trustspace

Tag: BSI Grundschutz

  • BSI Grundschutz Kompendium 2026: Der Übergang zu IT-Grundschutz++ und die praktische Umsetzung

    BSI Grundschutz Kompendium 2026: Der Übergang zu IT-Grundschutz++ und die praktische Umsetzung

    Das BSI Grundschutz Kompendium ist das zentrale Standardwerk für Informationssicherheit in Deutschland. Herausgegeben vom Bundesamt für Sicherheit in der Informationstechnik (BSI), bietet es Unternehmen, Behörden und Organisationen einen systematischen Rahmen, um ihre IT-Infrastruktur und Informationswerte wirksam zu schützen. Mit dem Stichtag 1. Januar 2026 hat das BSI mit der Einführung von IT-Grundschutz++ den bisher größten Meilenstein seit der Modernisierung 2017 gesetzt und das Kompendium grundlegend digitalisiert und verschlankt.

    Für Unternehmen im DACH-Raum bleibt das BSI IT-Grundschutz Kompendium auch 2026 der Maßstab schlechthin: Es dient als eigenständiges Sicherheitsframework und bildet die Basis für die Zertifizierung nach „ISO 27001 auf der Basis von IT-Grundschutz”. Dieser Artikel erklärt den Aufbau des Kompendiums, die massiven Änderungen durch IT-Grundschutz++ und zeigt, wie Unternehmen das Werk in der aktuellen Übergangsphase in der Praxis nutzen können. Wer die Umstellung fachlich begleiten lassen möchte, findet in unserer BSI IT-Grundschutz Beratung den passenden Einstieg.

    Das Wichtigste in Kürze:

    • Das BSI Grundschutz Kompendium wandelt sich ab 2026 mit IT-Grundschutz++ von einem statischen PDF-Dokument zu einem agilen, prozessorientierten und digitalen Regelwerk (JSON-Format).
    • Die Edition 2024/2025 bleibt in einer mehrjährigen Übergangsphase (bis voraussichtlich 2029) für bestehende Zertifizierungen gültig.
    • IT-Grundschutz++ bringt eine Verschlankung der Anforderungen um bis zu 80 % sowie ein neues, effizienteres Punktesystem für Schutzziele.
    • Unternehmen können das Kompendium weiterhin für die Basis-, Standard- und Kern-Absicherung nutzen, um schrittweise ein angemessenes Schutzniveau zu erreichen.
    • Das Framework lässt sich nahtlos auf die aktuelle ISO 27001:2022 Controls mappen – ideal zur Erfüllung von NIS-2-Vorgaben.

     

    Was ist das BSI Grundschutz Kompendium?

    Das BSI Grundschutz Kompendium ist eine umfassende Sammlung von Sicherheitsanforderungen und Empfehlungen. Es löste 2017 die früheren IT-Grundschutz-Kataloge ab und verfolgt einen modularen, maßnahmenorientierten Ansatz. Das Kompendium bildet zusammen mit den BSI-Standards 200-1 bis 200-4 das Gesamtframework des IT-Grundschutzes.

    Abgrenzung zu den BSI-Standards

    Während die BSI-Standards die methodische Grundlage liefern – also beschreiben, wie ein ISMS aufgebaut wird (BSI-Standard 200-1), wie die IT-Grundschutz-Methodik angewendet wird (BSI-Standard 200-2), wie eine Risikoanalyse durchgeführt wird (BSI-Standard 200-3) und wie Business Continuity Management funktioniert (BSI-Standard 200-4) – enthält das BSI Grundschutz Kompendium die konkreten Sicherheitsanforderungen in Form von Bausteinen.

    Diese Arbeitsteilung bedeutet: Die BSI-Standards sagen Ihnen wie Sie vorgehen, das Kompendium sagt Ihnen was Sie umsetzen müssen.

    Adressaten des Kompendiums

    Das BSI Grundschutz Kompendium richtet sich an ein breites Spektrum von Organisationen:

    • Bundesbehörden: Für sie ist die Anwendung des IT-Grundschutzes verpflichtend.
    • KRITIS-Betreiber & NIS-2-relevante Einrichtungen: Betreiber kritischer und wichtiger Infrastrukturen nutzen den IT-Grundschutz als robusten Nachweis für angemessene Sicherheitsmaßnahmen.
    • Unternehmen: Privatwirtschaftliche Unternehmen jeder Größe profitieren von den konkreten, nun verschlankten Handlungsempfehlungen.
    • Dienstleister: IT-Dienstleister und Berater nutzen das Kompendium als Referenzrahmen für ihre Sicherheitskonzepte.

     

    Aufbau und Struktur des BSI Grundschutz Kompendiums

    Trotz der Transformation zu IT-Grundschutz++ bleibt die systematische Architektur in Form von Bausteinen erhalten, die in thematischen Schichten organisiert sind. Das Herzstück bilden diese Bausteine, die nun jedoch deutlich kompakter und objektorientierter aufgebaut sind. Einen detaillierten Überblick über die einzelnen Bausteine, ihre Schichten und die Umsetzungsreihenfolge bietet unser Leitfaden zu den BSI Bausteinen im Überblick.

