Menü

Kontakt

Wir sind Ihr ServiceNow-Partner für strategische Beratung

BSI-Grundschutz

Bild von Sebastian Leinhos
Sebastian Leinhos

Managing Director

BSI-Grundschutz gibt Organisationen einen klaren Rahmen, um Informationssicherheit planbar aufzubauen und dauerhaft nachzuweisen. Im Fokus stehen Methodik, Standards, Zertifizierung und die Frage, wie sich Anforderungen im laufenden IT-Betrieb praktisch umsetzen lassen.

  • Letztes Update: 25.06.2026
  • 45 Mal aufgerufen.
Inhalt
BSI-Grundschutz – Key Takeaways
Der BSI-Grundschutz ist ein strukturierter Sicherheitsansatz, mit dem Organisationen IT-Systeme, Daten und Prozesse gegen Cyberangriffe, Datenverlust und weitere Bedrohungen absichern.
Mit IT-Grundschutz entsteht eine belastbare Grundlage für IT-Sicherheit, Compliance und ein ISMS, besonders bei sensiblen Daten und geschäftskritischen Prozessen.

Gesundheitswesen, Finanzinstitute, öffentliche Verwaltung, KRITIS-Betreiber und Unternehmen mit sensiblen Daten sind ideale Anwender.

Eine Zertifizierung erfolgt durch Dokumentenprüfung und Vor-Ort-Audit, gilt in der Regel drei Jahre und wird durch jährliche Kontrollaudits begleitet.

Was ist der BSI-Grundschutz?

Der BSI-Grundschutz ist ein praxisnaher Rahmen für Informationssicherheit. Er zeigt Unternehmen und Behörden, welche Maßnahmen nötig sind, um IT-Systeme, Daten und Prozesse systematisch abzusichern.

Sebastian Leinhos
Entwickelt wurde der IT-Grundschutz vom Bundesamt für Sicherheit in der Informationstechnik (BSI). Der Ansatz geht bewusst über reine Technik hinaus. Auch Organisation, Räume, Mitarbeiter, Prozesse und Dokumentation gehören dazu. So wird der Grundschutz praktischer als viele rein technische Sicherheitskonzepte.

Die praktische Grundlage bildet das IT-Grundschutz-Kompendium. Es umfasst 113 Bausteine in 10 Themenbereichen und beschreibt passende Anforderungen, Gefährdungen und Sicherheitsmaßnahmen zur Absicherung von IT-Systemen. Damit wird der Grundschutz zu einer belastbaren Basis für IT-Sicherheit, Compliance, IT-Transformation und ein Informationssicherheits-Managementsystem (ISMS).

IT-Transformation erfolgreich gestalten!

Modernisiere Deine IT-Landschaft, digitalisiere Prozesse und schaffe die technologische Grundlage für nachhaltiges Wachstum und Innovation.
👉 Jetzt unverbindlich beraten lassen
IT-Transformation

Für wen ist der IT-Grundschutz in der IT-Sicherheit relevant?

Der IT-Grundschutz ist relevant für Unternehmen, die Informationssicherheit strukturiert aufbauen oder nachweisen müssen. Besonders wichtig wird er, wenn Ausfälle, Datenverlust oder Sicherheitsvorfälle direkte Folgen für Betrieb, Kunden oder gesetzliche Pflichten haben.

Genutzt wird der IT-Grundschutz von:

  • Behörden und öffentliche Verwaltung: Sie brauchen klare Standards, nachvollziehbare Maßnahmen und belastbare Dokumentation für rechtliche Compliance.

  • KRITIS-Betreiber: Unternehmen aus Energie, Wasser, Gesundheit, Transport, Finanzen oder IT müssen ihre Systeme wirksam gegen Bedrohungen absichern. Aber auch das Gesundheitswesen und Finanzinstitute profitieren als Hauptzielgruppe von klaren IT-Grundschutz-Maßnahmen.

  • Unternehmen im NIS2-Umfeld: Der Grundschutz hilft, Verantwortlichkeiten, Anforderungen und IT-Sicherheitsmaßnahmen sauber zu ordnen.

  • Zulieferer und B2B-Dienstleister: Viele Kunden erwarten heute belastbare Nachweise zur Informationssicherheit. Hier passt auch Third-Party-Risk-Management.

