BSI IT-Grundschutz zertifizieren: Was Sie wissen müssen

Was IT-Grundschutz ist

IT-Grundschutz ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI), um Informationssicherheit systematisch aufzubauen. Sie besteht aus zwei Teilen:

• Die BSI-Standards beschreiben das Vorgehen: BSI-Standard 200-1 (Managementsysteme für Informationssicherheit), 200-2 (IT-Grundschutz-Methodik), 200-3 (Risikoanalyse auf der Basis von IT-Grundschutz) und 200-4 (Business Continuity Management).
• Das IT-Grundschutz-Kompendium enthält die Bausteine: für typische Komponenten, Prozesse und Anwendungen jeweils Gefährdungen und konkrete Anforderungen, eingeteilt in Basis-, Standard- und Anforderungen bei erhöhtem Schutzbedarf. Die Bausteine sind in zehn Schichten geordnet — von übergreifenden Themen wie ISMS und Organisation bis zu Netzen und Infrastruktur. Aktuell ist die Edition 2023, die seit dem 1. Februar 2023 verfügbar ist.

Der Grundgedanke: Für den Normalfall müssen Sie Risiken nicht einzeln herleiten, sondern setzen die Anforderungen der zutreffenden Bausteine um. Eine eigene Risikoanalyse nach BSI-Standard 200-3 ist nur dort nötig, wo der Schutzbedarf hoch oder sehr hoch ist oder wo kein Baustein passt.

Unterschied zur klassischen ISO-27001-Zertifizierung

Beide Wege führen zu einem Zertifikat, das die Erfüllung der ISO/IEC 27001 bescheinigt. Sie unterscheiden sich darin, wer prüft, woran geprüft wird und wie viel Gestaltungsspielraum Sie haben.

Wichtig für die Außenwirkung: Das BSI-Zertifikat ist ein ISO-27001-Zertifikat. International ist die klassische Zertifizierung über eine akkreditierte Stelle jedoch verbreiteter und wird von ausländischen Kunden eher erwartet; im deutschen öffentlichen Sektor hat das BSI-Zertifikat besonderes Gewicht.

Basis-, Standard- oder Kern-Absicherung

BSI-Standard 200-2 kennt drei Vorgehensweisen, die sich in Umfang und Tiefe unterscheiden:

Für ein Zertifikat brauchen Sie also mindestens die Kern-Absicherung für einen klar abgegrenzten Bereich — im Regelfall die Standard-Absicherung. Die Basis-Absicherung ist als Vorstufe gedacht, aus der sich die Standard-Absicherung entwickeln lässt.

Voraussetzungen für das Zertifikat

Bevor ein Audit sinnvoll ist, muss der Informationsverbund die Methodik des BSI-Standards 200-2 vollständig durchlaufen haben:

1. 01

   Informationsverbund abgrenzen

   Welche Geschäftsprozesse, Anwendungen, IT-Systeme, Räume und Kommunikationsverbindungen gehören dazu? Das ist der Anwendungsbereich des Zertifikats.

2. 02

   Strukturanalyse

   Erfassung aller Zielobjekte des Informationsverbunds und ihrer Abhängigkeiten.

3. 03

   Schutzbedarfsfeststellung

   Für jedes Zielobjekt: normaler, hoher oder sehr hoher Schutzbedarf in Vertraulichkeit, Integrität, Verfügbarkeit — mit Begründung.

4. 04

   Modellierung

   Zuordnung der passenden Bausteine des Kompendiums zu den Zielobjekten. Daraus ergibt sich, welche Anforderungen gelten.

5. 05

   IT-Grundschutz-Check

   Soll-Ist-Vergleich: Welche Anforderungen sind umgesetzt, welche teilweise, welche nicht — jeweils mit Nachweis.

6. 06

   Risikoanalyse nach BSI-Standard 200-3

   Für Zielobjekte mit hohem oder sehr hohem Schutzbedarf und für alles, wofür kein Baustein passt.