    Die 10 Schichten im Überblick

    Die grundlegende Schichten-Struktur adressiert weiterhin die wesentlichen Bereiche der Informationssicherheit:

    Schicht Kürzel Themenbereich Beispiel-Bausteine
    1 ISMS Sicherheitsmanagement ISMS.1 Sicherheitsmanagement
    2 ORP Organisation und Personal ORP.1 Organisation, ORP.4 Identitätsmanagement
    3 CON Konzepte und Vorgehensweisen CON.1 Kryptokonzept, CON.3 Datensicherungskonzept
    4 OPS Betrieb OPS.1.1.3 Patch-Management, OPS.1.2.5 Fernwartung
    5 DER Detektion und Reaktion DER.1 Detektion, DER.2.1 Incident Management
    6 APP Anwendungen APP.1.1 Office-Produkte, APP.5.3 E-Mail/Groupware
    7 SYS IT-Systeme SYS.1.1 Allgemeiner Server, SYS.2.1 Allgemeiner Client
    8 IND Industrielle IT IND.1 Prozessleit- und Automatisierungstechnik
    9 NET Netze und Kommunikation NET.1.1 Netzarchitektur, NET.3.2 Firewall
    10 INF Infrastruktur INF.1 Allgemeines Gebäude, INF.2 Rechenzentrum

    Aufbau eines einzelnen Bausteins (Neues Format)

    Mit der Umstellung auf IT-Grundschutz++ im Jahr 2026 hat sich der Aufbau innerhalb der Bausteine deutlich verschlankt:

    • Objektorientierte Beschreibung: Klare Definition des Gegenstands ohne redundante Begleittexte.
    • Zielsetzung & Neues Punktesystem: Welches Schutzziel wird verfolgt? Das neue Punktesystem für Vertraulichkeit, Integrität und Verfügbarkeit löst hierbei veraltete, starre Kategorien ab.
    • Gefährdungslage: Stark gestraffte Typisierung von Bedrohungen.
    • Anforderungen: Die konkreten Sicherheitsanforderungen (Basis, Standard, Erhöhter Schutzbedarf) wurden massiv reduziert (teilweise um bis zu 80 %), um die Umsetzbarkeit in der Praxis zu beschleunigen.
    • Digitale Kreuzreferenzen (JSON): Native, maschinenlesbare Mappings zu den Controls der ISO 27001:2022 und NIS-2-Vorgaben für den Import in ISMS-Tools.

     

    Wichtige Neuerungen 2026: Die Ära von IT-Grundschutz++

    Das BSI hat den Ruf nach mehr Agilität und weniger Bürokratie erhört. Das Jahr 2026 markiert das Ende der rein statischen, jährlichen PDF-Wälzer und den Beginn einer neuen, digitalen Methodik.

    1. “Digital First” und Prozessorientierung

    Das Kompendium wird nun primär als maschinenlesbares Format (JSON) bereitgestellt. Dies ermöglicht eine nahtlose Integration in ISMS- und GRC-Software. Updates können dynamischer ausgerollt werden, und die manuelle Pflege von Excel-Listen entfällt für moderne Unternehmen nahezu vollständig.

    2. Drastische Reduzierung der Anforderungen

    Die wohl wichtigste Neuerung für die Praxis: Das BSI hat die Menge der Einzelanforderungen radikal gekürzt. Durch die Zusammenlegung von Redundanzen und den Fokus auf essenzielle Sicherheitsmaßnahmen sinkt der Implementierungs- und Prüfaufwand erheblich, ohne das Sicherheitsniveau zu kompromittieren.

    3. Die Übergangsphase (2026 – 2029)

    Keine Panik bei laufenden Zertifizierungen: Organisationen, die ihr ISMS auf Basis der Edition 2024 oder 2025 aufgebaut haben, können diese Struktur während der Übergangsphase (bis voraussichtlich 2029) beibehalten und rezertifizieren. Ein methodischer Migrationsplan auf die neue Grundschutz++-Struktur sollte jedoch zeitnah erarbeitet werden.

    4. Stärkere Berücksichtigung aktueller Trends

    • Cloud-Sicherheit & Containerisierung: Vollständig in die neuen digitalen Bausteine integriert.
    • Zero-Trust-Architekturen: Als Standardparadigma in den Netzwerk- und Identitätsbausteinen verankert.
    • KI & Automatisierung: Neue Guidelines zum sicheren Betrieb und Einsatz von KI-gestützten Tools im Unternehmenskontext.

     

    Die drei Vorgehensweisen: Basis-, Standard- und Kern-Absicherung

    Trotz der methodischen Neuerungen bleiben die bewährten Vorgehensweisen des BSI-Standard 200-2 erhalten.

    Basis-Absicherung

    Die Basis-Absicherung ist der schnellste Einstieg. Unternehmen setzen zunächst nur die als „Basis” gekennzeichneten Anforderungen aller relevanten Bausteine um. Ideal für den schnellen Aufbau eines Mindestschutzniveaus.

    Standard-Absicherung

    Die Standard-Absicherung umfasst alle Basis- und Standard-Anforderungen und entspricht dem vom BSI empfohlenen Sicherheitsniveau. Sie ist die Voraussetzung für eine Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz.

    Kern-Absicherung

    Hier steht der Schutz der „Kronjuwelen” im Vordergrund. Anstatt alle Assets gleichmäßig abzusichern, werden die kritischsten Geschäftsprozesse identifiziert und sofort mit dem höchsten Schutzniveau versehen.

     

    Praktische Umsetzung: So nutzen Unternehmen das Kompendium 2026

    Die praktische Anwendung folgt einem bewährten, aber durch digitale Tools nun stark beschleunigten Prozess:

    Phase 1: Strukturanalyse

    Systematische Erfassung der IT-Landschaft. Durch automatisierte Asset-Discovery-Tools lässt sich diese Phase heute deutlich effizienter gestalten als noch vor wenigen Jahren.

    Phase 2: Schutzbedarfsfeststellung

    Ermittlung des Schutzbedarfs. Hier greift künftig das neue, feinere Punktesystem von IT-Grundschutz++, das eine präzisere und realistischere Bewertung von Vertraulichkeit, Integrität und Verfügbarkeit zulässt.

    Phase 3 & 4: Modellierung und IT-Grundschutz-Check

    Zuordnung der (nun digitalen) Bausteine zu den Assets und Durchführung des Soll-Ist-Vergleichs. Die Gap-Analyse zeigt exakt, welche Anforderungen der verschlankten Bausteine noch fehlen.

