Das BSI hat die Methodik für Grundschutz++ als neuen Standard veröffentlicht. Statt Bausteine abzuarbeiten, sollen Behörden und Unternehmen zuerst ihre wichtigsten Geschäftsprozesse absichern. Alle Anforderungen gibt es zudem erstmals maschinenlesbar.
Prozesse statt Bausteine
BSI veröffentlicht Grundschutz++ als Standard 300-1
Bildquelle: Achim Wagner/Shutterstock.com
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Methodik zum Grundschutz++ als BSI-Standard 300-1 veröffentlicht. Der Standard sei eine Weiterentwicklung des IT-Grundschutzes und solle auch Institutionen mit heterogenen IT-Landschaften oder komplexen Virtualisierungslösungen auf aktuelle Bedrohungen vorbereiten, teilt die Behörde mit. Also genau jene Umgebungen, in denen die klassische Grundschutz-Methodik in der Praxis schnell an ihre Grenzen stieß.
Die neue Methodik beschreibt, wie Organisationen einen kontinuierlichen Sicherheitsprozess aufbauen. Der Standard steht auf der Webseite des BSI zum Download bereit.
Prozesse statt Bausteinlisten
Vom bestehenden IT-Grundschutz unterscheidet sich Grundschutz++ laut BSI vor allem durch seine prozessorientierte Vorgehensweise: Die zentralen Geschäftsprozesse einer Institution sollen vorrangig abgesichert werden. Statt die gesamte IT-Landschaft gleichmäßig zu modellieren, rückt also zuerst in den Fokus, was für den Betrieb wirklich kritisch ist. Wer schon einmal einen vollständigen Grundschutz-Check für einen gewachsenen Verbund aus Servern, Clients und virtualisierten Diensten durchgezogen hat, dürfte den Gedanken zu schätzen wissen.
Außerdem wird die Methodik deutlich flexibler. Institutionen sollen ihr ISMS stärker an die eigenen Bedürfnisse anpassen können. So lasse sich etwa die Methode für Risikoidentifikation, -bewertung und -behandlung frei wählen, sofern bestimmte Mindestkriterien eingehalten werden.
Anforderungen maschinenlesbar
Als weitere entscheidende Neuerung hebt das BSI hervor, dass sämtliche Anforderungen nun in einem maschinenlesbaren Format vorliegen. Bislang mussten Sicherheitsverantwortliche die Inhalte des IT-Grundschutz-Kompendiums oft mühsam in eigene Tools oder Tabellen übertragen. Mit strukturierten Daten dürfte sich der Grundschutz deutlich leichter in ISMS-Software, Compliance-Werkzeuge und automatisierte Prüfprozesse einbinden lassen.
Zertifizierung ab 2027
Fertig ist Grundschutz++ damit noch nicht. Schon in der Entwicklungs- und Pilotierungsphase habe die Grundschutz-Community erheblich mitgearbeitet, schreibt das BSI. In der bald beginnenden Early-Adopter-Phase soll die Entwicklung weitergehen.
Für Unternehmen und Behörden, die eine Umstellung planen, ist vor allem der Zeitplan relevant. „Ein nach Grundschutz++ implementiertes ISMS ist ab 2027 zertifizierbar und zur ISO/IEC 27001 kompatibel“, so das BSI. Das ist ein wichtiger Punkt für Organisationen, die sich an internationalen Normen orientieren oder ohnehin eine ISO-Zertifizierung anstreben.
(red)