  • Organisationen mit ISO-27001-Zielen: Wer ein ISO-27001-Zertifikat anstrebt, kann den IT-Grundschutz als methodische Grundlage nutzen.

IT-Grundschutz-Methodik: Wie funktioniert BSI-Grundschutz in der Praxis?

Die IT-Grundschutz-Methodik macht aus dem BSI-Grundschutz ein konkretes Vorgehen. Unternehmen bewerten zuerst ihren Schutzbedarf, leiten anschließend passende Maßnahmen aus dem IT-Grundschutz-Kompendium ab und prüfen die Umsetzung im laufenden Betrieb.

Die methodische Grundlage liefert der BSI-Standard 200-2. Er beschreibt, wie eine Organisation ihren Informationsverbund analysiert, IT-Systeme einordnet und Sicherheitsanforderungen strukturiert umsetzt.

Schutzbedarf feststellen

Am Anfang steht die Bestandsaufnahme. Unternehmen müssen wissen, welche IT-Systeme, Anwendungen, Daten und Prozesse für den Betrieb wirklich wichtig sind.

Bewertet wird der Schutzbedarf entlang der drei Grundwerte der IT-Sicherheit:

  • Vertraulichkeit: Sensible Informationen dürfen nur für berechtigte Personen sichtbar sein.

  • Integrität: Daten und Systeme müssen korrekt, vollständig und unverändert bleiben.

  • Verfügbarkeit: Wichtige Anwendungen und Prozesse müssen zuverlässig funktionieren.

Aus dieser Bewertung entsteht eine Einstufung in normal, hoch oder sehr hoch. Genau diese Einordnung entscheidet, wie umfangreich die späteren Sicherheitsmaßnahmen ausfallen müssen.

Sicherheitsmaßnahmen aus dem IT-Grundschutz-Kompendium ableiten

Nach dem Schutzbedarf folgt die Modellierung. Für Server, Netzwerke, Anwendungen, Räume oder organisatorische Prozesse gibt es passende IT-Grundschutz-Bausteine. Sie beschreiben typische Gefährdungen, Anforderungen und Maßnahmen.

Bei normalem Schutzbedarf reicht die Standard-Absicherung häufig aus. Bei hohem oder sehr hohem Schutzbedarf braucht es zusätzlich eine Risikoanalyse. Dann wird geprüft, welche besonderen Risiken bestehen und welche Maßnahmen über den Grundschutz hinaus nötig sind.

Umsetzung planen, prüfen und verbessern

Ein Sicherheitskonzept wirkt erst, wenn es im Alltag umgesetzt und geprüft wird.

Typische Schritte sind:

  • IT-Grundschutz-Check durchführen: Der Soll-Ist-Vergleich zeigt, welche Anforderungen bereits erfüllt sind und wo noch Lücken bestehen.

  • Maßnahmen priorisieren: Kritische Themen werden zuerst bearbeitet, damit verfügbare Ressourcen dort wirken, wo das Risiko am größten ist.

  • Verantwortlichkeiten festlegen: Jede Maßnahme braucht eine klare Zuständigkeit, eine Frist, eine Dokumentation und eine enge Abstimmung zwischen IT-Teams und Stakeholdern.

  • Wirksamkeit prüfen: Audits, Kontrollen und kontinuierliches IT-Monitoring zeigen, ob die Sicherheitsmaßnahmen im Betrieb greifen.

  • Erkenntnisse zurückführen: Sicherheitsvorfälle aus dem Incident-Management werden Bestandteil der kontinuierlichen Verbesserung im Informationssicherheits-Managementsystem.

BSI-Standards: 200-1, 200-2 und 200-3 im Überblick

Die BSI-Standards 200-1, 200-2 und 200-3 geben dem IT-Grundschutz seine methodische Struktur. Sie klären, wie Informationssicherheit organisiert wird, wie die Umsetzung des IT-Grundschutzes abläuft und wann eine zusätzliche Risikoanalyse nötig ist.