    Phase 5 & 6: Risikoanalyse und Umsetzung

    Bei erhöhtem Schutzbedarf greift die Risikoanalyse (BSI-Standard 200-3). Anschließend werden Maßnahmen priorisiert, umgesetzt und auditsicher dokumentiert.

     

    TrustSpace Profi-Tipp für die Migration: Die Umstellung auf IT-Grundschutz++ und die Verarbeitung der neuen JSON-basierten Bausteine erfordern leistungsfähige Werkzeuge. TrustSpaceOS ist bereits auf die neue BSI-Methodik vorbereitet. Die Plattform verarbeitet die neuen, agilen Datenformate nativ, unterstützt das aktuelle Punktesystem und bietet automatisierte Migrationspfade von der Edition 2024/2025 auf Grundschutz++. So reduzieren Sie den manuellen Aufwand bei der Umstellung erheblich und bleiben lückenlos zertifizierungsfähig.

     

     

    BSI Grundschutz und ISO 27001: NIS-2 konform werden

    Besonders durch die seit Ende 2024 europaweit verbindliche NIS-2-Richtlinie hat die Kombination aus ISO 27001 und IT-Grundschutz enorm an Bedeutung gewonnen.

    ISO 27001 auf der Basis von IT-Grundschutz

    Diese Zertifizierung vereint das international anerkannte Rahmenwerk der ISO 27001:2022 mit den extrem konkreten (und nun verschlankten) Handlungsanweisungen des BSI. Wie sich die Controls beider Standards konkret zuordnen lassen, zeigt unser Leitfaden zum BSI Grundschutz ISO 27001 Mapping.

    Vorteile der integrierten Umsetzung

    • Vermeidung von Doppelarbeit: Dank der maschinenlesbaren Kreuzreferenzen im IT-Grundschutz++ wird das Mapping auf die 93 Controls der ISO 27001:2022 automatisiert.
    • Regulatorische Sicherheit: Das Kompendium liefert den perfekten “State of the Art” (Stand der Technik) Nachweis, der von Gesetzgebern im Rahmen von NIS-2 oder DORA gefordert wird.
    • Konkrete Umsetzungshilfe: Wo die ISO 27001 abstrakt bleibt (“Sie müssen ein Backup-Konzept haben”), sagt das BSI genau, wie dieses technisch sicher auszugestalten ist.

     

    Häufige Fehler bei der aktuellen Anwendung

    Trotz der Vereinfachungen durch das BSI gibt es Stolpersteine:

    1. Die Migration verschlafen

    Zwar gelten alte Editionen in der Übergangsphase bis 2029 weiter, doch wer neue Projekte noch klassisch auf Papier oder in Excel mit der Edition 2024 startet, baut technische Schulden auf. Nutzen Sie für Neuaufbauten direkt digitale Tools und die neue Methodik.

    2. Unvollständige Strukturanalyse (Stichwort: Cloud & SaaS)

    Moderne IT findet in der Cloud statt. Wer Schatten-IT und SaaS-Lösungen nicht in die Strukturanalyse einbezieht, riskiert massive Compliance-Lücken.

    3. Isolierte Betrachtung von Bausteinen

    Auch die neuen, verschlankten Bausteine haben Abhängigkeiten. Identitätsmanagement (ORP.4) und Netzwerkarchitektur (NET.1.1) müssen beispielsweise ineinandergreifen, um Zero-Trust-Konzepte umzusetzen.

     

    Fazit: Das BSI Grundschutz Kompendium 2026 als Fundament

    Mit der Einführung von IT-Grundschutz++ am 1. Januar 2026 hat das BSI genau den Schritt gemacht, den die Wirtschaft gefordert hat: Weg vom bürokratischen Papiertiger, hin zu einem agilen, maschinenlesbaren und deutlich verschlankten Framework.

    Das BSI Grundschutz Kompendium bietet Unternehmen im DACH-Raum mehr denn je den Vorteil einer perfekten Symbiose aus internationaler ISO 27001-Kompatibilität und extrem konkreten, praktisch anwendbaren Sicherheitsmaßnahmen. Wer die aktuelle Übergangsphase nutzt, um sein ISMS mit modernen Tools zu digitalisieren, schafft ein zukunftssicheres Fundament gegen Cyber-Bedrohungen und für aktuelle Compliance-Anforderungen wie NIS-2.

     

    Sie möchten Ihr ISMS auf das neue IT-Grundschutz++ migrieren oder neu aufbauen? TrustSpace unterstützt Sie bei jedem Schritt: Mit TrustSpaceOS steuern Sie Ihre IT-Grundschutz-Umsetzung zentral, nutzen automatisierte Mappings zur ISO 27001:2022 und verarbeiten die neuen BSI-Datenformate mühelos. Unsere erfahrenen InfoSec-Berater begleiten Sie durch die Umstellungsphase bis zur erfolgreichen ISO 27001 Zertifizierung.

    Jetzt kostenlose Erstberatung vereinbaren

  • BSI Bausteine im Überblick: Aufbau, Umsetzung und Mapping zur ISO 27001

    BSI Bausteine im Überblick: Aufbau, Umsetzung und Mapping zur ISO 27001

    Das BSI IT-Grundschutz Kompendium ist das zentrale Nachschlagewerk für Informationssicherheit in Deutschland. Sein Herzstück bilden die sogenannten BSI Bausteine – modulare Sicherheitsbausteine, die konkrete Anforderungen und Maßnahmen für einzelne Themenbereiche bündeln. Ob Netzwerksicherheit, Patch-Management oder Benutzerauthentifizierung: Für nahezu jedes sicherheitsrelevante Thema existiert ein eigener Baustein mit klar definierten Schutzmaßnahmen. Einen vollständigen Überblick über das aktuelle Regelwerk und die Neuerungen ab 2026 bietet unser Leitfaden zum BSI Grundschutz Kompendium 2026.

