IT-Grundschutz: erst das Fundament, dann das Zertifikat
Die BSI-Methodik pragmatisch eingeführt – begleitet von Leuten, die selbst danach zertifiziert sind.
Was IT-Grundschutz leistet
Der IT-Grundschutz des BSI ist eine Vorgehensweise, kein Produkt. Er beantwortet die Frage, die am Anfang jeder Sicherheitsarbeit steht: Wo fangen wir an, und woher wissen wir, dass wir nichts Wesentliches übersehen haben? Statt jede Gefährdung einzeln durchzudenken, vergleichen Sie Ihre Umgebung mit den Bausteinen des IT-Grundschutz-Kompendiums – thematisch geordnete Anforderungen zum Stand der Technik für Geschäftsprozesse, Anwendungen und IT-Systeme.
Das reduziert den Analyseaufwand erheblich. Aus „was könnte alles passieren“ wird ein Abgleich: Welche Anforderungen gelten für uns, welche davon erfüllen wir bereits, und wo klafft eine Lücke? Was übrig bleibt, ist eine belegbare Liste offener Punkte statt eines Bauchgefühls.
Basis-Absicherung: der pragmatische Start
Der BSI-Standard 200-2 kennt drei Einstiege. Für Organisationen, bei denen bisher wenig strukturiert vorhanden ist, ist die Basis-Absicherung der richtige: breiter Grundschutz über die gesamte Organisation, zunächst nur mit den Basis-Anforderungen. Schnell wirksam, ohne dass am Anfang eine Zertifizierung stehen muss.
- Ein erster Schutz gegen die Gefährdungen, die tatsächlich vorkommen – nicht gegen die spektakulären.
- Ein Ausgangspunkt, auf dem Kern- oder Standard-Absicherung später aufbauen können, bis hin zum Zertifikat.
- Schutzbedarfsfeststellung: Sie wissen danach, welche Informationen und Systeme wirklich kritisch sind.
- Ein modularer Aufbau, der sich an Ihre Größe anpasst, statt Sie in ein Konzernkorsett zu zwingen.
Wer zweistufig fährt – erst Basis-Absicherung in der Fläche, später Standard-Absicherung im definierten Geltungsbereich – kommt in der Praxis am weitesten.
Der Sicherheitsprozess in drei Phasen
IT-Grundschutz ist kein Dokumentenprojekt, sondern ein Prozess. Er beginnt nicht in der IT, sondern bei der Leitung.
- 1
Initiierung
Die Leitungsebene stößt den Prozess an, steuert ihn und trägt ihn. Es entsteht die Leitlinie zur Informationssicherheit: Geltungsbereich, Sicherheitsziele, angestrebtes Niveau. Der Informationssicherheitsbeauftragte übernimmt hier die zentrale Rolle – wenn Sie keinen haben, stellen wir ihn.
- 2
Organisation
Eine Struktur, die zur Größe der Institution passt. Wer entscheidet, wer berichtet an wen, welche Wege gibt es zwischen IT, Fachbereichen und Leitung. Klingt nach Bürokratie, verhindert aber genau die, weil Zuständigkeiten nicht mehr im Einzelfall geklärt werden müssen.
- 3
Durchführung
Jetzt entsteht die Sicherheitskonzeption: Modellierung mit den Bausteinen des Kompendiums, Abgleich mit dem, was schon umgesetzt ist, Identifikation der Lücken und Ableitung der Maßnahmen.
Und danach? Aufrechterhalten und verbessern. Prozess, Organisationsstruktur und Maßnahmen werden regelmäßig auf Angemessenheit, Wirksamkeit und Effizienz geprüft. Ein Sicherheitsniveau ist kein Zustand, den man erreicht und abhakt.
Was wir übernehmen, was Sie beisteuern
Bei uns liegt
- Methodik und Moderation: Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check.
- Die Dokumentation, die das Ganze belegbar macht – Leitlinie, Richtlinien, Verfahren, Nachweise.
- Die Einordnung, welche Anforderung bei Ihnen wirklich greift und welche Sie mit vertretbarem Aufwand erfüllen.
Bei Ihnen liegt
- Eine Leitung, die den Prozess trägt. Ohne Rückhalt von oben scheitert IT-Grundschutz zuverlässig.
