich, welche Nachweise und welches Antragsverfahren maßgeblich sind. Prüfen Sie darüber hinaus, ob ein Kunde oder eine Ausschreibung eine herkömmliche Zertifizierung nach ISO/IEC 27001 oder ausdrücklich eine ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz verlangt.
So wählen Sie den richtigen Ansatz
Verstehen Sie die folgenden Szenarien als Planungsbeispiele und nicht als Schätzungen von Kosten oder Dauer.
- Grundlage schaffen: Ein Unternehmen mit uneinheitlichen Sicherheitspraktiken beginnt mit der Basis-Absicherung für seinen festgelegten Informationsverbund und plant weitere Verbesserungen ein.
- Umfassende Umsetzung: Ein Unternehmen wünscht sich für seinen festgelegten Geltungsbereich einen vollständigen Sicherheitsprozess, gegebenenfalls einschließlich einer BSI-Zertifizierung, und entscheidet sich für die Standard-Absicherung.
- Kritische Prozesse zuerst schützen: Ein Unternehmen stellt über die Kern-Absicherung zunächst die wesentlichen Dienste in den Vordergrund und legt ausdrücklich fest, wie mit Abhängigkeiten und Risiken außerhalb dieses ersten Geltungsbereichs umgegangen wird.
Wählen Sie die Vorgehensweise anhand des Schutzbedarfs, der bestehenden Maßnahmen, der verfügbaren Ressourcen und der Sicherheit, die Kunden oder andere Interessengruppen erwarten. Weder die Basis- noch die Kern-Absicherung ist eine verpflichtende Vorstufe der Standard-Absicherung.
Checkliste zur operativen Vorbereitung
- Legen Sie die Verantwortung der Leitung, eine verantwortliche Person für Informationssicherheit sowie die Ressourcen für Umsetzung und laufende Überprüfung fest.
- Definieren Sie den Informationsverbund, seine Grenzen, Schnittstellen und den angestrebten Zertifizierungsumfang.
- Ermitteln Sie kritische Informationen und Prozesse und erfassen Sie die unterstützenden Systeme, Anwendungen, Dienste und Verantwortlichen in einem Inventar.
- Wählen Sie die anwendbaren Bausteine des Kompendiums aus und dokumentieren Sie, wie die Anforderungen für die gewählte Vorgehensweise bewertet werden.
- Halten Sie bestehende Maßnahmen, Lücken, Entscheidungen und Aktivitäten mit verantwortlichen Personen und Zielterminen fest.
- Führen Sie bei der Standard- oder Kern-Absicherung die erforderliche Schutzbedarfsfeststellung und die Schritte der Risikoanalyse durch.
- Etablieren Sie wiederholbare Verfahren für Patching, Zugriffsverwaltung, Backup und Wiederherstellungstests sowie die Behebung von Schwachstellen.
- Bewahren Sie Nachweise dafür auf, dass die Maßnahmen dauerhaft wirken, etwa Patch-Aufzeichnungen, Ergebnisse von Wiederherstellungstests, Zugriffsüberprüfungen und Genehmigungen von Ausnahmen.
- Wenn Sie eine externe Anerkennung anstreben, klären Sie das aktuelle Prüfschema und die Nachweisanforderungen mit einem qualifizierten Auditor.
Wie NinjaOne den Endpunktbetrieb unterstützen kann
NinjaOne kann interne IT-Teams und MSPs bei Endpunkttransparenz, Patch-Bereitstellung, Monitoring und automatisierten IT-Aufgaben unterstützen. Damit lassen sich ausgewählte operative Maßnahmen umsetzen und Nachweise für Prüfungen in verteilten Umgebungen führen. Ordnen Sie die genutzten Funktionen Ihrem Sicherheitskonzept und den Systemen im Geltungsbereich zu.
Eine Endpunkt-Management-Plattform deckt nur einen Teil des Sicherheitsprogramms ab. Die Zertifizierung hängt außerdem von Governance, Personal, physischer Sicherheit, Risikoentscheidungen und Nachweisen über den gesamten festgelegten Geltungsbereich ab. Software allein kann eine Zertifizierung weder herbeiführen noch garantieren.
Planung im Hinblick auf die Modernisierung des Grundschutzes
Das BSI entwickelt Grundschutz++ mit einer aktualisierten Methodik und maschinenlesbaren Anforderungen. Dieser Beitrag erläutert die drei Vorgehensweisen des BSI-Standards 200-2. Prüfen Sie bei einem neuen Umsetzungs- oder Zertifizierungsprojekt die aktuellen Hinweise des BSI zu Grundschutz++ und die geltenden Zertifizierungsregeln, bevor Sie Auditgrundlage und Zeitplan festlegen. Gehen Sie nicht davon aus, dass ein vorgeschlagener Übergangstermin ein bestehendes Zertifikat automatisch verlängert.
