IT-Grundschutz nach BSI
IT-Grundschutz aufbauen und sicher umsetzen
IT-Grundschutz unterstützt Organisationen dabei, Informationssicherheit strukturiert, nachvollziehbar und auditfähig aufzubauen. Wir begleiten Sie von der Standortbestimmung über die Modellierung und Risikoanalyse bis zur Vorbereitung auf Audit oder Zertifizierung.
Klarer Rahmen für Informationssicherheit
Warum IT-Grundschutz für viele Organisationen der richtige Einstieg ist
IT-Grundschutz des BSI bietet eine praxisnahe Vorgehensweise, um ein Informationssicherheitsmanagementsystem aufzubauen, bestehende Sicherheitsmaßnahmen einzuordnen und konkrete Anforderungen an Organisation, Personal, Infrastruktur und Technik abzuleiten. Das IT-Grundschutz-Kompendium dient dabei als roter Faden und unterstützt bei der Priorisierung von Maßnahmen.
Besonders relevant ist IT-Grundschutz für Organisationen mit regulatorischen, kundenseitigen oder auditbezogenen Anforderungen. Dazu gehören Kommunen, öffentliche Einrichtungen, KRITIS-nahe Organisationen, IT-Dienstleister, regulierte Unternehmen und Mittelstandsbetriebe mit hohen Anforderungen an Nachweisfähigkeit, Verfügbarkeit und Datenschutz.
Ihr Ausgangspunkt
Wo stehen Sie aktuell?
Orientierung und Einstieg
Erste Einordnung
Sie möchten klären, ob IT-Grundschutz der richtige Weg für Ihre Organisation ist. Wir prüfen Ausgangslage, Ziele, Anforderungen und sinnvollen Umfang. Das Ergebnis ist eine realistische Einschätzung, ob Basisabsicherung, Kernabsicherung, Standard-Absicherung, WiBA oder ein anderer Einstieg besser passt.
Aufbau und Umsetzung
ISMS strukturieren
Sie möchten ein ISMS nach BSI 200-1 aufbauen. Wir unterstützen bei Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Grundschutz-Check, Risikoanalyse, Maßnahmenplanung und Dokumentation.
Audit- oder Zertifizierungsvorbereitung
Nachweise klären
Sie bereiten ein Audit, eine Kundenprüfung oder eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz vor. Wir prüfen Dokumentation, Nachweise, Maßnahmenstatus und offene Punkte vor der externen Prüfung.
Weiterentwicklung und Pflege
Wirksam betreiben
Sie haben bereits ein ISMS, möchten es aber aktualisieren, verschlanken oder besser steuerbar machen. Wir unterstützen bei Reviews, Maßnahmenverfolgung, Tool-Nutzung, Management-Reporting und kontinuierlicher Verbesserung.
Aus der Praxis
Typische Herausforderungen im IT-Grundschutz-Projekt
Viele Organisationen starten nicht bei null. Häufig gibt es bereits Sicherheitsrichtlinien, technische Maßnahmen, Backups, Berechtigungskonzepte oder einzelne Auditnachweise. Was oft fehlt, ist die Verbindung zu einem belastbaren ISMS. Wir helfen dabei, diese Punkte fachlich einzuordnen und in eine umsetzbare Roadmap zu überführen.
unklare Abgrenzung des Informationsverbunds
verteilte oder veraltete Dokumentation
fehlende Strukturanalyse und Schutzbedarfsfeststellung
unklare Rollen und Verantwortlichkeiten
offene Anforderungen aus Kunden-, Lieferanten- oder Behördenprüfungen
Unsicherheit bei Bausteinmodellierung und Grundschutz-Check
fehlende Risikoanalyse nach BSI 200-3
knappe interne Ressourcen für Dokumentation und Maßnahmenverfolgung
unklare Entscheidung zwischen Basis-, Kern- und Standard-Absicherung
Vorbereitung auf ISO 27001 auf Basis von IT-Grundschutz
Konkret starten
Lassen Sie Ihre Ausgangslage prüfen
Ob Einstieg, Aufbau, Auditvorbereitung oder Grundschutz++-Einordnung: Der sinnvollste nächste Schritt ist eine kurze fachliche Standortbestimmung. So vermeiden Sie unnötige Projektkomplexität und erhalten eine realistische Einschätzung zu Aufwand, Reihenfolge und Prioritäten.
