Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check: Das Vorgehen ist klar beschrieben. Aufwendig ist es, die Ergebnisse über Jahre konsistent zu halten. CRISAM® führt Zielobjekte, Bausteine, Anforderungen, Risiken und Nachweise in einem gemeinsamen Modell zusammen.
Stand: 23. September 2026
| Abweichung | Bezug | Einstufung | Status |
|---|---|---|---|
| Risikoanalyse für hohen Schutzbedarf fehlt | BSI 200-3 | offen | |
| Schutzbedarf der Fachanwendung nicht begründet | BSI 200-2 | in Arbeit | |
| Modellierung des Netzbereichs unvollständig | BSI 200-2 | in Arbeit | |
| Sicherheitsleitlinie fortgeschrieben | BSI 200-1 | erledigt |
Der IT-Grundschutz ist das Rahmenwerk des Bundesamts für Sicherheit in der Informationstechnik zum Aufbau und Betrieb eines Informationssicherheits-Managementsystems. Er umfasst Methode, Anleitung und Empfehlung und betrachtet neben technischen auch infrastrukturelle, organisatorische und personelle Themen. Die Methodik steht in den BSI-Standards 200-1 bis 200-4, die konkreten Anforderungen im IT-Grundschutz-Kompendium.
Das BSI entwickelt den IT-Grundschutz unter dem Namen Grundschutz++ weiter: prozessorientiert, maschinenlesbar und mit flexiblen Leistungszahlen statt fester Sicherheitsniveaus. Der bisherige IT-Grundschutz wird parallel gepflegt und bleibt anwendbar.
Das BSI hat den Fahrplan für Grundschutz++ veröffentlicht. Der bisherige IT-Grundschutz bleibt bis zum Ende seiner Zertifizierbarkeit anwendbar.
Pilotierung von Grundschutz++ mit Partnern aus Verwaltung und Wirtschaft.
Ende der Erprobungsphase.
Veröffentlichung von Grundschutz++ auf der it-sa 2026 in Nürnberg.
Schulungskonzepte für Praktiker und Berater liegen vor.
Zertifizierung nach ISO 27001 auf Basis von Grundschutz++ wird möglich.
Die Zertifizierbarkeit des bisherigen IT-Grundschutz endet.
Der IT-Grundschutz ist kein Gesetz. Er ist ein Rahmenwerk, mit dem insbesondere die Verwaltung, Betreiber kritischer Infrastrukturen und deren Dienstleister arbeiten.
BSI-Standard 200-2 beschreibt drei Vorgehensweisen. Die Basis-Absicherung deckt die gesamte Breite mit grundlegenden Anforderungen ab, die Kern-Absicherung schützt zuerst die besonders gefährdeten Werte, die Standard-Absicherung ist das vollständige Vorgehen und die Grundlage der Zertifizierung.
Was bei ISO/IEC 27001 der Anwendungsbereich ist, ist beim IT-Grundschutz der Informationsverbund. Er bestimmt, was geprüft wird: Prozesse, Anwendungen, Systeme, Netze, Räume und die beteiligten Personen. Jedem Zielobjekt wird ein Schutzbedarf zugeordnet, jeder Baustein bringt seine Anforderungen mit.
Bei hohem oder sehr hohem Schutzbedarf, bei Zielobjekten ohne passenden Baustein und bei Einsatzszenarien außerhalb des Kompendiums verlangt BSI-Standard 200-3 eine eigene Risikoanalyse.
Die Reihenfolge ist vorgegeben. Jeder Schritt baut auf dem Ergebnis des vorigen auf, und jeder muss nachvollziehbar dokumentiert sein.