BSI-Standard 200-1: Managementsysteme für Informationssicherheit

Der BSI-Standard 200-1 beschreibt, wie ein ISMS aufgebaut sein sollte. Im Kern geht es um klare Verantwortung, verbindliche Sicherheitsziele und eine Leitungsebene, die Informationssicherheit aktiv trägt. Auf organisatorischer Seite legen Unternehmen fest, wer entscheidet, wer umsetzt und wie Anforderungen dokumentiert werden. Der Standard ist kompatibel mit ISO 27001 und erleichtert damit auch den Weg zu einer späteren Zertifizierung.

BSI-Standard 200-2: IT-Grundschutz-Methodik

Der BSI-Standard 200-2 ist der praktische Leitfaden für den Einstieg und die Umsetzung. Er beschreibt, wie Unternehmen den IT-Grundschutz anwenden und welches Absicherungsniveau zum eigenen Ziel passt.

Drei Wege sind besonders wichtig:

  • Basis-Absicherung: schneller Einstieg für elementaren Schutz.

  • Kern-Absicherung: Fokus auf geschäftskritische Prozesse und Systeme.

  • Standard-Absicherung: vollständige Umsetzung als Grundlage für ein höheres Sicherheitsniveau und eine mögliche Zertifizierung. Die Standard-Absicherung bietet umfassenden Schutz für Informationssysteme.

Ein Unternehmen kann klein anfangen, wichtige Bereiche zuerst absichern und dann das Sicherheitsniveau schrittweise erhöhen. Die Basis-Absicherung kann nur durch ein Testat des BSI bestätigt werden.

BSI-Standard 200-3: Risikoanalyse auf Basis von IT-Grundschutz

Der BSI-Standard 200-3 greift, wenn die normalen Anforderungen aus dem IT-Grundschutz-Kompendium nicht ausreichen. Das ist vor allem bei Systemen mit hohem oder sehr hohem Schutzbedarf relevant. Dann reicht ein allgemeiner Maßnahmenkatalog nicht mehr.

Die Organisation muss genauer prüfen, welche Bedrohungen bestehen, wie wahrscheinlich sie sind und welche Schäden entstehen könnten. Daraus werden zusätzliche Maßnahmen für den konkreten Fall abgeleitet. Die Risikoanalyse verbindet Standardanforderungen mit dem echten Risiko im Betrieb und lässt sich gut mit Integrated Risk Management (IRM) verknüpfen.

BSI-Grundschutz, ISO 27001 und ISO-27001-Zertifikat

BSI-Grundschutz und ISO 27001 verfolgen dasselbe Ziel: Informationssicherheit soll nachvollziehbar organisiert, geprüft und verbessert werden. Der Unterschied liegt im Weg dorthin. ISO 27001 arbeitet stärker risikobasiert und international, der BSI-Grundschutz liefert detailliertere Vorgaben für konkrete Sicherheitsmaßnahmen.

Kriterium

ISO 27001

BSI-Grundschutz

Sicherheitsansatz

Risikobasierter Top-down-Ansatz mit hoher Flexibilität bei der Umsetzung

Maßnahmenorientierter Bottom-up-Ansatz mit konkreten Anforderungen

Praxisbezug

Unternehmen definieren viele Methoden und Vorgehensweisen selbst

Das BSI stellt detaillierte Empfehlungen, Bausteine und Standard-Anforderungen zur Verfügung

Relevanz

International anerkannter Sicherheitsstandard für globale Kunden, Lieferketten und Audits

Besonders relevant im DACH-Raum, bei Behörden, KRITIS und regulierten Institutionen

Aufwand

Mehr Freiheit bei der Ausgestaltung, dafür stärkere eigene Risikoarbeit

Mehr Struktur und konkrete Vorgaben, dafür höherer Aufwand bei Dokumentation und Prüfung

Zertifizierung

Ein ISO-27001-Zertifikat bestätigt ein funktionierendes ISMS

Ein Zertifikat auf Basis von IT-Grundschutz belegt zusätzlich die Umsetzung konkreter technischer und organisatorischer Maßnahmen

In der Praxis schließen sich beide Ansätze nicht aus. Viele Organisationen nutzen den BSI-Grundschutz als Fundament, um Sicherheitsmaßnahmen sauber aufzubauen und den Schutz ihrer IT nachvollziehbar zu dokumentieren. Der ISO-Standard 27001 hilft zusätzlich, das ISMS international anschlussfähig zu machen.