- Auskunftsfähige Ansprechpartner aus IT und Fachbereichen – wir können Ihre Prozesse nicht von außen kennen.
- Die Entscheidung über den Geltungsbereich. Wir beraten dazu, aber sie gehört Ihnen.
Wir arbeiten remote oder vor Ort, wie mit Ihnen abgesprochen.
Wann Basis-Absicherung reicht – und wann nicht
Die Basis-Absicherung allein ist nicht zertifizierungsfähig. Das ist kein Mangel, sondern eine Frage des Ziels: Wenn Sie Sicherheit wollen, reicht sie. Wenn Sie einen Nachweis gegenüber Auftraggebern, Aufsicht oder Ausschreibungen brauchen, führt der Weg über die Standard-Absicherung zur ISO 27001 auf Basis IT-Grundschutz.
Beides schließt sich nicht aus. Die Basis-Absicherung ist der Ausgangspunkt, von dem aus Sie später aufstocken – mit dem Vorteil, dass Sie in der Zwischenzeit nicht ungeschützt sind.
Wie der Weg zum Zertifikat konkret abläuft haben wir ausführlich beschrieben.
Wir sind den Weg selbst gegangen
Selbst zertifiziert
SECURITYSQUAD ist nach ISO 27001 auf Basis IT-Grundschutz zertifiziert – und zusätzlich nach ISO 9001. Wir begleiten Sie nicht durch ein Verfahren, das wir nur aus der Norm kennen.
Von der Prüferseite
Unsere Beraterinnen und Berater sind als ISO 27001 Lead Auditoren ausgebildet und haben die Ausbildung zum IT-Grundschutz-Praktiker absolviert. Wir wissen, worauf im Audit tatsächlich geschaut wird.
Wir sagen auch ab
Wenn IT-Grundschutz bei Ihnen der falsche Rahmen ist, erfahren Sie das im Erstgespräch und nicht nach dem dritten Workshop.
Häufige Fragen zum IT-Grundschutz
Ist IT-Grundschutz nur etwas für Behörden?
Nein. Die Methodik stammt vom BSI und ist im öffentlichen Bereich verbreitet, aber sie ist nicht darauf beschränkt. Der modulare Aufbau ist gerade für kleinere Organisationen ein Vorteil: Sie setzen die Bausteine ein, die auf Sie zutreffen, und lassen den Rest weg.
Brauchen wir zwingend eine Zertifizierung?
Nein. Eine Zertifizierung brauchen Sie, wenn Sie einen Nachweis nach außen führen müssen – gegenüber Auftraggebern, in Ausschreibungen oder gegenüber einer Aufsicht. Geht es Ihnen um das Sicherheitsniveau selbst, ist die Basis-Absicherung ohne Zertifizierungsziel der ehrlichere und günstigere Weg.
Was ist der Unterschied zu ISO 27001?
Die native ISO 27001 sagt, was ein Managementsystem leisten muss, aber nicht wie. Der IT-Grundschutz liefert die Vorgehensweise und mit dem Kompendium konkrete Anforderungen. Die BSI-Variante der ISO 27001 verbindet beides: dasselbe international anerkannte Zertifikat, erarbeitet auf dem Weg des IT-Grundschutzes.
Wer muss bei uns mitarbeiten?
Eine Person aus der Leitung, die den Prozess verantwortet, jemand aus der IT mit Überblick über Systeme und Netze, und je nach Geltungsbereich Ansprechpartner aus den Fachbereichen. Der Aufwand auf Ihrer Seite ist real, aber planbar – und er sinkt deutlich, wenn der Geltungsbereich sauber abgegrenzt ist.
Was treibt den Aufwand am stärksten?
Der Geltungsbereich. Er ist der größte Hebel überhaupt und der häufigste Grund, warum Projekte kippen. „Die ganze IT“ ist keine Abgrenzung; ein fachlich sinnvoll umrissener Informationsverbund schon. Diese Entscheidung treffen wir im Erstgespräch gemeinsam, bevor irgendjemand ein Angebot schreibt.
Wo stehen Sie gerade?
Ein Erstgespräch klärt in einer halben Stunde, welche Vorgehensweise zu Ihnen passt und wie groß der Geltungsbereich sinnvollerweise ist.
Erstgespräch vereinbaren