    Für Unternehmen im DACH-Raum sind die BSI Grundschutz Bausteine besonders relevant, weil sie nicht nur als eigenständiges Sicherheitsframework dienen, sondern auch als fundierte Grundlage für eine ISO 27001 Zertifizierung genutzt werden können. Dieser Artikel gibt Ihnen einen strukturierten Überblick über den Aufbau des Baustein-Systems, die wichtigsten Bausteine für Unternehmen, die empfohlene Umsetzungsreihenfolge und das Mapping zur ISO 27001.

    Das Wichtigste in Kürze:

    • Das BSI IT-Grundschutz Kompendium organisiert Sicherheitsmaßnahmen in modularen Bausteinen, die in 10 thematische Schichten gegliedert sind.
    • Die 10 Schichten decken Bereiche von Sicherheitsmanagement (ISMS) über Betrieb (OPS) bis hin zu Infrastruktur (INF) ab.
    • Unternehmen sollten mit der Basis-Absicherung beginnen und schrittweise zur Standard-Absicherung übergehen.
    • BSI Grundschutz Bausteine lassen sich direkt auf ISO 27001 Controls mappen – eine Zertifizierung nach „ISO 27001 auf der Basis von IT-Grundschutz” ist möglich.
    • Jeder Baustein enthält konkrete Anforderungen (Basis, Standard, erhöhter Schutzbedarf) sowie Umsetzungshinweise und Kreuzreferenztabellen.

     

    Was sind BSI Bausteine?

    BSI Bausteine sind die zentralen Strukturelemente des IT-Grundschutz Kompendiums, das vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegeben und regelmäßig aktualisiert wird. Jeder Baustein behandelt ein abgegrenztes Themengebiet der Informationssicherheit und beschreibt die dafür relevanten Gefährdungen sowie konkrete Sicherheitsanforderungen.

    Im Gegensatz zu rein abstrakten Normtexten bieten die BSI Grundschutz Bausteine einen praxisnahen, maßnahmenorientierten Ansatz. Sie enthalten:

    • Beschreibung des Themas: Was wird durch den Baustein abgedeckt und welche Komponenten sind betroffen?
    • Gefährdungslage: Welche typischen Bedrohungen und Schwachstellen existieren für diesen Bereich?
    • Anforderungen: Konkrete Maßnahmen, unterteilt in Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf.
    • Kreuzreferenztabellen: Zuordnung zu den entsprechenden ISO 27001 Controls.

    Dieses modulare Prinzip ermöglicht es Unternehmen, gezielt diejenigen Bausteine auszuwählen und umzusetzen, die für ihre spezifische IT-Landschaft und ihr Risikoprofil relevant sind.

     

    Aufbau des Baustein-Systems: Die 10 Schichten im Überblick

    Das BSI IT-Grundschutz Kompendium organisiert seine Bausteine in 10 thematische Schichten (Layers). Jede Schicht adressiert einen übergeordneten Bereich der Informationssicherheit und enthält mehrere Einzelbausteine. Diese Struktur gewährleistet eine systematische und vollständige Abdeckung aller sicherheitsrelevanten Aspekte.

    ISMS – Sicherheitsmanagement

    Die Schicht ISMS bildet das Fundament. Sie beschreibt die übergeordneten Anforderungen an den Aufbau und Betrieb eines Informationssicherheitsmanagementsystems. Der zentrale Baustein ISMS.1 definiert, wie Sicherheitsziele festgelegt, Rollen zugewiesen und der kontinuierliche Verbesserungsprozess gestaltet werden.

    ORP – Organisation und Personal

    Diese Schicht behandelt organisatorische und personelle Sicherheitsmaßnahmen. Dazu gehören die allgemeine Organisation der Informationssicherheit (ORP.1), Personalmanagement, Sensibilisierung und Schulung sowie das Identitäts- und Berechtigungsmanagement (ORP.4).

    CON – Konzepte und Vorgehensweisen

    Die CON-Schicht umfasst übergreifende Sicherheitskonzepte, die nicht an einzelne Systeme gebunden sind. Hierzu zählen das Kryptokonzept (CON.1), Datenschutz, Datensicherungskonzepte, Löschung und Vernichtung sowie Software-Entwicklung.

    OPS – Betrieb

    Betriebliche Aspekte der IT-Sicherheit werden in der OPS-Schicht adressiert. Besonders wichtig sind die Bausteine zu Patch- und Änderungsmanagement (OPS.1.1.3), ordnungsgemäßer IT-Administration, Protokollierung und zum Schutz vor Schadprogrammen.

    DER – Detektion und Reaktion

    Die DER-Schicht beschreibt, wie sicherheitsrelevante Ereignisse erkannt und darauf reagiert wird. Der Baustein DER.1 zur Detektion von sicherheitsrelevanten Ereignissen ist ebenso zentral wie die Bausteine zu Incident Management und forensischer Analyse.

    APP – Anwendungen

    Sicherheitsanforderungen an Software-Anwendungen werden hier gebündelt. Die Schicht deckt ein breites Spektrum ab: von Office-Produkten (APP.1.1) über Webbrowser und E-Mail-Clients bis hin zu Verzeichnisdiensten, Datenbanken und Webanwendungen.

    SYS – IT-Systeme

    Die SYS-Schicht adressiert die Absicherung von Servern, Clients und mobilen Geräten. Der Baustein SYS.1.1 (Allgemeiner Server) bildet die Grundlage, ergänzt durch spezifische Bausteine für Windows-Server, Linux-Server, Laptops, Smartphones und Virtualisierung.