Direkt klären
Persönliche Einordnung Ihrer Ausgangslage
Ihr Ansprechpartner
Michael Zitzler
Vice President Sales Operations
+49 89 3090488-0
Kurz eingeordnet
Häufige Entscheidungsfragen zu IT-Grundschutz
IT-Grundschutz ist sinnvoll, wenn Informationssicherheit strukturiert, nachvollziehbar und prüfbar aufgebaut werden soll. Besonders passend ist der Ansatz für Organisationen mit regulatorischen Anforderungen, öffentlichem Auftraggeberbezug, Kundenprüfungen oder dem Ziel einer ISO-27001-Zertifizierung auf Basis von IT-Grundschutz.
ISO 27001 beschreibt Anforderungen an ein ISMS. IT-Grundschutz liefert zusätzlich eine konkrete Methodik, Bausteine, Gefährdungen und Maßnahmenempfehlungen. Dadurch wird die Umsetzung greifbarer, aber auch dokumentationsintensiver.
Der IT-Grundschutz-Check zeigt, welche Anforderungen bereits erfüllt sind und wo Lücken bestehen. Er ist eine wichtige Grundlage für Maßnahmenplanung, Priorisierung, Nachweisführung und Auditvorbereitung.
Grundschutz++ ist die Weiterentwicklung des IT-Grundschutzes mit stärkerer Digitalisierung, Automatisierbarkeit und maschinenlesbaren Anforderungen. Für Organisationen ist wichtig zu prüfen, wie bestehende Grundschutz-Arbeit sinnvoll in die neue Methodik überführt werden kann.
Anforderungen
IT-Grundschutz, WiBA und Grundschutz++ richtig einordnen
Für die Umsetzung unterscheidet der IT-Grundschutz verschiedene Vorgehensweisen. Sie helfen dabei, Aufwand und Tiefe passend zum Reifegrad und Ziel der Organisation zu wählen. WiBA kann für kleine und mittlere Organisationen mit begrenzten Ressourcen ein sinnvoller Einstieg sein, um Informationssicherheit strukturiert zu bewerten und erste Maßnahmen abzuleiten. Dazu zählen auch Kommunen und andere öffentliche Einrichtungen.
Grundschutz++ ist die Weiterentwicklung des IT-Grundschutzes. Ziel ist eine stärker digital unterstützte und automatisierbare Methodik mit maschinenlesbaren Anforderungen. Da die Weiterentwicklung noch läuft, sollten Organisationen bestehende Grundschutz-Strukturen nicht vorschnell ersetzen, sondern aktuelle Entwicklungen beobachten und ihre vorhandenen Prozesse und Tools gezielt darauf vorbereiten.
Stand: Oktober 2026
Basis-Absicherung
Die Basis-Absicherung eignet sich für Organisationen, die schnell ein grundlegendes Sicherheitsniveau erreichen möchten. Sie fokussiert auf besonders wichtige Anforderungen und kann ein pragmatischer Einstieg sein, wenn Ressourcen knapp sind oder zunächst Transparenz geschaffen werden soll.
Kern-Absicherung
Die Kern-Absicherung konzentriert sich auf besonders kritische Geschäftsprozesse, Anwendungen und Informationen. Sie ist sinnvoll, wenn nicht sofort der gesamte Informationsverbund betrachtet werden kann, aber zentrale Bereiche gezielt abgesichert werden müssen.
Standard-Absicherung
Die Standard-Absicherung ist der umfassendere Weg für Organisationen, die Informationssicherheit systematisch über den definierten Informationsverbund aufbauen und langfristig betreiben möchten. Sie ist häufig der passende Rahmen für Audit- und Zertifizierungsvorbereitung.
Grundschutz++
Für bestehende IT-Grundschutz-Projekte gilt daher: Vorhandene Dokumentation, Maßnahmen und Tools zunächst bewerten und gezielt weiterentwickeln.
Von der Methodik zur Umsetzung
Unsere Unterstützung beim IT-Grundschutz
Wir verbinden methodische Beratung mit praktischer Umsetzungserfahrung. Ziel ist ein ISMS, das zur Organisation passt, Anforderungen nachvollziehbar abbildet und im Alltag gepflegt werden kann. Sie erhalten keine abstrakte Methodensammlung, sondern klare Ergebnisse: Dokumentation, Maßnahmenplan, Verantwortlichkeiten, Entscheidungsgrundlagen und eine belastbare Roadmap.
Unsere Leistungen umfassen:
Standortbestimmung und IT-Grundschutz-Check
Aufbau eines ISMS nach BSI 200-1
Vorgehen nach BSI 200-2
Risikoanalyse nach BSI 200-3
Strukturanalyse und Schutzbedarfsfeststellung
Modellierung nach IT-Grundschutz-Kompendium
Maßnahmenplanung und Priorisierung
Dokumentation und Nachweisführung
Vorbereitung auf Audits und Zertifizierungen
Unterstützung bei WiBA für kleine und mittlere Organisationen
Einordnung von Grundschutz++
Tool-Unterstützung, zum Beispiel mit GRASP, verinice.veo oder ISiMap
Projektmanagement, Reviews und kontinuierliche Pflege
Klarer Einstieg
Der passende Einstieg für Ihre Ausgangslage
Der Einstieg sollte zur Organisation, zum Reifegrad und zum Ziel passen. Für manche Organisationen ist eine kompakte Standortbestimmung ausreichend. Andere benötigen eine strukturierte Projektbegleitung bis zur Audit- oder Zertifizierungsvorbereitung.
IT-Grundschutz-Standortbestimmung
Orientierung und Roadmap
Für Organisationen, die ihren aktuellen Stand einordnen und den passenden Weg festlegen möchten.
Leistungsumfang
Sichtung vorhandener ISMS-, Sicherheits- und Nachweisdokumentation
Einordnung von Zielsetzung, Scope und Anforderungen
Ersteinschätzung zu Vorgehensweise, Aufwand und Prioritäten
Empfehlung für nächsten Projektschritt
Ergebnis
Kompakte Standortbestimmung mit klarer Empfehlung für Vorgehen, Scope und nächste Maßnahmen.
IT-Grundschutz-Check und Maßnahmenplanung
Lücken erkennen
Für Organisationen, die Anforderungen systematisch prüfen und priorisierte Maßnahmen ableiten möchten.
Leistungsumfang:
Abgleich relevanter Bausteine und Anforderungen
Bewertung vorhandener Maßnahmen
Identifikation von Lücken und Risiken
Priorisierte Maßnahmenplanung
Ergebnisdokumentation für interne Steuerung oder Auditvorbereitung
Ergebnis
Transparenter Überblick über Umsetzungsstand, Lücken, Prioritäten und nächste Schritte.
Audit- und Zertifizierungsvorbereitung
Prüfung vorbereiten
Für Organisationen, die eine externe Prüfung, ein Kundenaudit oder eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz vorbereiten.
Leistungsumfang:
Prüfung von Scope, Dokumentation und Nachweisen
Bewertung offener Maßnahmen
Vorbereitung auf Auditfragen
Unterstützung bei Maßnahmenumsetzung und Nachweiserstellung
Begleitung bis zur prüffähigen Ausgangslage
Ergebnis
Bessere Auditfähigkeit, klare Restpunkte und belastbare Nachweise.
Strukturiert umsetzen
So läuft ein IT-Grundschutz-Projekt ab
Ziel, Scope und Informationsverbund klären
Wir definieren mit Ihnen, welche Organisationseinheiten, Standorte, Prozesse, Anwendungen und IT-Systeme betrachtet werden.
Strukturanalyse durchführen
Die relevanten Geschäftsprozesse, Informationen, Anwendungen, IT-Systeme, Netze, Räume und Dienstleister werden erfasst und nachvollziehbar dokumentiert.
Schutzbedarf feststellen
Wir bewerten gemeinsam, welche Auswirkungen Vertraulichkeits-, Integritäts- oder Verfügbarkeitsverluste haben können.
Modellierung und Grundschutz-Check durchführen
Passende Bausteine werden zugeordnet. Anschließend wird geprüft, welche Anforderungen erfüllt sind und wo Lücken bestehen.
Risikoanalyse und Maßnahmenplanung ableiten
Nicht ausreichend abgedeckte Risiken werden bewertet. Maßnahmen werden priorisiert, Verantwortlichkeiten festgelegt und Umsetzungsaufwände eingeordnet.
Dokumentation, Nachweise und Review vorbereiten
Die Ergebnisse werden so aufbereitet, dass sie intern steuerbar und für Audits nachvollziehbar sind.
Dokumentation beherrschbar machen
Tool-Unterstützung im IT-Grundschutz
IT-Grundschutz kann dokumentationsintensiv werden. Eine geeignete Tool-Unterstützung hilft, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Maßnahmenstatus und Nachweise besser zu steuern.
neam bietet dazu projektbezogene Unterstützung, unter anderem für IT-Grundschutz-Projekte mit GRASP sowie mit verinice.veo und ISiMap. Ziel ist nicht das Tool allein, sondern eine nachvollziehbare Arbeitsweise, die im Betrieb gepflegt werden kann.
Typische Unterstützung:
Auswahl und Einordnung geeigneter Tool-Nutzung
Aufbau einer nachvollziehbaren Informationsstruktur
Modellierung und Maßnahmenverfolgung
Reporting und Review-Vorbereitung
Übergabe in den laufenden ISMS-Betrieb
Dauerhaft wirksam
IT-Grundschutz nach dem Projekt weiterführen
Ein ISMS bleibt nur wirksam, wenn es gepflegt wird. Nach dem Aufbau unterstützen wir bei Reviews, Maßnahmenverfolgung, Management-Reporting, internen Audits, Schulungen und kontinuierlicher Verbesserung.
Je nach Bedarf kann auch ein externer Informationssicherheitsbeauftragter sinnvoll sein. So bleiben Verantwortlichkeiten geklärt, Fortschritte sichtbar und Nachweise aktuell.
Verhalten und Nachweise verbinden
Security Awareness als ISMS-Maßnahme
Awareness übersetzt Sicherheitsziele, Risiken und Richtlinien in verständliches Verhalten. Zielgruppen, Inhalte, Formate, Zuständigkeiten und geeignete Wirksamkeitsnachweise sollten aus dem ISMS abgeleitet, dokumentiert und regelmäßig bewertet werden.
Wissen und Handlungssicherheit
Passende Workshops und Schulungen
Die Formate ergänzen Beratung und Umsetzung dort, wo Management, Fachbereiche oder verantwortliche Rollen gemeinsames Wissen und konkrete Arbeitsergebnisse benötigen.
Grundschutz praktisch anwenden
IT-Grundschutz-Praktiker
Vermittelt das Vorgehen nach BSI IT-Grundschutz von der Strukturanalyse über Risikoanalysen bis zum Sicherheitskonzept. Praktische Übungen bereiten auf die Anwendung im eigenen Unternehmen und die BSI-Prüfung vor.
Verantwortung übernehmen
ISB IT-Grundschutz
Lernen Sie, ein ISMS nach BSI IT-Grundschutz aufzubauen und weiterzuentwickeln, Sicherheitsmaßnahmen zu koordinieren und die Rolle des Informationssicherheitsbeauftragten fundiert auszufüllen. Die Schulung schließt mit einer TÜV-Rheinland-Prüfung ab.
Grundschutz umsetzen
Praxisworkshop: IT-GRUNDSCHUTZ (BSI)
Bearbeiten Sie die zentralen Schritte des IT-Grundschutzes anhand einer praxisnahen Beispielorganisation – von Leitlinie und Strukturanalyse bis zu Schutzbedarf, Modellierung, Risikoanalyse und Realisierungsplanung.
Notfallvorsorge strukturieren
BCM-Praktiker (BSI)
Lernen Sie, Business-Continuity-Management systematisch aufzubauen: von BIA und Risikoanalyse über Notfallorganisation und Krisenkommunikation bis zu Geschäftsfortführungsplänen, Tests und Übungen.