| Schritt | Grundlage | Was verlangt wird | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Sicherheitsmanagement | BSI-Standard 200-1 | Sicherheitsleitlinie, Organisation, Rollen und Ressourcen festlegen. Der Standard definiert die allgemeinen Anforderungen an ein Managementsystem für Informationssicherheit | CRISAM® unterstützt den strukturierten Aufbau eines Sicherheits- und Risikomanagementsystems gemäß den BSI-Standards, von der Initialmodellierung bis zum laufenden Betrieb. |
| Strukturanalyse | BSI-Standard 200-2 | Den Informationsverbund erfassen: Geschäftsprozesse, Anwendungen, IT-Systeme, Netze, Räume und Personen als Zielobjekte | Unternehmensstrukturen, Informationsverbünde, Zielobjekte und BSI-Bausteine lassen sich importieren oder modellieren und miteinander verknüpfen. |
| Schutzbedarfsfeststellung | BSI-Standard 200-2 | Je Zielobjekt den Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit bestimmen und entlang der Abhängigkeiten vererben | Schutzbedarfe werden zentral erfasst, bewertet und automatisch entlang der Strukturen vererbt, konsistent und nachvollziehbar. |
| Modellierung | BSI-Standard 200-2, Kompendium | Jedem Zielobjekt die passenden Bausteine des IT-Grundschutz-Kompendiums zuordnen und die Zuordnung begründen | Das integrierte BSI Knowledge Pack stellt über 130 Bausteine und mehr als 1.800 Kontrollziele bereit, samt Verweisen auf die elementaren Gefährdungen. |
| IT-Grundschutz-Check | BSI-Standard 200-2 | Je Anforderung prüfen, ob sie entbehrlich, umgesetzt, teilweise umgesetzt oder nicht umgesetzt ist, und das Ergebnis begründen | Die Anforderungen des IT-Grundschutz-Kompendiums werden systematisch abgearbeitet. Abweichungen und Nicht-Konformitäten werden transparent identifiziert und dokumentiert. |
| Risikoanalyse | BSI-Standard 200-3 | Für Zielobjekte mit hohem Schutzbedarf, ohne passenden Baustein oder in untypischem Einsatz eine eigene Gefährdungs- und Risikoanalyse führen | CRISAM® unterstützt die Durchführung von Gefährdungs- und Risikoanalysen nach BSI-Methodik und ermöglicht die Ableitung geeigneter Maßnahmen. |
| Umsetzungsplanung | BSI-Standard 200-2 | Aus den offenen Anforderungen Maßnahmen ableiten, priorisieren, Verantwortliche und Termine festlegen und die Umsetzung verfolgen | Aus Abweichungen werden Maßnahmen mit Verantwortlichem und Termin. Der Umsetzungsstand fließt in die ISMS-Dashboards zurück, die Status, Schutzbedarfe und Abweichungen zeigen. |
| Aufrechterhaltung und Nachweis | BSI-Standard 200-2 | Das erreichte Niveau halten, regelmäßig prüfen, verbessern und gegenüber Auditoren und Prüfern belegen | Zur Verfügung stehen standardisierte BSI-Berichte einschließlich der A1- bis A6-Berichte, KPI-basierte Management-Reports und Export-Funktionen für Prüfungen und externe Nachweise. |
Vom Informationsverbund bis zu den A-Berichten, die der Auditor anfordert.
Prozesse, Anwendungen, Systeme, Netze und Räume werden importiert oder modelliert und miteinander verknüpft. Daraus entsteht der Informationsverbund, auf den sich alles Weitere bezieht.
Prozesse, Anwendungen, IT-Systeme, Netze, Räume und Personen. Gleichartige Objekte lassen sich zu Gruppen zusammenfassen.
VorgehensweiseBasis-, Kern- oder Standard-Absicherung. Für eine Zertifizierung ist die Standard-Absicherung die Grundlage.
SchnittstellenWas außerhalb liegt, bleibt betrachtungspflichtig, sobald es mit dem Verbund verbunden ist.
Der Schutzbedarf wird einmal am Prozess festgelegt und entlang der Abhängigkeiten vererbt. Wo Vererbung und eigene Einschätzung auseinandergehen, wird die Abweichung festgehalten.
| Zielobjekt | Typ | Vertraulichkeit | Integrität | Verfügbarkeit | Herkunft |
|---|---|---|---|---|---|
| Netzleitsystem | Anwendung | eigene Bewertung | |||
| Abrechnungssystem | Anwendung | vererbt | |||
| Kundenportal | Anwendung | vererbt | |||
| Serverraum Umspannwerk | Raum | eigene Bewertung | |||
| Leitstellennetz | Netz | vererbt | |||
| Clients Verwaltung | IT-System | vererbt |
Jedem Zielobjekt werden die passenden Bausteine zugeordnet. Das Knowledge Pack liefert die Bausteine samt Anforderungen und Verweisen auf die elementaren Gefährdungen.