    IND – Industrielle IT

    Für Unternehmen mit industriellen Steuerungssystemen (ICS/SCADA) bietet die IND-Schicht spezialisierte Bausteine. Sie behandeln die besonderen Sicherheitsanforderungen von Prozessleit- und Automatisierungstechnik, Sensoren, Aktoren und Maschinen.

    NET – Netze und Kommunikation

    Die Netzwerksicherheit wird in der NET-Schicht behandelt. Der Baustein NET.1.1 (Netzarchitektur und -design) legt die Grundlagen für eine sichere Netzwerkstruktur. Weitere Bausteine behandeln Firewalls, VPN, WLAN und Netzwerkmanagement.

    INF – Infrastruktur

    Die INF-Schicht adressiert die physische Sicherheit: Serverräume, Rechenzentren, Bürogebäude, mobile Arbeitsplätze und häusliche Arbeitsplätze. Physische Sicherheit ist ein oft unterschätzter, aber wesentlicher Aspekt der Informationssicherheit.

     

    Die wichtigsten BSI Bausteine für Unternehmen

    Nicht jeder Baustein ist für jedes Unternehmen gleichermaßen relevant. Die Auswahl richtet sich nach der individuellen IT-Landschaft und dem Schutzbedarf. Bei der Priorisierung der passenden Bausteine anhand Ihres individuellen Risikoprofils unterstützt Sie eine spezialisierte BSI IT-Grundschutz Beratung. Dennoch gibt es eine Reihe von BSI Bausteinen, die für praktisch jedes Unternehmen von zentraler Bedeutung sind:

    ISMS.1 – Sicherheitsmanagement

    Dieser Baustein ist die Pflichtgrundlage für jede BSI-Grundschutz-Umsetzung. Er definiert, wie die Informationssicherheit strategisch gesteuert, dokumentiert und kontinuierlich verbessert wird. Ohne ein funktionierendes Sicherheitsmanagement bleiben alle weiteren Maßnahmen Stückwerk.

    ORP.1 – Organisation

    Der Baustein fordert klare Zuständigkeiten, dokumentierte Prozesse und eine in die Unternehmensorganisation eingebettete Sicherheitsstruktur. Er stellt sicher, dass Informationssicherheit nicht als reines IT-Thema behandelt wird, sondern organisationsweit verankert ist.

    ORP.4 – Identitäts- und Berechtigungsmanagement

    Die Verwaltung von Benutzerkennungen und Zugriffsrechten gehört zu den wirksamsten Sicherheitsmaßnahmen. Dieser Baustein fordert unter anderem das Least-Privilege-Prinzip, regelmäßige Berechtigungsreviews und ein strukturiertes Verfahren für das Anlegen, Ändern und Löschen von Benutzerkonten.

    CON.1 – Kryptokonzept

    Verschlüsselung ist eine Schlüsseltechnologie der Informationssicherheit. Der Baustein CON.1 fordert ein dokumentiertes Kryptokonzept, das festlegt, welche kryptografischen Verfahren und Schlüssellängen eingesetzt werden, wie der Schlüssellebenszyklus verwaltet wird und welche Daten verschlüsselt werden müssen.

    OPS.1.1.3 – Patch- und Änderungsmanagement

    Ungepatchte Systeme gehören zu den häufigsten Einfallstoren für Angreifer. Dieser Baustein beschreibt, wie Patches systematisch identifiziert, getestet und eingespielt werden – und wie Änderungen an der IT-Infrastruktur kontrolliert durchgeführt werden, ohne die Stabilität zu gefährden.

    DER.1 – Detektion von sicherheitsrelevanten Ereignissen

    Angriffe, die nicht erkannt werden, können nicht abgewehrt werden. Der Baustein DER.1 fordert die Einrichtung von Mechanismen zur Erkennung sicherheitsrelevanter Ereignisse – von der Protokollauswertung über Intrusion-Detection-Systeme bis hin zu definierten Eskalationsprozessen.

    Weitere essenzielle Bausteine

    • APP.1.1 (Office-Produkte): Sicherheitsanforderungen an die in fast jedem Unternehmen eingesetzten Office-Anwendungen, einschließlich Makro-Sicherheit und Dokumentenschutz.
    • SYS.1.1 (Allgemeiner Server): Grundlegende Härtungsmaßnahmen für Server, unabhängig vom Betriebssystem – von der sicheren Installation bis zur Protokollierung.
    • NET.1.1 (Netzarchitektur und -design): Anforderungen an eine segmentierte, dokumentierte und resiliente Netzwerkarchitektur.

     

    Umsetzungsreihenfolge: Von der Basis- zur Standard-Absicherung

    Das BSI definiert für die Umsetzung der Bausteine eine klare Vorgehensweise mit drei Absicherungsstufen. Diese erlauben es Unternehmen, schrittweise ein angemessenes Sicherheitsniveau aufzubauen, ohne sofort alle Anforderungen vollständig umsetzen zu müssen.

    Stufe 1: Basis-Absicherung

    Die Basis-Absicherung bildet den Einstieg und deckt die dringendsten Sicherheitsanforderungen ab. Jeder Baustein enthält gekennzeichnete Basis-Anforderungen, die ein Mindestmaß an Sicherheit gewährleisten. Unternehmen, die erstmalig mit BSI Grundschutz arbeiten, sollten hier beginnen.

    Typische Basis-Anforderungen umfassen:

    • Definition grundlegender Sicherheitsrichtlinien
    • Regelung von Verantwortlichkeiten
    • Grundlegende technische Schutzmaßnahmen (z. B. Virenschutz, Firewall)
    • Sicherung von Zugangsdaten
    • Regelmäßige Datensicherung

    Stufe 2: Standard-Absicherung

    Die Standard-Absicherung baut auf der Basis auf und realisiert ein vollständiges Sicherheitsniveau gemäß dem Stand der Technik. Sie umfasst alle Basis- und Standard-Anforderungen der relevanten Bausteine. Dieses Niveau ist für die meisten Unternehmen das anzustrebende Ziel und bildet die Grundlage für eine Zertifizierung.

