IT-Grundschutz gibt es seit Jahrzehnten und ist im deutschsprachigen Raum eine der bekanntesten Grundlagen für Informationssicherheit. Der Ansatz: Statt jede Bedrohung einzeln zu analysieren, werden für typische Bausteine wie Server, Clients, E-Mail oder Rechenzentrum bewährte Anforderungen vorgegeben. Eine eigene Risikoanalyse ist nur dort nötig, wo der Schutzbedarf höher ist oder kein Baustein passt.
Woraus besteht IT-Grundschutz?
- BSI-Standard 200-1: Managementsysteme für Informationssicherheit, also Aufbau und Betrieb eines ISMS.
- BSI-Standard 200-2: die IT-Grundschutz-Methodik selbst.
- BSI-Standard 200-3: Risikomanagement für Bereiche mit erhöhtem Schutzbedarf, siehe IT-Risikoanalyse.
- BSI-Standard 200-4: Business Continuity Management.
- IT-Grundschutz-Kompendium: Die Edition 2023 enthält 111 Bausteine mit Anforderungen, gegliedert etwa in Organisation, Betrieb, Anwendungen, Systeme und Netze.
Basis-, Standard- und Kern-Absicherung
Der Standard 200-2 kennt drei Vorgehensweisen. Die Basis-Absicherung ist ein Einstieg, der die wichtigsten Anforderungen breit umsetzt. Die Kern-Absicherung schützt zuerst die besonders wichtigen Geschäftsprozesse und Werte. Die Standard-Absicherung ist das vollständige Vorgehen und laut BSI kompatibel zu einer Zertifizierung nach ISO/IEC 27001. Ein solches ISO-27001-Zertifikat auf Basis von IT-Grundschutz setzt ein Audit durch einen vom BSI anerkannten Auditor voraus und gilt drei Jahre mit jährlichen Überwachungsaudits.
Grundschutz++: die Modernisierung
Das BSI stellt die Methode unter dem Namen Grundschutz++ neu auf: vollständig prozessorientiert und mit einem maschinenlesbaren Regelwerk, das das bisherige Kompendium ablösen soll. Laut BSI-Zeitplan vom Oktober 2026 soll Grundschutz++ am 27. Oktober 2026 veröffentlicht werden und ab 1. Jänner 2027 zertifizierbar sein. Zertifizierungen nach dem bisherigen IT-Grundschutz bleiben bis 30. November 2031 möglich.
Praxis für KMU und Gemeinden in Österreich
IT-Grundschutz ist eine deutsche Methode, wird aber auch in Österreich als praxisnahe Arbeitshilfe genutzt. Für den österreichischen Kontext gibt es zusätzlich das Österreichische Informationssicherheitshandbuch, das A-SIT im Auftrag des Bundeskanzleramts aktualisiert und das sich an der ISO/IEC-27000-Reihe orientiert. Für Kommunen hat das BSI mit WiBA, dem „Weg in die Basis-Absicherung“, Checklisten mit Prüffragen veröffentlicht, die ohne tiefe Methodenkenntnis einen ersten Überblick geben. Österreichische Gemeinden können sie als Orientierung nutzen. Wer unter NIS2 fällt, kann Anforderungen aus dem Kompendium als konkrete Maßnahmen heranziehen; welche Pflichten gelten, klärt der NIS2-Betroffenheitscheck.
Risiken und Grenzen
- Umfang: Die vollständige Standard-Absicherung ist für kleine Organisationen aufwendig. Beginnen Sie mit Basis- oder Kern-Absicherung.
- Übersetzung in den eigenen Betrieb: Bausteine passen nicht immer exakt; Abweichungen müssen begründet werden.
- Übergangsphase: Mit Grundschutz++ ändern sich Aufbau und Werkzeuge. Neue Projekte sollten den Umstieg von Beginn an einplanen.
Bezug zu TOMORIS
EXPERTS Strategie & Beratung übersetzt Ziele, Risiken und Budget in eine priorisierte Roadmap; technische Anforderungen setzt EXPERTS Cyber Security um.