| Baustein | Schicht | Zielobjekte | Anforderungen | Status |
|---|---|---|---|---|
| Sicherheitsmanagement | Prozess | Verbund | 21 | |
| Identitäts- und Berechtigungsmanagement | Prozess | Verbund | 18 | |
| Allgemeiner Server | System | 34 | 26 | |
| Allgemeine Anwendung | Anwendung | 19 | 14 | |
| Netzarchitektur und Netzdesign | Netz | 6 | 29 | |
| Allgemeines Gebäude | Infrastruktur | 11 | 17 | |
| Industrielle IT | Industrie | 8 | 22 |
| Zielobjekt | Offener Punkt | Verantwortlich |
|---|---|---|
| Fernwirktechnik | Kein passender Baustein, Risikoanalyse nach 200-3 nötig | IT-Sicherheit |
| Messdatenkonzentrator | Baustein Industrielle IT noch nicht zugeordnet | Netzbetrieb |
Je Anforderung wird der Umsetzungsstatus festgehalten und begründet. Aus den nicht erfüllten Anforderungen ergibt sich die Grundlage für die weitere Umsetzungsplanung.
| Anforderung | Baustein | Stufe | Status | Schutzbedarf |
|---|---|---|---|---|
| Netztrennung zwischen Leit- und Bürotechnik | Netzarchitektur | Standard | sehr hoch | |
| Protokollierung sicherheitsrelevanter Ereignisse | Detektion | Standard | hoch | |
| Notfallvorsorge für die Leitstelle | Allgemeines Gebäude | Standard | sehr hoch | |
| Härtung der Serverkonfiguration | Allgemeiner Server | Basis | hoch | |
| Zutrittsregelung Umspannwerk | Allgemeines Gebäude | Basis | normal |
Wo der Schutzbedarf hoch ist oder kein Baustein passt, verlangt BSI-Standard 200-3 eine eigene Analyse. Gefährdung, Risiko und Behandlung sind mit demselben Zielobjekt verknüpft wie der IT-Grundschutz-Check.
| Zielobjekt | Gefährdung | Brutto | Netto | Behandlung | Bezug |
|---|---|---|---|---|---|
| Fernwirktechnik | Manipulation von Geräten | vermindern | G0 | ||
| Netzleitsystem | Ausfall von Geräten oder Systemen | vermindern | G0 | ||
| Leitstellennetz | Abhören und Mitlesen | vermindern | G0 | ||
| Serverraum Umspannwerk | Ausfall der Stromversorgung | vermindern | G0 | ||
| Messdatenkonzentrator | Unbefugter Zutritt | vermindern | G0 | ||
| Kundenportal | Schadprogramme | akzeptieren | G0 |
Am Ende stehen die Berichte, die für das Audit benötigt werden: Referenzdokumente, Prüfplan und die zugehörigen Nachweise. Auf derselben Grundlage läuft auch der Tagesbetrieb.
| Bericht oder Nachweis | Inhalt | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| A1 Strukturanalyse | Zielobjekte und Abgrenzung | 08.09.2026 | IT-Sicherheit | |
| A2 Schutzbedarfsfeststellung | Schutzbedarf und Begründung | 08.09.2026 | IT-Sicherheit | |
| A3 Modellierung | Bausteine je Zielobjekt | in Überarbeitung | IT-Sicherheit | |
| A4 Ergebnis des Grundschutz-Checks | Umsetzungsstatus je Anforderung | 15.09.2026 | IT-Sicherheit | |
| A5 Risikoanalyse | Gefährdungen und Behandlung | 02.09.2026 | Risikomanagement | |
| A6 Realisierungsplan | Maßnahmen, Termine, Zuständigkeit | geplant 11/2026 | IT-Sicherheit |
Sicherheitsleitlinie, Ressourcen, Freigabe des Informationsverbunds.
Strukturanalyse, Schutzbedarf, Modellierung, Grundschutz-Check.
Umsetzung der Anforderungen, Nachweise je Zielobjekt.
Risikoanalyse nach 200-3, interne Prüfung, Auditbegleitung.
Wer nach IT-Grundschutz arbeitet, hat bereits einen großen Teil dessen umgesetzt, was ISO/IEC 27001 und NIS2 verlangen. CRISAM® bildet Mehrfachanforderungen über das Mapping der Kontrollzielfragen auf die Einzelnormen ab.
