Der BSI-Standard 200-2 beschreibt drei Vorgehensweisen zur Umsetzung des IT-Grundschutzes: die Basis-Absicherung, die Standard-Absicherung und die Kern-Absicherung. Sie unterscheiden sich in Umfang und Tiefe, stellen jedoch keine drei Zertifizierungsstufen dar.<\/p>\n
Die Basis-Absicherung kann unabh\u00e4ngig gepr\u00fcft und mit einem Testat best\u00e4tigt werden. Die Standard- und die Kern-Absicherung k\u00f6nnen eine Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz tragen, sofern die Anforderungen des BSI-Zertifizierungsverfahrens erf\u00fcllt sind. Dieser Leitfaden erl\u00e4utert die Unterschiede und zeigt, wie sich die passende Vorgehensweise ausw\u00e4hlen l\u00e4sst.<\/p>\n
Der IT-Grundschutz ist die Methodik des Bundesamts f\u00fcr Sicherheit in der Informationstechnik (BSI) samt begleitender Hilfestellungen, um Informationssicherheit aufzubauen und aufrechtzuerhalten. Er umfasst organisatorische, personelle, bauliche und technische Ma\u00dfnahmen und reicht damit \u00fcber die Endpunktsicherheit<\/a> hinaus.<\/p>\n Der BSI-Standard 200-1 legt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) fest. Der Standard 200-2 erl\u00e4utert die Methodik der Implementierung, der Standard 200-3 behandelt die Risikoanalyse und der Standard 200-4 das Gesch\u00e4ftskontinuit\u00e4ts-Management. Das IT-Grundschutz-Kompendium liefert Bausteine, die Sicherheitsanforderungen enthalten.<\/p>\n Ein Informationsverbund ist der festgelegte Bereich, der betrachtet wird, einschlie\u00dflich seiner Prozesse, Informationen, Personen, Systeme und unterst\u00fctzenden Infrastruktur. Er kann das gesamte Unternehmen oder einen klar abgegrenzten Teil umfassen. Der Geltungsbereich ist entscheidend, wenn beschrieben wird, was ein Testat oder Zertifikat tats\u00e4chlich abdeckt.<\/p>\nDie drei Ans\u00e4tze im \u00dcberblick<\/h2>\n
Ansatz<\/strong><\/td>\n| Geltungsbereich und Zweck<\/strong><\/td>\n | Voraussetzungen<\/strong><\/td>\n | Externe Anerkennung<\/strong><\/td>\n<\/tr>\n | Basis-Absicherung<\/td>\n | Breite Grundabsicherung \u00fcber den festgelegten Informationsverbund<\/td>\n | Anwendbare Basis-Anforderungen<\/td>\n | Testat eines vom BSI zertifizierten IT-Grundschutz-Auditors; allein auf dieser Grundlage kein ISO-27001-Zertifikat<\/td>\n<\/tr>\n | Standard-Absicherung<\/td>\n | Umfassender Schutz \u00fcber den gesamten festgelegten Informationsverbund<\/td>\n | Anwendbare Basis- und Standard-Anforderungen, erg\u00e4nzt um zus\u00e4tzliche Ma\u00dfnahmen, soweit die Risikoanalyse sie erfordert<\/td>\n | ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz ist m\u00f6glich<\/td>\n<\/tr>\n | Kern-Absicherung<\/td>\n | Vorrangiger Schutz besonders kritischer Prozesse und Werte, einschlie\u00dflich ihrer Abh\u00e4ngigkeiten<\/td>\n | Anwendbare Basis- und Standard-Anforderungen, erg\u00e4nzt um zus\u00e4tzliche Ma\u00dfnahmen auf Basis der Risikoanalyse<\/td>\n | ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz ist f\u00fcr den festgelegten Geltungsbereich m\u00f6glich<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n | Quellen:<\/strong> Hinweise des BSI zu Methodik, Zertifizierung, Testat und Anforderungen<\/p>\n Die Basis-Absicherung bietet eine erste Grundlage, indem die anwendbaren Basis-Anforderungen \u00fcber den ausgew\u00e4hlten Informationsverbund hinweg umgesetzt werden. Sie eignet sich, wenn ein Unternehmen zun\u00e4chst grundlegende L\u00fccken schlie\u00dfen muss, bevor es einen umfassenderen Ansatz verfolgt. Planen Sie, wie Sie je nach Sicherheitsbedarf und verf\u00fcgbaren Ressourcen zur Standard- oder Kern-Absicherung weiterkommen.