    Zusätzliche Standard-Anforderungen beinhalten unter anderem:

    • Detaillierte Sicherheitskonzepte und Dokumentation
    • Regelmäßige Sicherheitsaudits und Überprüfungen
    • Umfassendes Incident Management
    • Strukturierte Schulungsprogramme
    • Kontinuierliche Verbesserungsprozesse

    Stufe 3: Erhöhter Schutzbedarf

    Für besonders schützenswerte Bereiche – etwa bei der Verarbeitung streng vertraulicher Daten oder im KRITIS-Umfeld – bieten die Bausteine zusätzliche Anforderungen für erhöhten Schutzbedarf. Diese gehen über den Standard hinaus und adressieren spezifische Bedrohungsszenarien mit verstärkten Schutzmaßnahmen.

    Empfohlene Vorgehensweise

    Phase Absicherungsstufe Fokus Empfohlener Zeitrahmen
    1 Basis-Absicherung Alle relevanten Bausteine: Basis-Anforderungen umsetzen 3 – 6 Monate
    2 Standard-Absicherung Standard-Anforderungen ergänzen; Dokumentation vervollständigen 6 – 12 Monate
    3 Erhöhter Schutzbedarf Zusätzliche Maßnahmen für kritische Assets und Prozesse Nach Bedarf, laufend

     

    TrustSpace Profi-Tipp: Die parallele Umsetzung von BSI Grundschutz und ISO 27001 muss kein doppelter Aufwand sein. TrustSpaceOS bildet beide Frameworks in einer zentralen Plattform ab und zeigt Ihnen automatisch, welche BSI-Bausteine auf welche ISO 27001 Controls einzahlen. So vermeiden Sie redundante Dokumentation und erhalten ein lückenloses Mapping – ideal, wenn Sie eine Zertifizierung nach „ISO 27001 auf der Basis von IT-Grundschutz” anstreben. Unsere InfoSec-Experten unterstützen Sie zusätzlich bei der Priorisierung der Bausteine anhand Ihres individuellen Risikoprofils.

     

     

    BSI Grundschutz und ISO 27001: Das Mapping im Detail

    Zwischen dem BSI IT-Grundschutz und der ISO 27001 besteht eine enge inhaltliche Verwandtschaft. Beide Frameworks verfolgen das gleiche Ziel – den systematischen Schutz von Informationen – unterscheiden sich jedoch in ihrer Herangehensweise.

    ISO 27001 auf der Basis von IT-Grundschutz

    Das BSI bietet einen eigenen Zertifizierungspfad an: die ISO 27001 Zertifizierung auf der Basis von IT-Grundschutz. Diese Variante kombiniert die Managementsystem-Anforderungen der ISO 27001 mit dem konkreten Maßnahmenkatalog des IT-Grundschutz Kompendiums. Der Vorteil: Unternehmen erhalten eine international anerkannte ISO 27001 Zertifizierung und profitieren gleichzeitig von der maßnahmenorientierten Detailtiefe des BSI-Ansatzes.

    Wesentliche Gemeinsamkeiten

    • Risikoorientierter Ansatz: Beide Frameworks fordern eine systematische Risikoanalyse als Grundlage für die Maßnahmenauswahl.
    • PDCA-Zyklus: Sowohl ISO 27001 als auch BSI Grundschutz basieren auf dem Plan-Do-Check-Act-Prinzip zur kontinuierlichen Verbesserung.
    • Management-Verantwortung: Beide betonen die Rolle der Geschäftsführung bei der Steuerung der Informationssicherheit.
    • Dokumentationspflichten: Richtlinien, Verfahren, Nachweise und Aufzeichnungen sind in beiden Frameworks zentral.

    Unterschiede im Ansatz

    Aspekt ISO 27001 BSI IT-Grundschutz
    Maßnahmendetail Abstrakte Controls (Annex A); Umsetzung liegt beim Unternehmen Konkrete, detaillierte Anforderungen pro Baustein
    Risikoanalyse Methodenfreiheit; Unternehmen wählt eigenes Verfahren Vorgegebene Methodik mit Schutzbedarf und Modellierung
    Anwendungsbereich International anerkannt; branchenunabhängig Primär DACH-Raum; besonders für Behörden und KRITIS
    Einstiegshürde Flexibel, aber weniger konkrete Anleitung Umfangreicher Katalog, dafür klare Handlungsanweisungen
    Zertifizierung Durch akkreditierte Zertifizierungsstellen Durch das BSI oder vom BSI lizenzierte Auditoren

    Kreuzreferenzen nutzen

    Das BSI stellt für jeden Baustein Kreuzreferenztabellen bereit, die eine direkte Zuordnung zu den Controls der ISO 27001 (Annex A) ermöglichen. So können Unternehmen, die bereits BSI Grundschutz Bausteine umgesetzt haben, den Aufwand für eine ISO 27001 Zertifizierung erheblich reduzieren – und umgekehrt. Wie sich beide Frameworks systematisch verzahnen lassen, vertieft unser Leitfaden zum BSI Grundschutz ISO 27001 Mapping. Typische Zuordnungen sind beispielsweise:

    • ISMS.1 entspricht den Anforderungen aus ISO 27001, Kapitel 4–10 (Managementsystem-Anforderungen)
    • ORP.4 (Identitäts- und Berechtigungsmanagement) mappt auf A.5.15 – A.5.18 (Zugangssteuerung)
    • OPS.1.1.3 (Patch- und Änderungsmanagement) mappt auf A.8.8 (Technische Schwachstellen) und A.8.32 (Änderungsmanagement)
    • NET.1.1 (Netzarchitektur) mappt auf A.8.20 – A.8.22 (Netzwerksicherheit)

     

    Fazit: BSI Bausteine als Fundament Ihrer Informationssicherheit

    Die BSI Bausteine bieten Unternehmen einen strukturierten, praxisnahen Weg zur Umsetzung von Informationssicherheit. Durch die modulare Struktur in 10 Schichten, die klare Abstufung in Basis-, Standard- und erhöhten Schutzbedarf und die Kreuzreferenzen zur ISO 27001 eignet sich das BSI IT-Grundschutz Kompendium sowohl als eigenständiges Framework als auch als Vorbereitung auf eine internationale Zertifizierung.