Zu ISO/IEC 27001 und TISAX stehen Mappings bereit, um Mehrfachanforderungen abzudecken.
Das integrierte BSI Knowledge Pack enthält die Abbildung der BSI-Anforderungen, Verweise auf die elementaren Gefährdungen und wiederverwendbare Inhalte für Compliance-Auswertungen.
Anforderungen aus dem KRITIS-Umfeld und branchenspezifische Sicherheitsstandards lassen sich mit den bestehenden ISMS-Elementen verknüpfen.
Durch die Integration mit Datenschutz, Business Continuity Management und Enterprise Risk Management entsteht ein durchgängiges Sicherheitsmanagement.
Das BSI entwickelt den IT-Grundschutz unter dem Namen Grundschutz++ weiter. Die Anforderungen werden maschinenlesbar und prozessorientiert, die festen Absicherungsstufen Basis, Standard und erhöhter Schutzbedarf werden durch flexible Leistungszahlen mit dynamischen Schwellwerten ersetzt. Der bisherige IT-Grundschutz wird parallel zur Fortentwicklung gepflegt und bleibt anwendbar.
| Kriterium | Bisheriger IT-Grundschutz | Grundschutz++ |
|---|---|---|
| Methodik | BSI-Standards 200-1, 200-2 und 200-3 | Methodik-Grundschutz++, entlang des PDCA-Zyklus strukturiert |
| Anforderungen | IT-Grundschutz-Kompendium als Textdokument | Anwenderkatalog-Grundschutz++ in der Stand der Technik-Bibliothek, maschinenlesbar |
| Struktur | Bausteine, nach Schichten und Lösungen geordnet | Durchgängig an Prozessen ausgerichtet statt an einzelnen Lösungen |
| Sicherheitsniveau | Basis-, Kern- und Standard-Absicherung, Stufen Basis, Standard und erhöhter Schutzbedarf | Flexible Leistungszahlen in Verbindung mit dynamischen Schwellwerten |
| Einstieg | Basis-Absicherung nach BSI-Standard 200-2 | Checklisten aus dem Weg in die Basis-Absicherung, automatisierbar aus den Anforderungen |
| Zertifizierung | ISO 27001 auf Basis von IT-Grundschutz, zertifizierbar bis 30. November 2031 | ISO 27001 auf Basis von Grundschutz++, möglich ab 1. Januar 2027 |
| Abbildung in CRISAM® | BSI IT-Grundschutz Knowledge Pack mit über 130 Bausteinen und mehr als 1.800 Kontrollzielen | Noch nicht abgebildet. Der Anwenderkatalog wird erst mit der Veröffentlichung verfügbar |
Der bisherige IT-Grundschutz bleibt anwendbar und wird weiter gepflegt. Wer heute zertifiziert ist oder eine Zertifizierung vorbereitet, arbeitet auf einer Grundlage, die bis 30. November 2031 zertifizierbar bleibt. Die bisherige Arbeit bleibt erhalten: Informationsverbund, Schutzbedarf und Nachweise bleiben dieselben, unabhängig davon, aus welchem Katalog die Anforderungen kommen. Eine Übersicht aller Regelwerke, die CRISAM® abdeckt, finden Sie unter Normen und Standards.
Ein Webinar zum Vorgehen und die zugrunde liegende Methode.
Wie Sie ein ISMS mit integrierter Risikoanalyse, vorbereiteten Maßnahmen und auditfähiger Berichterstattung aufbauen.
Nächster Termin: 10.11.2026, 13:00 UhrTermine ansehen
Wie Strukturanalyse, Schutzbedarf und Risikobewertung in einem Modell zusammenlaufen.
Zur MethodeWebinare und Schulungen im Überblick, dazu die selbstgesteuerten Kurse der CRISAM® Academy und die Produktunterlagen im Downloadcenter.
AcademyDownloadcenterDer erste Schritt hängt davon ab, wo Sie heute stehen.
Am Anfang steht die Strukturanalyse. Zielobjekte werden importiert oder modelliert, das BSI Knowledge Pack liefert die Bausteine dazu. Den IT-Grundschutz-Check führen Sie gegen einen Katalog durch, den Sie nicht selbst pflegen müssen.