<\/p>\n Ein Testat zur Basis-Absicherung ist nach einer Dokumentenpr\u00fcfung und einer Vor-Ort-Pr\u00fcfung erh\u00e4ltlich. Es wird von einem vom BSI zertifizierten IT-Grundschutz-Auditor nach dem BSI-Pr\u00fcfschema ausgestellt. Die Zertifizierungsstelle des BSI stellt das Testat nicht aus. Die Basis-Absicherung allein berechtigt nicht zu einer ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz.<\/p>\n Die Standard-Absicherung sch\u00fctzt den ausgew\u00e4hlten Informationsverbund umfassend. Sie umfasst einen strukturierten Sicherheitsprozess, die Feststellung des Schutzbedarfs, die Auswahl der anwendbaren Bausteine des Kompendiums, einen IT-Grundschutz-Check sowie bei Bedarf eine Risikoanalyse. Dabei werden sowohl die Basis- als auch die Standard-Anforderungen ber\u00fccksichtigt.<\/p>\n Der Geltungsbereich kann das gesamte Unternehmen oder einen klar abgegrenzten Teil umfassen. Ein Zertifikat f\u00fcr einen Informationsverbund darf nicht als Beleg daf\u00fcr herangezogen werden, dass jeder Service, jeder Standort oder jede Gesch\u00e4ftseinheit zertifiziert ist.<\/p>\n Die Kern-Absicherung stellt die Informationen und Prozesse in den Vordergrund, die f\u00fcr das Unternehmen am wichtigsten sind. Einzubeziehen sind die Personen, Systeme, Infrastrukturen und externen Abh\u00e4ngigkeiten, die zum Schutz dieser Prozesse erforderlich sind. Ein kleinerer Geltungsbereich kann ebenfalls erheblichen Aufwand bedeuten.<\/p>\n Die Kern-Absicherung umfasst die anwendbaren Basis- und Standard-Anforderungen, wobei die Risikoanalyse zus\u00e4tzliche Ma\u00dfnahmen bestimmt. Sie stellt nicht automatisch eine h\u00f6here Reifegradstufe als die Standard-Absicherung dar. Ihr Merkmal ist vielmehr der konzentrierte Geltungsbereich, der kritischen Werten Vorrang einr\u00e4umt.<\/p>\n Sowohl bei der Standard- als auch bei der Kern-Absicherung setzt die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz ein Audit durch einen vom BSI zertifizierten ISO-27001-Auditor f\u00fcr IT-Grundschutz voraus. Der Auditbericht wird beim BSI eingereicht, das ihn pr\u00fcft und die Zertifizierungsentscheidung trifft. Die Anwendung der Methodik oder das Bestehen einer internen Bewertung f\u00fchrt f\u00fcr sich genommen noch nicht zur Zertifizierung.<\/p>\n Kl\u00e4ren Sie vor der Terminierung des Audits, welche Auditgrundlage, welcher Geltungsbereich, welche Nachweise und welches Antragsverfahren ma\u00dfgeblich sind. Pr\u00fcfen Sie dar\u00fcber hinaus, ob ein Kunde oder eine Ausschreibung eine herk\u00f6mmliche Zertifizierung nach ISO\/IEC 27001 oder ausdr\u00fccklich eine ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz verlangt.<\/p>\n Verstehen Sie die folgenden Szenarien als Planungsbeispiele und nicht als Sch\u00e4tzungen von Kosten oder Dauer.<\/p>\n W\u00e4hlen Sie die Vorgehensweise anhand des Schutzbedarfs, der bestehenden Ma\u00dfnahmen, der verf\u00fcgbaren Ressourcen und der Sicherheit, die Kunden oder andere Interessengruppen erwarten. Weder die Basis- noch die Kern-Absicherung ist eine verpflichtende Vorstufe der Standard-Absicherung.<\/p>\n NinjaOne kann interne IT-Teams und MSPs bei Endpunkttransparenz, Patch-Bereitstellung, Monitoring und automatisierten IT-Aufgaben unterst\u00fctzen. Damit lassen sich ausgew\u00e4hlte operative Ma\u00dfnahmen umsetzen und Nachweise f\u00fcr Pr\u00fcfungen in verteilten Umgebungen f\u00fchren. Ordnen Sie die genutzten Funktionen Ihrem Sicherheitskonzept und den Systemen im Geltungsbereich zu.<\/p>\n |