    Entscheidend für den Erfolg ist eine systematische Vorgehensweise: Beginnen Sie mit den Pflichtbausteinen wie ISMS.1 und ORP.1, sichern Sie zunächst die Basis-Absicherung ab und erweitern Sie schrittweise auf die Standard-Absicherung. Die Verzahnung mit der ISO 27001 ermöglicht es Ihnen, zwei Frameworks effizient in einem integrierten Managementsystem zu vereinen.

    Sie möchten BSI Grundschutz Bausteine effizient umsetzen und gleichzeitig eine ISO 27001 Zertifizierung vorbereiten? TrustSpace vereint beide Welten: Mit TrustSpaceOS steuern Sie Ihr ISMS zentral, nutzen automatische Mappings zwischen BSI Grundschutz und ISO 27001 und reduzieren Ihren Dokumentationsaufwand um bis zu 70 %. In Kombination mit unserer ISO 27001 Beratung begleiten wir Sie von der Gap-Analyse bis zur erfolgreichen Zertifizierung.

    Jetzt kostenlose Erstberatung vereinbaren

  • BSI Grundschutz ISO 27001 Mapping: Synergien heben statt doppelt dokumentieren

    BSI Grundschutz ISO 27001 Mapping: Synergien heben statt doppelt dokumentieren

    Das Wichtigste in Kürze

    • Zielsetzung: Ein Mapping ermöglicht es Unternehmen, Anforderungen aus dem BSI IT-Grundschutz und der ISO 27001 parallel zu erfüllen, ohne Dokumente doppelt zu erstellen.
    • Methodik: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt offizielle Zuordnungstabellen bereit, die ISO-Controls mit Grundschutz-Bausteinen verknüpfen.
    • Effizienz-Hebel: Manuelle Excel-Abgleiche sind fehleranfällig. Moderne ISMS-Software automatisiert diese Verknüpfung und spart bis zu 70 % Dokumentationsaufwand.
    • NIS2-Relevanz: Im Jahr 2026 hilft ein sauberes Mapping, Haftungsrisiken für Geschäftsführer durch die EU-Richtlinie NIS2 drastisch zu reduzieren.

    Die Anforderungslage für den deutschen Mittelstand hat sich in den letzten Jahren massiv verdichtet. Viele Unternehmen stehen vor der Herausforderung, internationale Standards wie die ISO 27001 für Marktzugänge nachzuweisen, während öffentliche Auftraggeber oder KRITIS-Betreiber oft den detaillierten BSI IT-Grundschutz fordern. Wer hier nicht strategisch vorgeht, landet schnell in einer Spirale aus doppelter Dokumentation und ineffizienten Prozessen. Eine strukturierte BSI IT-Grundschutz Beratung hilft, von Beginn an den effizientesten Weg zwischen beiden Standards zu wählen.

    Genau an diesem Punkt setzt das Mapping zwischen BSI Grundschutz und ISO 27001 an. Es ist weit mehr als eine theoretische Übung; es ist das operative Fundament, um Ressourcen zu schonen und Synergien zu heben. Wer versteht, wie die Maßnahmen (Controls) der ISO-Norm mit den Bausteinen des IT-Grundschutzes korrelieren, verwandelt lästige Compliance-Pflichten in einen echten Wettbewerbsvorteil. Grundlage dafür ist ein solides Verständnis des Regelwerks selbst, das wir im Leitfaden zum BSI Grundschutz Kompendium 2026 ausführlich darstellen.

    Die fundamentalen Unterschiede der Standards verstehen

    Bevor man eine sinnvolle Verknüpfung herstellen kann, muss klar sein, wie unterschiedlich die beiden Standards “denken”. Die ISO 27001 Beratung zeigt oft, dass diese Norm als internationaler Goldstandard primär risikobasiert funktioniert. Sie gibt das “Was” vor, lässt dem Unternehmen aber viel Freiheit beim “Wie”. Das Management von Risiken steht im Zentrum.

    Der BSI IT-Grundschutz hingegen ist historisch gewachsen und deutlich preskriptiver. Er liefert mit seinen Bausteinen und Maßnahmenkatalogen sehr detaillierte technische Vorgaben. Man könnte sagen: Während die ISO 27001 fragt “Haben Sie dieses Risiko bewertet und behandelt?”, fragt der IT-Grundschutz “Haben Sie Maßnahme X exakt so umgesetzt?”.

    Trotz dieser philosophischen Differenz verfolgen beide das gleiche Ziel: Die Gewährleistung der Informationssicherheit (Vertraulichkeit, Integrität, Verfügbarkeit). Das BSI selbst erkennt die Notwendigkeit der Harmonisierung an und hat mit dem BSI-Standard 200-1 und 200-2 Strukturen geschaffen, die kompatibler zur ISO-Welt sind.