Sie beginnen mit dem Import. Zielobjekte, Schutzbedarfe und bereits beantwortete Anforderungen werden übernommen. Die Vererbung der Schutzbedarfe läuft danach automatisch entlang der Strukturen.
Der IT-Grundschutz kommt nicht als zweites System hinzu. Über die Mappings gilt eine beantwortete Kontrollzielfrage für beide Regelwerke und muss nicht zweimal erhoben werden.
Sie benötigen dafür die CRISAM® GRC Plattform, das CRISAM® ISMS Modul und das BSI IT-Grundschutz Knowledge Pack. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
Der IT-Grundschutz ist das Rahmenwerk des Bundesamts für Sicherheit in der Informationstechnik zum Aufbau und Betrieb eines Informationssicherheits-Managementsystems. Er umfasst Methode, Anleitung und Empfehlung und betrachtet neben technischen auch infrastrukturelle, organisatorische und personelle Themen. Die Methodik steht in den BSI-Standards 200-1 bis 200-4, die konkreten Anforderungen im IT-Grundschutz-Kompendium.
BSI-Standard 200-1 definiert die allgemeinen Anforderungen an ein Managementsystem für Informationssicherheit. BSI-Standard 200-2 bildet die Basis der BSI-Methodik zum Aufbau eines Informationssicherheitsmanagements. BSI-Standard 200-3 bündelt alle risikobezogenen Arbeitsschritte bei der Umsetzung des IT-Grundschutzes. BSI-Standard 200-4 gibt eine Anleitung, um ein Business Continuity Management System aufzubauen.
Das BSI entwickelt den IT-Grundschutz unter dem Namen Grundschutz++ weiter. Die Anforderungen werden maschinenlesbar und prozessorientiert, die festen Absicherungsstufen Basis, Standard und erhöhter Schutzbedarf werden durch flexible Leistungszahlen mit dynamischen Schwellwerten ersetzt. Der bisherige IT-Grundschutz wird parallel zur Fortentwicklung gepflegt und bleibt anwendbar.
Das BSI nennt den 27. Oktober 2026 für die Veröffentlichung von Grundschutz++ auf der it-sa in Nürnberg und den 1. Januar 2027 für den Start der Zertifizierung nach ISO 27001 auf Basis von Grundschutz++. Die Zertifizierbarkeit des bisherigen IT-Grundschutz endet am 30. November 2031.
Sicherheitsmanagement, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check, Risikoanalyse, Umsetzungsplanung sowie Aufrechterhaltung und Verbesserung. Die Reihenfolge ist vorgegeben, jeder Schritt baut auf dem Ergebnis des vorigen auf. Für die Zertifizierung ist die Standard-Absicherung nach BSI-Standard 200-2 die Grundlage.
Bei Zielobjekten mit hohem oder sehr hohem Schutzbedarf, bei Zielobjekten, für die kein passender Baustein im IT-Grundschutz-Kompendium vorliegt, und bei Einsatzszenarien, die das Kompendium nicht abdeckt. CRISAM® unterstützt die Durchführung von Gefährdungs- und Risikoanalysen nach BSI-Methodik und ermöglicht die Ableitung geeigneter Maßnahmen.
Entscheidend ist, ob der Anforderungskatalog mitgeliefert und gepflegt wird oder selbst aufgebaut werden muss. Das integrierte BSI Knowledge Pack von CRISAM® stellt über 130 Bausteine und mehr als 1.800 Kontrollziele bereit, samt Abbildung der BSI-Anforderungen und Verweisen auf die elementaren Gefährdungen. Schutzbedarfe werden zentral erfasst, bewertet und automatisch entlang der Strukturen vererbt.
Ja. CRISAM® bildet Mehrfachanforderungen über das Mapping der Kontrollzielfragen auf die Einzelnormen ab. Zu Standards wie ISO/IEC 27001 oder TISAX stehen Mappings zur Verfügung, um Mehrfachanforderungen abzudecken. Eine beantwortete Kontrollzielfrage gilt damit für mehrere Regelwerke und muss nicht je Regelwerk erneut erhoben werden.
Die Angaben zum IT-Grundschutz und zu Grundschutz++ auf dieser Seite stammen aus den folgenden Quellen.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: Informationsverbund, Schutzbedarf, Modellierung, Grundschutz-Check und die fertigen Berichte.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
