BSI-Grundschutz: Der BSI-Grundschutz ist eine vom Bundesamt für Sicherheit in der Informationstechnik entwickelte Methodik zum Aufbau eines ISMS, die konkrete Bausteine und Umsetzungshinweise anstelle einer abstrakten Risikoanalyse bietet.
Kernstück ist das IT-Grundschutz-Kompendium mit thematisch gegliederten Bausteinen, etwa zu Netzwerken, Servern oder Organisation. Nach einer Schutzbedarfsfeststellung wird jedes Informationsobjekt in eine von vier Kategorien eingestuft – normal, hoch oder sehr hoch –, woraus sich passende, bereits vordefinierte Maßnahmen ableiten lassen. Das unterscheidet den Grundschutz deutlich von ISO 27001, das primär eine eigene, freie Risikoanalyse verlangt.
In der Praxis wird der BSI-Grundschutz vor allem im öffentlichen Sektor und bei bestimmten KRITIS-Betreibern genutzt, während die klassische ISO 27001 international und in der Privatwirtschaft verbreiteter ist. Beide Ansätze lassen sich auch kombinieren: „ISO 27001 auf Basis von IT-Grundschutz“ verbindet die international anerkannte ISO-Zertifikatsstruktur mit der detaillierten BSI-Methodik.
Für Unternehmen, die keine gesetzliche Grundschutz-Pflicht haben, aber von der detaillierten Bausteinstruktur profitieren möchten, bietet sich eine Orientierung an einzelnen Grundschutz-Bausteinen als ergänzende Arbeitshilfe an, ohne eine vollständige, formale Grundschutz-Zertifizierung anzustreben.
Eine vollständige Grundschutz-Zertifizierung erfordert zudem einen erheblich höheren Dokumentationsaufwand als eine klassische ISO-27001-Zertifizierung, da für jeden Baustein einzeln nachgewiesen werden muss.
- Bausteine-Katalog statt freier Risikoanalyse
- Schutzbedarfsfeststellung: normal, hoch, sehr hoch
- Verbreitet vor allem im öffentlichen Sektor und bei KRITIS
- Deutlich höherer Dokumentationsaufwand als bei klassischer ISO-27001-Zertifizierung
Relevanz für die Zertifizierung
Radikale Ehrlichkeit: Ein Zertifikat „ISO 27001 auf Basis von IT-Grundschutz“ wird ausschließlich von BSI-akkreditierten Stellen vergeben – für Behörden oder KRITIS-Betreiber mit expliziter Grundschutz-Pflicht ist eine akkreditierte Stelle nötig. Für Unternehmen, die freiwillig ein ISMS aufbauen wollen, ist die klassische ISO 27001, auch nicht akkreditiert möglich, häufig der pragmatischere und günstigere Weg. Der inhaltliche Ansatz lässt sich auch informell als Ideengeber für die eigene ISO-27001-Umsetzung nutzen, ganz ohne formale Grundschutz-Zertifizierung. Der höhere Dokumentationsaufwand des vollständigen Grundschutzes sollte realistisch gegen den tatsächlichen Bedarf abgewogen werden. Auch für Unternehmen ohne Grundschutz-Pflicht kann ein Blick in einzelne Bausteine wertvolle Anregungen für die eigene ISO-27001-Umsetzung liefern.
Häufige Fragen zu BSI-Grundschutz
Nur wenn eine gesetzliche Grundschutz-Pflicht besteht, etwa bei Behörden oder bestimmten KRITIS-Betreibern: Das Zertifikat ISO 27001 auf Basis von IT-Grundschutz wird ausschließlich von BSI-akkreditierten Stellen vergeben. Für freiwillig eingeführte Informationssicherheit ist die klassische, auch nicht akkreditiert mögliche ISO 27001 meist der pragmatischere Weg.
ISO 27001 verlangt primär eine eigene, freie Risikoanalyse. Der BSI-Grundschutz arbeitet stattdessen mit einem Bausteine-Katalog und vordefinierten Maßnahmen nach einer Schutzbedarfsfeststellung in den Kategorien normal, hoch und sehr hoch. Beide Ansätze lassen sich auch kombinieren, wobei eine reine BSI-Zertifizierung deutlich aufwendiger ist.
Der BSI-Grundschutz wird vor allem im öffentlichen Sektor und bei bestimmten KRITIS-Betreibern eingesetzt, während die klassische ISO 27001 international und in der Privatwirtschaft deutlich verbreiteter ist. Unternehmen ohne gesetzliche Pflicht können sich informell an einzelnen Grundschutz-Bausteinen orientieren, ohne eine formale Zertifizierung anzustreben.