    Die offizielle Zuordnungstabelle als Basis

    Für die praktische Umsetzung ist Improvisation der falsche Weg. Das BSI stellt offiziell validierte Hilfsmittel zur Verfügung. Die “Zuordnungstabelle ISO/IEC 27001 zu IT-Grundschutz” ist hierbei das zentrale Dokument für Compliance-Manager. Diese Tabelle schlüsselt auf, welche Anforderungen aus dem Anhang A der ISO 27001 durch welche Bausteine des IT-Grundschutz-Kompendiums abgedeckt werden.

    Ein Beispiel aus der Praxis verdeutlicht dies: Die ISO 27001 fordert im Bereich “Human Resource Security” Maßnahmen zur Sensibilisierung von Mitarbeitern. Der IT-Grundschutz deckt dies sehr detailliert im Baustein “ORP.3 Sensibilisierung und Schulung” ab. Wer den Baustein ORP.3 vollständig umsetzt, hat damit automatisch den Haken hinter die entsprechende ISO-Anforderung gesetzt. Wie diese Bausteine aufgebaut und in zehn Schichten organisiert sind, zeigt unser Leitfaden BSI Bausteine im Überblick.

    TrustSpace Expertentipp

    Verlassen Sie sich nicht auf veraltete Tabellen aus dem Internet. Durch die Updates auf ISO 27001:2022 und die jährlichen Änderungen im IT-Grundschutz-Kompendium verschieben sich Referenzen. Nutzen Sie für den manuellen Abgleich immer die aktuellen Veröffentlichungen direkt vom BSI oder automatisierte Lösungen, die diese Updates systemseitig einspielen.

    Warum Excel für das Mapping nicht mehr ausreicht

    In der Theorie klingt das Mapping simpel: Man nehme eine Tabelle, verknüpfe Spalte A mit Spalte B und fertig. In der Realität des Jahres 2026 führt dieser Ansatz in die “Excel-Hölle”. Ein ISO-Control referenziert oft auf mehrere Grundschutz-Maßnahmen und umgekehrt. Wenn sich nun eine Norm ändert – was regelmäßig passiert –, müssen hunderte Zeilen manuell geprüft werden.

    Für Geschäftsführer und IT-Leiter, die unter dem Druck der NIS2 Beratung und Umsetzung stehen, ist dieser manuelle Aufwand kaum noch zu rechtfertigen. Fehler in diesen Listen führen im Audit zu Abweichungen, die Zeit und Geld kosten. Hier zeigt sich die Stärke digitaler Plattformen.

    Durch den Einsatz spezialisierter ISMS Software wie TrustSpaceOS wird dieses Mapping automatisiert. Das System fungiert als “Single Source of Truth”. Sie dokumentieren eine Maßnahme (z. B. “Einführung MFA”) nur einmal zentral. Die Software ordnet diesen Nachweis im Hintergrund automatisch sowohl dem entsprechenden ISO-Control als auch dem Grundschutz-Baustein zu. Das Ergebnis ist eine massive Reduktion des Dokumentationsaufwands und eine Echtzeit-Sicht auf den Erfüllungsgrad beider Standards.

    Praktische Vorteile der Mapping-Strategie

    Unternehmen, die das Mapping sauber implementieren, profitieren auf mehreren Ebenen:

    Erstens entsteht Audit-Sicherheit. Sollte ein Kunde kurzfristig einen TISAX®-Nachweis oder eine ISO-Zertifizierung fordern, müssen Sie nicht bei Null anfangen. Die Grundsubstanz ist durch das Mapping bereits vorhanden und muss oft nur noch in das geforderte Format “übersetzt” werden.

    Zweitens erleichtert es die Kommunikation mit der Geschäftsführung. Statt abstrakter Normen-Diskussionen können IT-Verantwortliche transparent aufzeigen, dass mit einem Budget-Invest gleich mehrere regulatorische Anforderungen (z. B. NIS2 und ISO 27001) gleichzeitig bedient werden. Das verbessert den ROI von Sicherheitsmaßnahmen spürbar.

    Drittens reduziert es die Belastung der Fachabteilungen. Mitarbeiter müssen nicht für jeden Standard separate Schulungen absolvieren oder Richtlinien bestätigen. Ein integrierter Prozess deckt alle Anforderungen ab, was die Akzeptanz der Sicherheitskultur im Unternehmen erhöht.

    Häufige Fragen (FAQ)

    Kann man eine ISO 27001 Zertifizierung auf Basis von IT-Grundschutz erhalten?
    Ja, das BSI bietet eine spezifische Zertifizierung “ISO 27001 auf der Basis von IT-Grundschutz” an. Diese gilt als sehr hochwertig und anspruchsvoll, da sie die strenge Struktur des Grundschutzes mit dem Management-Ansatz der ISO verbindet.

    Ist der IT-Grundschutz strenger als die ISO 27001?
    “Strenger” ist das falsche Wort, aber er ist detaillierter. Während die ISO 27001 Ihnen erlaubt, Risiken zu akzeptieren (Risk Appetite), fordert der Grundschutz oft die zwingende Umsetzung konkreter technischer Maßnahmen als Mindestniveau. Für viele deutsche Behörden ist er daher der bevorzugte Standard.

    Lohnt sich eine Software für das Mapping bei kleinen Unternehmen?
    Absolut. Gerade KMU haben oft keine großen Compliance-Teams. Wenn eine Person mehrere Rollen ausfüllt, ist die Automatisierung durch Tools der einzige Weg, die Komplexität beherrschbar zu machen und Fristen wie bei NIS2 einzuhalten. Weitere Einblicke dazu finden Sie auch in unserem Blog.

    Quellen

    • Bundesamt für Sicherheit in der Informationstechnik (BSI): Zuordnungstabelle ISO/IEC 27001 zu IT-Grundschutz (IT-Grundschutz-Kompendium).
    • TrustSpace Analyse (2025): Interne Daten zur Reduktion von Dokumentationsaufwänden durch Automatisierung.