Die größten Herausforderungen bei der Umsetzung

Manuelle Dokumentation: Viele Organisationen pflegen Bausteine, Maßnahmen und Nachweise noch in Excel. Das kostet Zeit, erzeugt Medienbrüche und erhöht die Fehlerquote.

Dynamische IT-Infrastrukturen: Cloud, agile Änderungen und laufende Digitalisierung verändern Systeme oft schneller, als Dokumente aktualisiert werden können.

Unklare Datenbasis: Für eine belastbare IT-Grundschutz-Analyse müssen Assets, Abhängigkeiten, Schutzbedarf und technische Nachweise zusammenpassen.

Ressourcenmangel im Betrieb: Administratoren und Sicherheitsverantwortliche können nicht dauerhaft manuelle Prüfberichte, Kontrollen und Nachweise neben dem Tagesgeschäft pflegen.

Verteilte Nachweise: Inhalte für Audits liegen häufig in verschiedenen Tools, E-Mails, Tickets oder Logfiles. Spätestens im Audit kostet das Zeit, Nerven und oft auch Nacharbeit.

Mit ServiceNow BSI-Grundschutz operativ steuerbar machen

ServiceNow hilft dabei, den BSI-Grundschutz vom statischen Nachweis in einen laufenden Prozess zu überführen. Anforderungen, Risiken, Maßnahmen und Nachweise werden enger mit dem operativen IT-Betrieb verbunden. Bei der Plattformauswahl sollten Schnittstellen, CMDB, Workflows und prüffähige Sicherheitsanforderungen bereits im Request for Information (RFI) und Request for Proposal (RFP) abgefragt werden.

Über die Configuration Management Database und IT Operations Management (ITOM) entsteht eine aktuelle Sicht auf Systeme, Services und Abhängigkeiten. Integrated Risk Management unterstützt dabei, Risiken zu bewerten, Kontrollen zuzuordnen und Maßnahmen nachvollziehbar zu verfolgen.

Auch technische Nachweise lassen sich besser einbinden. Vulnerability Management, Patch-Management und Incident Management liefern operative Daten, die für Prüfungen und Audits relevant sind. So wird die Umsetzung des BSI-Grundschutzes transparenter, automatisierbarer und besser steuerbar.

Der Nutzen liegt vor allem in der Automatisierung. ServiceNow ersetzt den BSI-Grundschutz nicht, macht seine Umsetzung aber kontrollierbarer. Aus einzelnen Prüfungen, Tabellen und Nachweisen entsteht ein laufender Prozess, der Auditfähigkeit, IT-Sicherheit und Betrieb stärker zusammenführt.

Häufige Fragen und Antworten

Ist BSI-Grundschutz verpflichtend?

Für Bundesbehörden ist der BSI-Grundschutz verpflichtend. Betreiber kritischer Infrastrukturen nutzen ihn häufig als anerkannten Nachweis für den geforderten Stand der Technik. Für viele weitere Unternehmen wird strukturiertes Sicherheitsmanagement durch NIS2 zur wichtigen Voraussetzung. Der Grundschutz bietet dafür eine anerkannte und praxisnahe Möglichkeit zur Umsetzung.

Das Bundesamt für Sicherheit in der Informationstechnik ist die zentrale Cybersicherheitsbehörde in Deutschland. Das BSI entwickelt Standards wie das IT-Grundschutz-Kompendium, warnt vor Sicherheitslücken und unterstützt Organisationen bei Aktivitäten rund um Schutz, Prävention und Zertifizierung.

ISO 27001 ist ein internationaler Standard, der beschreibt, was ein Managementsystem für Informationssicherheit leisten muss. Der IT-Grundschutz ist stärker praxisorientiert und konkretisiert mit Bausteinen, Anforderungen und Maßnahmen die Umsetzung technischer, organisatorischer und personeller Aspekte.

 

Hast Du noch Fragen?

Wir helfen Dir gerne weiter! Kontaktiere uns und erfahre, wie Du Deine IT-Transformation effizient vorantreiben kannst.
👉 Jetzt Beratung anfordern!