Während ISO 27001 beschreibt, was ein Managementsystem leisten muss, liefert der IT-Grundschutz zusätzlich konkrete Anforderungen für typische Systeme und Abläufe. Er ist vor allem in der deutschen öffentlichen Verwaltung und bei Unternehmen mit Bezug zum Bund verbreitet.
Die BSI-Standards
Standard 200-1 beschreibt das Managementsystem für Informationssicherheit, 200-2 die Methodik des IT-Grundschutzes, 200-3 die Risikoanalyse und 200-4 das Business Continuity Management. Zusammen bilden sie das methodische Gerüst.
Kompendium und Bausteine
Das IT-Grundschutz-Kompendium enthält Bausteine etwa für Server, Clients, Netze, Cloud-Nutzung, Organisation und Personal. Jeder Baustein beschreibt Gefährdungen und Anforderungen, die je nach Schutzbedarf umgesetzt werden.
Drei Vorgehensweisen
Die Basis-Absicherung ist ein Einstieg mit den wichtigsten Anforderungen, die Kern-Absicherung schützt besonders kritische Bereiche, die Standard-Absicherung deckt die ganze Organisation ab. Auf Grundlage der Standard-Absicherung ist eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz möglich.
Bedeutung für NIS2
Für Einrichtungen nach dem deutschen NIS2-Umsetzungsgesetz ist IT-Grundschutz eine anerkannte Möglichkeit, das geforderte Risikomanagement strukturiert umzusetzen, aber nicht die einzige. Welche Methode passt, hängt von Kunden und Branche ab; mehr dazu in unserem Angebot zum ISMS-Aufbau.