7. 07

   Umsetzung und Konsolidierung

   Fehlende Anforderungen umsetzen, Maßnahmen konsolidieren, Nachweise sammeln — und den Betrieb des ISMS nach BSI-Standard 200-1 aufnehmen.

Die dabei entstehenden Referenzdokumente — Sicherheitsleitlinie, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Ergebnisse des IT-Grundschutz-Checks, Risikoanalyse, Realisierungsplan — sind Gegenstand des Audits. Sie müssen aktuell, vollständig und untereinander widerspruchsfrei sein.

Ablauf des Zertifizierungsverfahrens

Das Verfahren folgt dem vom BSI veröffentlichten Zertifizierungsschema und der zugehörigen Prüfgrundlage — beide gelten in ihrer jeweils aktuellen Version. Im Kern:

1. Antrag beim BSI und Beauftragung eines vom BSI zertifizierten ISO 27001-Grundschutz-Auditors. Der Auditor darf den Informationsverbund nicht selbst mit aufgebaut haben.
2. Sichtung der Referenzdokumente durch den Auditor — das Gegenstück zur Stufe 1 der klassischen Zertifizierung.
3. Vor-Ort-Prüfung: Der Auditor prüft stichprobenartig, ob die dokumentierten Anforderungen tatsächlich umgesetzt sind, und befragt Verantwortliche und Mitarbeitende.
4. Auditbericht nach den Vorgaben des BSI, einschließlich Bewertung festgestellter Abweichungen und deren Behebung.
5. Prüfung durch das BSI: Auf Grundlage des Auditberichts entscheidet das BSI über die Erteilung des Zertifikats. Diese zusätzliche Instanz unterscheidet das Verfahren von der klassischen Zertifizierung, bei der die Zertifizierungsstelle selbst entscheidet.
6. Zertifikat mit drei Jahren Gültigkeit, bestätigt durch jährliche Überwachungsaudits; danach Rezertifizierung.

Was Audits im Allgemeinen kosten und wovon die Auditzeit abhängt, erklärt der Ratgeber Was kostet eine ISO-27001-Zertifizierung? — die dortigen Marktangaben beziehen sich auf die klassische Zertifizierung; für das BSI-Verfahren veröffentlicht das BSI keine Kostenangaben, hier zählt das Angebot des Auditors.

Für wen sich der Weg lohnt

Der Weg über IT-Grundschutz passt vor allem, wenn:

• öffentliche Auftraggeber oder Betreiber kritischer Infrastrukturen die Zusammenarbeit an ein BSI-Zertifikat knüpfen oder IT-Grundschutz ausdrücklich verlangen;
• Sie konkrete Vorgaben einer offenen Risikoanalyse vorziehen — die Bausteine sagen, was zu tun ist, statt es Ihnen zu überlassen;
• Ihre Organisation ohnehin in Strukturen des öffentlichen Sektors arbeitet und die Terminologie des BSI dort erwartet wird.

Der klassische Weg passt eher, wenn:

• Sie international tätig sind oder ausländische Kunden das Zertifikat sehen sollen;
• Sie den Aufwand begrenzen möchten — der detaillierte Anforderungskatalog des Kompendiums ist gründlich, aber umfangreich;
• Sie bereits ein risikobasiertes Managementsystem betreiben, etwa nach ISO 9001, und ISO 27001 daran anschließen wollen.

Beide Wege setzen ein funktionierendes ISMS voraus, dessen Anforderungen im Ratgeber Anforderungen der ISO 27001 beschrieben sind. Und beide verlangen dasselbe Handwerk: für jede Anforderung einen Nachweis, für jeden Nachweis eine Zuordnung. Wie das Zertifizierungsverfahren im klassischen Weg Schritt für Schritt abläuft, zeigt der Ratgeber ISO-27001-Zertifizierung: So läuft sie ab.