BSI IT-Grundschutz Beratung: vom Informationsverbund zum prüffähigen Sicherheitskonzept.

ISO 27001 ist eine internationale Norm, die vorgibt, was ein ISMS leisten muss, aber offen lässt, wie. IT-Grundschutz ist die deutsche Methodik des BSI, die das Wie konkret beschreibt: mit den BSI-Standards 200-1 bis 200-4 und dem IT-Grundschutz-Kompendium, das für jeden Baustein konkrete Anforderungen vorgibt. Ein Zertifikat „ISO 27001 auf Basis von IT-Grundschutz“ vereint beides und wird vom BSI vergeben; Behörden und viele öffentliche Auftraggeber verlangen genau dieses.

Die Basis-Absicherung setzt zuerst die grundlegenden Anforderungen in der Breite um und eignet sich für den Einstieg. Die Kern-Absicherung konzentriert sich auf wenige besonders schützenswerte Prozesse und Systeme. Die Standard-Absicherung ist das vollständige Vorgehen und Voraussetzung für die Zertifizierung. Welche passt, hängt von Schutzbedarf, Zeithorizont und Zertifizierungsziel ab.

Für die Bundesverwaltung über den UP Bund, für viele Landesbehörden und Kommunen über Landesvorgaben, und mittelbar für deren Dienstleister und Auftragnehmer, wenn Ausschreibungen ein Sicherheitskonzept nach IT-Grundschutz oder ein BSI-Zertifikat fordern. Betreiber kritischer Anlagen können ihre Nachweispflicht nach BSIG über IT-Grundschutz erfüllen. Im Defense-Umfeld ist die Methodik Standard.

Grundschutz++ ist die Nachfolge des IT-Grundschutz-Kompendiums: eine prozessorientierte Methodik mit maschinenlesbaren Anforderungen in der Stand-der-Technik-Bibliothek des BSI. Die Methodik wird am 27. Oktober 2026 veröffentlicht; ab 1. Januar 2027 kann eine Zertifizierung „ISO 27001 auf Basis von Grundschutz++“ beantragt werden. Der klassische IT-Grundschutz bleibt bis zum 30. November 2031 zertifizierbar, bestehende Zertifikate und Sicherheitskonzepte gelten weiter.

Nur eingeschränkt. Plattformen wie Vanta bilden ISO 27001, SOC 2 oder TISAX gut ab, aber nicht die Bausteinlogik, Modellierung und Schutzbedarfsvererbung des Grundschutzes. Für IT-Grundschutz-Check und Sicherheitskonzept arbeiten wir deshalb mit eigener Methodik und Grundschutz-tauglichen Werkzeugen; die Plattform kann daneben für die internationalen Rahmenwerke laufen.

Für einen überschaubaren Informationsverbund dauern Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und IT-Grundschutz-Check typischerweise drei bis sechs Monate; die Umsetzung der Maßnahmen und die Audit-Vorbereitung kommen hinzu. Entscheidend sind Größe des Verbunds, vorhandene Dokumentation und Verfügbarkeit der Verantwortlichen.

Ja. Wir bereiten die Referenzdokumente A.0 bis A.6 vor, führen die interne Prüfung durch, begleiten das Audit durch den vom BSI zertifizierten Auditor und unterstützen bei der Nacharbeit. Das Zertifikat selbst vergibt das BSI auf Basis des Auditberichts.