Der IT-Grundschutz ist eine vom BSI entwickelte Methodik, um das notwendige Sicherheitsniveau für IT-Systeme strukturiert zu erreichen. Er beschreibt Standard-Sicherheitsanforderungen für typische Geschäftsprozesse, Anwendungen und IT-Systeme.

BSI-Standards

Standard	Inhalt
200-1	Anforderungen an ein ISMS (Managementsystem für Informationssicherheit), kompatibel zu ISO 27001
200-2	IT-Grundschutz-Methodik: Vorgehen zum Aufbau eines ISMS
200-3	Risikoanalyse auf der Basis von IT-Grundschutz
200-4	Business Continuity Management (Notfallmanagement)

Das Kompendium

Das Herzstück ist das IT-Grundschutz-Kompendium (aktuell Edition 2023). Seine Bausteine sind in zehn Schichten gegliedert:

Art	Schichten
Prozess-Bausteine	ISMS (Sicherheitsmanagement), ORP (Organisation und Personal), CON (Konzepte und Vorgehensweisen), OPS (Betrieb), DER (Detektion und Reaktion)
System-Bausteine	APP (Anwendungen), SYS (IT-Systeme), IND (Industrielle IT), NET (Netze und Kommunikation), INF (Infrastruktur)

Jeder Baustein beschreibt:

Gefährdungslage: Was kann passieren?
Anforderungen: Was muss getan werden? Die Kennzeichnung hinter dem Titel zeigt die Stufe: (B) Basis-Anforderung, (S) Standard-Anforderung, (H) Anforderung bei erhöhtem Schutzbedarf.

Beispiel: ORP.4.A8 Regelung des Passwortgebrauchs (B) ist Anforderung 8 im Baustein ORP.4 Identitäts- und Berechtigungsmanagement der Schicht ORP, und zwar eine Basis-Anforderung. ORP.4.A21 Mehr-Faktor-Authentisierung (H) gilt dagegen nur bei erhöhtem Schutzbedarf. Die Modalverben MUSS und DARF NICHT kennzeichnen verbindliche Anforderungen, SOLLTE und SOLLTE NICHT Empfehlungen, von denen nur mit Begründung abgewichen wird.

Das Kompendium hat 2018 die früheren Gefährdungs- und Maßnahmenkataloge abgelöst.

Vorgehensweise

Strukturanalyse: Erhebung aller IT-Systeme und Anwendungen.
Schutzbedarfsfeststellung: Schutzbedarf je Grundwert (Vertraulichkeit, Integrität, Verfügbarkeit) für Geschäftsprozesse und Informationen bestimmen (Normal, Hoch, Sehr hoch) und auf Anwendungen, IT-Systeme, Räume und Verbindungen übertragen.
Modellierung: Auswahl der methodischen Bausteine.
IT-Grundschutz-Check: Soll-Ist-Vergleich der Anforderungen (früher Basis-Sicherheitscheck).
Risikoanalyse (BSI-Standard 200-3): Nötig für Zielobjekte mit hohem oder sehr hohem Schutzbedarf, für Objekte ohne passenden Baustein und für Einsatzszenarien, die der IT-Grundschutz nicht vorsieht.
Umsetzung (Realisierung): Fehlende Maßnahmen nach Kosten, Aufwand und Reihenfolge planen, Verantwortliche festlegen, umsetzen und danach regelmäßig überprüfen.

Vorgehensweisen (BSI-Standard 200-2)

Vorgehensweise	Ziel
Basis-Absicherung	Einstieg: breite, grundlegende Erst-Absicherung aller Geschäftsprozesse, geeignet für kleinere Institutionen am Anfang
Kern-Absicherung	Einstieg: zuerst nur die besonders wichtigen Prozesse und Werte ("Kronjuwelen") absichern
Standard-Absicherung	Vom BSI empfohlenes Ziel: umfassender Schutz aller Bereiche, Grundlage für eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz