BSI IT-Grundschutz: Aufbau, Bausteine und der Weg zur Zertifizierung
3. August 2026 · von Pentevo
BSI IT-Grundschutz: Aufbau, Bausteine und der Weg zur Zertifizierung
IT-Grundschutz ist das methodische Rahmenwerk des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur Absicherung von Informationsverbünden. Es kombiniert ein ISMS-Modell (BSI-Standard 200-1), eine Umsetzungsmethodik (BSI-Standard 200-2), Risikoanalyse (BSI-Standard 200-3) und BCM (BSI-Standard 200-4) mit einem Katalog aus über 100 konkreten Bausteinen im IT-Grundschutz-Kompendium.
IT-Grundschutz ist in Deutschland mehr als ein Best-Practice-Framework — für Bundesbehörden ist die Umsetzung verpflichtend, und viele KRITIS-Betreiber sowie mittelständische Unternehmen nutzen es als Basis für ihre Informationssicherheit. Dieser Artikel erklärt den Aufbau, die Vorgehensweisen und den Weg zur Zertifizierung.
Die BSI-Standards 200-x: Was jeder Standard regelt
Das BSI hat seine Sicherheitsstandards 2017 grundlegend überarbeitet und die veralteten BSI-Standards 100-x durch die moderne 200-x-Reihe ersetzt. Jeder Standard hat eine klar abgegrenzte Funktion.
| BSI-Standard | Titel | Inhalt | Primäre Zielgruppe |
|---|---|---|---|
| 200-1 | Managementsysteme für Informationssicherheit (ISMS) | Anforderungen an ein ISMS, kompatibel mit ISO/IEC 27001 | CISO, Sicherheitsverantwortliche |
| 200-2 | IT-Grundschutz-Methodik | Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check | Sicherheitsbeauftragte, Berater |
| 200-3 | Risikoanalyse auf der Basis von IT-Grundschutz | Ergänzende Risikoanalyse für Objekte mit erhöhtem Schutzbedarf | Sicherheitsarchitekten, Risikomanager |
| 200-4 | Business Continuity Management (BCM) | BCM-System nach BSI, kompatibel mit ISO 22301 | BCM-Manager, IT-Leiter |
BSI-Standard 200-1 liefert das konzeptionelle Fundament: Er beschreibt, was ein ISMS können muss, ohne die konkrete Umsetzung vorzuschreiben. Die Kompatibilität mit ISO/IEC 27001 erlaubt eine spätere Zertifizierung auf beiden Wegen.
BSI-Standard 200-2 ist das Herzstück für Praktiker. Er beschreibt die drei Vorgehensweisen (Basis-, Standard- und Kern-Absicherung) und die Methodik von der Strukturanalyse bis zum IT-Grundschutz-Check im Detail. Wer IT-Grundschutz umsetzt, arbeitet täglich mit diesem Dokument.
BSI-Standard 200-3 greift dann, wenn der Standard-Schutzbedarf nicht ausreicht. Für Systeme mit HOHEM oder SEHR HOHEM Schutzbedarf ergänzt eine formale Risikoanalyse die Bausteine des Kompendiums — die Methodik folgt ISO 31000, ist aber auf IT-Grundschutz abgestimmt.
BSI-Standard 200-4 (veröffentlicht 2023) behandelt Business Continuity Management und ersetzt den bisherigen BSI-Standard 100-4. Er integriert BCM als eigenständige Disziplin mit klaren Phasen: Initiierung, Konzeption, Übung, Aufrechterhaltung.
Das IT-Grundschutz-Kompendium: Bausteine und Schichten
Das IT-Grundschutz-Kompendium (aktuelle Edition: 2023) enthält über 100 Bausteine, gegliedert in zehn thematische Schichten. Jeder Baustein beschreibt eine Klasse von IT-Systemen, Anwendungen oder Prozessen und definiert für diese konkrete Sicherheitsanforderungen.
Die zehn Schichten
| Schicht | Kürzel | Beispielbausteine |
|---|---|---|
| ISMS | ISMS | ISMS.1 Sicherheitsmanagement |
| Organisation und Personal | ORP | ORP.1 Organisation, ORP.2 Personal, ORP.3 Sensibilisierung |
| Konzeption und Vorgehensweise | CON | CON.1 Kryptokonzept, CON.8 Softwareentwicklung |
| Betrieb | OPS | OPS.1.1.2 Ordnungsgemäße IT-Administration, OPS.2.2 Cloud-Nutzung |
| Detektion und Reaktion | DER | DER.1 Detektion, DER.2 Incident Management, DER.4 BCM |
| Anwendungen | APP | APP.1.1 Office-Produkte, APP.3.2 Webserver, APP.5.2 Microsoft Exchange |
| IT-Systeme | SYS | SYS.1.1 Server, SYS.2.1 Clients, SYS.3.2 Smartphones |
| Industrielle IT | IND | IND.1 Betriebs- und Steuerungstechnik, IND.2 ICS |
| Netze und Kommunikation | NET | NET.1.1 Netzarchitektur, NET.3.2 Firewall |
| Infrastruktur | INF | INF.1 Allgemeines Gebäude, INF.2 Rechenzentrum |
Anforderungsniveaus: BASIS, STANDARD, ERHÖHTER SCHUTZBEDARF
Jeder Baustein gliedert seine Anforderungen in drei Niveaus:
- BASIS: Mindestanforderungen, die jede Organisation erfüllen sollte — unabhängig von Schutzbedarf und Ressourcen. Basis-Absicherung setzt ausschließlich diese Anforderungen um.
- STANDARD: Anforderungen für normalen Schutzbedarf. Standard-Absicherung setzt BASIS- und STANDARD-Anforderungen vollständig um — dies ist der Pfad zur Zertifizierung.
- ERHÖHTER SCHUTZBEDARF: Zusätzliche Maßnahmen für Systeme, bei denen ein Sicherheitsvorfall existenzbedrohende oder weitreichende gesellschaftliche Folgen hätte. Diese Anforderungen werden ergänzend durch BSI-Standard 200-3 abgesichert.
Drei Vorgehensweisen: Basis-, Standard- und Kern-Absicherung
BSI-Standard 200-2 definiert drei Wege, die sich in Tiefe, Aufwand und Ziel unterscheiden.
| Vorgehensweise | Anforderungsniveau | Typische Zielgruppe | Zertifizierungsfähig? |
|---|---|---|---|
| Basis-Absicherung | BASIS-Anforderungen aller relevanten Bausteine | KMU, Einsteiger ohne ISMS | Nein |
| Standard-Absicherung | BASIS + STANDARD aller relevanten Bausteine | Behörden, mittelständische Unternehmen, KRITIS | Ja (ISO 27001 auf Basis IT-Grundschutz) |
| Kern-Absicherung | BASIS + STANDARD für ausgewählte Kern-Assets | Organisationen mit klar abgegrenzten Kronjuwelen | Eingeschränkt (Scope-Einschränkung) |
Basis-Absicherung eignet sich für Organisationen, die noch kein strukturiertes Sicherheitsprogramm haben und schnell ein vertretbares Grundniveau erreichen wollen. Der Aufwand ist überschaubar, der Schutz aber nicht ausreichend für kritische Prozesse.
Standard-Absicherung ist der Königsweg. Sie erzeugt den vollständigen Informationsverbund, bewertet den Schutzbedarf aller Objekte und modelliert alle zutreffenden Bausteine vollständig. Nur dieser Weg führt zur ISO-27001-Zertifizierung auf Basis IT-Grundschutz.
Kern-Absicherung fokussiert auf die kritischsten Geschäftsprozesse und die zugehörigen Assets — die sogenannten Kronjuwelen. Sie eignet sich für Organisationen, die ressourcenbedingt nicht den gesamten Informationsverbund absichern können, aber für bestimmte Bereiche maximale Sicherheit brauchen. Der Informationsverbund wird dabei bewusst eng abgegrenzt.
Umsetzung: Die vier Phasen nach BSI-Standard 200-2
Die Methodik der Standard-Absicherung folgt einem definierten Prozess.
1. Strukturanalyse
Ziel ist die vollständige Erfassung des Informationsverbunds: Geschäftsprozesse, Anwendungen, IT-Systeme (Server, Clients, Netzkomponenten), Räume und Kommunikationsverbindungen. Die Strukturanalyse erzeugt einen Netzplan und eine tabellarische Übersicht aller Zielobjekte. Ohne vollständige Strukturanalyse ist jede nachfolgende Bewertung unzuverlässig — dies ist der häufigste Schwachpunkt in Audits.
2. Schutzbedarfsfeststellung
Für jeden Geschäftsprozess und jedes IT-System wird der Schutzbedarf hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit bewertet. Das BSI empfiehlt drei Stufen: NORMAL, HOCH, SEHR HOCH. Das Vererbungsprinzip gilt: Ein IT-System erbt den höchsten Schutzbedarf aller Anwendungen, die es betreibt. Maximalwertprinzip und Verteilungseffekt sind bei der Feststellung zu berücksichtigen und müssen nachvollziehbar dokumentiert werden.
3. Modellierung
Auf Basis der Strukturanalyse werden alle Zielobjekte den passenden Bausteinen des IT-Grundschutz-Kompendiums zugeordnet. Die Modellierung folgt den Hinweisen zur Schichtenreihenfolge: Übergreifende Bausteine (ISMS, ORP, CON) zuerst, dann systemspezifische. Für jeden zugeordneten Baustein entsteht eine Aufgabe: die Umsetzung seiner Anforderungen prüfen und nachweisen.
4. IT-Grundschutz-Check
Der IT-Grundschutz-Check ist die Soll-Ist-Analyse: Für jede Anforderung jedes modellierten Bausteins wird festgestellt, ob sie vollständig umgesetzt, teilweise umgesetzt, nicht umgesetzt oder nicht zutreffend ist. Das Ergebnis ist eine priorisierte Liste offener Maßnahmen. Dieser Check ist gleichzeitig die Grundlage für das Zertifizierungsaudit.
Zertifizierung: IS-Revisionierung vs. ISO 27001 auf Basis IT-Grundschutz
Es gibt zwei formale Wege, den Reifegrad der IT-Grundschutz-Umsetzung extern bestätigen zu lassen.
IS-Revisionierung
Die IS-Revisionierung ist eine strukturierte Überprüfung durch einen BSI-zertifizierten IS-Revisor. Sie führt zu einem Revisionsbericht, aber zu keinem öffentlich anerkannten Zertifikat. Viele Organisationen nutzen sie als Vorstufe zum Zertifizierungsaudit: Sie zeigt Lücken auf, ohne das Reputationsrisiko eines gescheiterten Zertifizierungsversuchs.
ISO 27001 auf Basis IT-Grundschutz
Dies ist das offizielle Zertifikat. Der Unterschied zu einer reinen ISO-27001-Zertifizierung: Neben den ISMS-Anforderungen der Norm müssen alle STANDARD-Anforderungen der zutreffenden Bausteine vollständig umgesetzt sein. Das Audit wird von einer akkreditierten Zertifizierungsstelle durchgeführt, die BSI-zertifizierte Auditoren einsetzt.
Zertifizierungsverfahren im Überblick:
- Antrag bei einer akkreditierten Zertifizierungsstelle
- Dokumentenprüfung (ISMS-Dokumentation, Sicherheitskonzept, IT-Grundschutz-Check)
- Vor-Ort-Audit durch BSI-zertifizierten Auditor
- Erteilung oder Ablehnung des Zertifikats
- Überwachungsaudit nach 18 Monaten
- Rezertifizierung nach drei Jahren
Das Zertifikat umfasst immer einen klar definierten Geltungsbereich (Scope) — Organisationen mit komplexen Informationsverbünden können den Scope initial eng halten und sukzessive erweitern.
IT-Grundschutz als NIS2-Nachweis: Welche Bausteine decken Art. 21 ab?
Die NIS2-Richtlinie (in Deutschland umgesetzt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG) verpflichtet wesentliche und wichtige Einrichtungen in Art. 21 zu einem umfassenden Maßnahmenkatalog. IT-Grundschutz deckt einen erheblichen Teil dieser Anforderungen ab — aber nicht alle, und die Zuordnung muss explizit dokumentiert werden.
| NIS2 Art. 21 Anforderung | Relevante IT-Grundschutz-Bausteine |
|---|---|
| Risikoanalyse und Sicherheitskonzepte | ISMS.1, BSI-Standard 200-2/-3 |
| Incident-Erkennung und -Bewältigung | DER.1 (Detektion), DER.2.1 (Incident Management) |
| Business Continuity Management | DER.4 (BCM), BSI-Standard 200-4 |
| Lieferkettensicherheit | OPS.2.3 (Outsourcing), APP.6 (Allgemeine Software) |
| Sicherheit beim Erwerb und Betrieb | CON.8 (Softwareentwicklung), OPS.1.1.2 |
| Kryptografie und Verschlüsselung | CON.1 (Kryptokonzept) |
| Sicherheit des Personals | ORP.2 (Personal), ORP.3 (Sensibilisierung) |
| Zugriffskontrolle und Authentifizierung | ORP.4, APP.2.1 (LDAP), NET.1.2 (VPN) |
Wichtiger Hinweis: IT-Grundschutz erfüllt Art. 21 NIS2 nicht automatisch vollständig. Insbesondere die Meldepflichten (Art. 23 NIS2, umgesetzt in §30 NIS2UmsuCG), die Registrierungspflicht nach §33 NIS2UmsuCG und die Haftung der Geschäftsleitung sind eigenständige Anforderungen, die über das ISMS hinausgehen. Betroffene Einrichtungen sollten eine explizite Gap-Analyse durchführen.
Eine IT-Grundschutz-Zertifizierung kann gegenüber der Aufsichtsbehörde als Nachweis angemessener technischer und organisatorischer Maßnahmen dienen — sie ersetzt aber nicht die Betroffenheitsprüfung und die formalen Meldeprozesse.
Weiterführend: NIS2 Compliance Hub und KRITIS-Anforderungen im Überblick.
Häufige Fehler und was BSI-Prüfer tatsächlich prüfen
Die Erfahrung aus Audits zeigt wiederkehrende Muster bei Umsetzungsfehlern.
Fehler 1: Unvollständige Strukturanalyse
Prüfer überprüfen die Vollständigkeit systematisch: Sie vergleichen den Netzplan mit dem tatsächlichen Betrieb, befragen Administratoren und gleichen dokumentierte Systeme mit aktiven Netzwerkadressen ab. Fehlende Systeme im Informationsverbund sind ein schwerwiegender Befund.
Fehler 2: Nicht nachvollziehbare Schutzbedarfsfeststellung
"NORMAL" als Schutzbedarf für alle Systeme ohne Begründung ist ein Warnsignal. Prüfer erwarten, dass die Bewertung auf konkreten Schadenszenarien basiert und das Maximalwertprinzip korrekt angewendet wurde. Insbesondere bei Verfügbarkeit müssen Ausfallzeiten und Folgeschäden begründet werden.
Fehler 3: Modellierungslücken
Bausteine, die für einen Zielgegenstand zwingend anzuwenden wären, aber fehlen — z.B. kein NET.3.2 (Firewall) trotz vorhandener Firewall-Systeme. Prüfer arbeiten die Modellierung systematisch gegen die Strukturanalyse ab.
Fehler 4: IT-Grundschutz-Check ohne Nachweise
Der Check muss nachweisbar sein: Gesprächsnotizen, Konfigurationsprotokolle, Screenshots, Richtliniendokumente. Eine Eigenauskunft "umgesetzt" ohne Beleg reicht für das Zertifizierungsaudit nicht aus.
Fehler 5: Veraltete Dokumentation
Das Sicherheitskonzept spiegelt den Stand vor zwei Jahren wider — inzwischen wurden neue Systeme eingeführt, Prozesse geändert, Personal gewechselt. Prüfer achten auf das Aktualitätsdatum und befragen zu jüngsten Änderungen. Ein lebendiges ISMS-Dokumentensystem ist keine Kür, sondern Pflicht.
Was Prüfer besonders beachten
- Schnittstellen nach außen: Cloud-Dienste, Outsourcing und externe Dienstleister sind typische Lücken. OPS.2.2 (Cloud-Nutzung) und OPS.2.3 (Outsourcing) werden intensiv geprüft.
- Privileged Access Management: OPS.1.1.2 (IT-Administration) und die Umsetzung des Least-Privilege-Prinzips.
- Patch-Management: SYS.1.1 und die tatsächlichen Patching-Zyklen in der Praxis.
- Sensibilisierungsmaßnahmen: ORP.3 fordert regelmäßige und nachweisbare Awareness-Maßnahmen — nicht ein einmaliges E-Learning vor drei Jahren.
Nächste Schritte und weiterführende Themen
IT-Grundschutz ist kein Projekt mit Anfang und Ende, sondern ein kontinuierlicher Prozess. Nach der Erstzertifizierung folgen Überwachungsaudits (nach 18 Monaten) und Rezertifizierungen (nach drei Jahren). Das Kompendium wird jährlich aktualisiert — neue Bausteine müssen für den Informationsverbund bewertet werden.
Wer mit IT-Grundschutz beginnt, sollte folgende Reihenfolge einhalten:
- Beauftragung eines Informationssicherheitsbeauftragten (ISB) — Voraussetzung für ISMS.1
- Geltungsbereich (Scope) festlegen
- Strukturanalyse durchführen und dokumentieren
- Schutzbedarfsfeststellung für alle Objekte
- Modellierung nach IT-Grundschutz-Kompendium
- IT-Grundschutz-Check durchführen
- Maßnahmen priorisieren und umsetzen
- IS-Revisionierung als Generalprobe
- Zertifizierungsaudit beantragen
Weiterführende Artikel: ISMS aufbauen: Grundlagen und Vorgehen — NIS2 Compliance Hub — KRITIS-Schutz: Anforderungen und Umsetzung
Häufig gestellte Fragen
Was ist BSI IT-Grundschutz?
BSI IT-Grundschutz ist ein vom Bundesamt für Sicherheit in der Informationstechnik entwickeltes Rahmenwerk, das Organisationen eine methodische Vorgehensweise zur Absicherung von IT-Systemen bietet. Es besteht aus den BSI-Standards 200-1 bis 200-4 und dem IT-Grundschutz-Kompendium mit über 100 Bausteinen, die konkrete Sicherheitsanforderungen auf drei Niveaus (BASIS, STANDARD, ERHÖHTER SCHUTZBEDARF) definieren.
Was ist der Unterschied zwischen BSI-Standard 200-1 und 200-2?
BSI-Standard 200-1 beschreibt, was ein ISMS leisten muss und ist kompatibel mit ISO/IEC 27001. BSI-Standard 200-2 erklärt das Wie: die konkrete IT-Grundschutz-Methodik mit Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und IT-Grundschutz-Check. Beide Standards ergänzen sich; 200-2 ist die praktische Umsetzungsanleitung.
Für wen ist die Basis-Absicherung geeignet?
Die Basis-Absicherung ist der empfohlene Einstieg für KMU und Einsteiger ohne vorhandenes ISMS. Sie setzt nur die BASIS-Anforderungen aller relevanten Bausteine um, bietet aber keinen vollständigen Schutz für kritische Infrastrukturen. Behörden und KRITIS-Betreiber sollten direkt mit der Standard-Absicherung oder Kern-Absicherung beginnen.
Was prüfen BSI-Auditoren bei der ISO 27001 auf Basis IT-Grundschutz?
BSI-zertifizierte Auditoren prüfen die Vollständigkeit der Strukturanalyse (alle Zielobjekte erfasst?), die Plausibilität der Schutzbedarfsfeststellung, die korrekte Modellierung nach Kompendium sowie die Umsetzung aller STANDARD-Anforderungen der zutreffenden Bausteine. Besonderes Augenmerk gilt der Nachvollziehbarkeit von Abweichungen und dem IT-Grundschutz-Check-Protokoll.
Wie hängt IT-Grundschutz mit NIS2 zusammen?
Die NIS2-Richtlinie fordert in Art. 21 technische und organisatorische Maßnahmen wie Risikoanalyse, Incident Response, BCM und Lieferkettensicherheit. Wer IT-Grundschutz nach Standard-Absicherung umsetzt, deckt den überwiegenden Teil dieser Anforderungen über die entsprechenden Bausteine ab — beispielsweise DER.2 (Incident Management), OPS.1.1.6 (Datenschutz) und DER.4 (BCM). Eine vollständige Gleichsetzung ist aber nicht möglich; eine Betroffenheitsprüfung nach NIS2-UmsuCG ist separat erforderlich.
Was kostet eine BSI-Grundschutz-Zertifizierung?
Die Zertifizierungskosten setzen sich aus Auditorenkosten (tagesbasiert, typischerweise 1.500–2.500 Euro pro Tag), BSI-Zertifizierungsgebühren und internem Vorbereitungsaufwand zusammen. Der Gesamtaufwand ist stark vom Scope abhängig. Kleine Informationsverbünde können mit 30.000–80.000 Euro Gesamtkosten für den ersten Zertifizierungszyklus rechnen; für große Behörden oder KRITIS-Betreiber liegen die Kosten deutlich höher. Diese Angaben sind Orientierungswerte, keine verbindlichen Zahlen.
Wie oft wird das IT-Grundschutz-Kompendium aktualisiert?
Das BSI aktualisiert das IT-Grundschutz-Kompendium in der Regel jährlich. Die aktuelle Edition ist 2023. Änderungen betreffen häufig neue Bausteine (z.B. für Cloud-Dienste oder industrielle Steuerungssysteme) sowie die Überarbeitung bestehender Anforderungen. Zertifizierte Organisationen müssen prüfen, ob neue Bausteine für ihren Informationsverbund relevant werden.
Was ist der Unterschied zwischen IS-Revisionierung und ISO 27001 auf Basis IT-Grundschutz?
Die IS-Revisionierung ist eine interne Überprüfung des Sicherheitsniveaus durch BSI-zertifizierte IS-Revisoren — sie führt zu keinem öffentlich anerkannten Zertifikat. Die ISO 27001 auf Basis IT-Grundschutz ist ein offizielles Zertifikat, das durch eine akkreditierte Zertifizierungsstelle ausgestellt wird und externe Glaubwürdigkeit erzeugt. Viele Organisationen beginnen mit einer IS-Revisionierung als Vorstufe zum Zertifizierungsaudit.
Weiterführende Artikel
KRITIS-Dachgesetz: Was Betreiber kritischer Infrastruktur jetzt wissen müssen
Das KRITIS-Dachgesetz ist am 06. Dezember 2025 in Kraft getreten und verpflichtet Betreiber kritischer Anlagen zur physischen Resilienz. Sektoren, Pflichten, Fristen und Bußgelder im Überblick.
complianceNIS2 Anforderungen: Die 10 Sicherheitsmaßnahmen nach Art. 21 NIS2 im Detail
Art. 21 NIS2 verpflichtet wesentliche und wichtige Einrichtungen zu zehn konkreten Sicherheitsmaßnahmen. Dieser Leitfaden erklärt jede Maßnahme, zeigt BSI IT-Grundschutz-Bausteine und nennt, was Auditoren erwarten.
complianceNIS2 Checkliste: Bin ich betroffen — und was muss ich jetzt tun?
Die vollständige NIS2 Checkliste für Deutschland: Betroffenheitsprüfung, BSI-Registrierung über MEROS, Lückenanalyse nach Art. 21 und ein konkreter 30/90/180-Tage-Umsetzungsplan.
complianceNIS2-Richtlinie: Anforderungen, Fristen und Umsetzung in Deutschland
Was die NIS2-Richtlinie konkret von deutschen Unternehmen verlangt: Betroffenheitsprüfung, Maßnahmenkatalog nach Art. 21, Meldepflichten, Registrierung beim BSI und Bußgeldrahmen — strukturiert für Praktiker.
Praktisch anwenden
Die Pentevo Academy macht aus diesen Konzepten geführte Lektionen, Videos und Quizze — kostenlos.
Kostenlos lernen