Änderungen sicher einordnen
Update Grundschutz++
Erfahren Sie, was sich mit Grundschutz++ verändert und wie bestehende Vorgehensweisen angepasst werden können. Im Fokus stehen Migration, kontinuierliche Verbesserung, typische Stolpersteine und erste Umsetzungsschritte.
Datensicherung konzipieren
Datensicherungskonzept nach IT-Grundschutz
Lernen Sie, organisatorische und technische Anforderungen an die Datensicherung nach BSI-Vorgaben zusammenzuführen und daraus ein belastbares Datensicherungskonzept für Ihre Organisation zu entwickeln.
Umfeld ISMS digital unterstützen
ISMS-Tools im IT-Grundschutz Umfeld
Lernen Sie ausgewählte ISMS-Tools kennen und erfahren Sie, wie diese bei Dokumentation, Strukturierung und Umsetzung von IT-Grundschutz-Projekten eingesetzt werden können.
Sinnvolle Ergänzungen
Weiterführende Themen
ISMS-Aufbau und Weiterentwicklung
Managementsystem aufbauen
IT-Grundschutz ist ein möglicher Weg, um ein ISMS strukturiert aufzubauen und dauerhaft zu betreiben.
ISB aaS nach IT-Grundschutz
Verantwortung dauerhaft klären
Ein externer Informationssicherheitsbeauftragter kann IT-Grundschutz-Projekte nach dem Aufbau weiterführen, Maßnahmen nachhalten, Reviews vorbereiten und die ISMS-Pflege im Alltag unterstützen.
ISO 27001
Zertifizierung einordnen
Für Organisationen, die prüfen möchten, ob ISO 27001 direkt oder auf Basis von IT-Grundschutz der passendere Weg ist.
NIS2
Anforderungen strukturieren
IT-Grundschutz kann helfen, Sicherheitsanforderungen, Risiken, Maßnahmen und Nachweise im NIS2-Kontext systematisch zu ordnen.
Risikomanagement
Risiken bewerten
Die Risikoanalyse nach BSI 200-3 ist ein zentraler Baustein für nachvollziehbare Entscheidungen im IT-Grundschutz.
BCM und Notfallmanagement
Resilienz stärken
IT-Grundschutz und BCM greifen ineinander, wenn Verfügbarkeit, Wiederanlauf und Notfallvorsorge belastbar geregelt werden sollen.
Kurz beantwortet
Häufig gestellte Fragen
IT-Grundschutz ist eine Methodik des BSI zum Aufbau, Betrieb und zur Verbesserung von Informationssicherheit. Er verbindet Standards, Kompendium, Bausteine, Gefährdungen und Anforderungen zu einem strukturierten Vorgehen.
IT-Grundschutz eignet sich besonders für öffentliche Einrichtungen, Kommunen, regulierte Organisationen, KRITIS-nahe Unternehmen, IT-Dienstleister und Unternehmen mit hohen Nachweis-, Audit- oder Sicherheitsanforderungen.
Der IT-Grundschutz-Check prüft, ob relevante Anforderungen umgesetzt sind. Er zeigt Lücken, offene Maßnahmen und Prioritäten für die weitere Umsetzung.
Dabei wird eine ISO-27001-Zertifizierung mit der Methodik des BSI IT-Grundschutz verbunden. Ob dieser Weg sinnvoll ist, hängt von Scope, Anforderungen, Reifegrad und Zertifizierungsziel ab.
WiBA ist ein pragmatischer Einstieg für kleine und mittlere Organisationen mit begrenzten Ressourcen, die ihren Stand der Informationssicherheit strukturiert erfassen und priorisierte Maßnahmen ableiten möchten. Kommunen sind dabei ein wichtiger Anwendungsfall.
Grundschutz++ ist die Weiterentwicklung des IT-Grundschutzes. Ziel ist eine stärker digital unterstützte und automatisierbare Methodik mit maschinenlesbaren Anforderungen. Da die Weiterentwicklung noch läuft, sollten Organisationen bestehende Grundschutz-Strukturen nicht vorschnell ersetzen, sondern aktuelle Entwicklungen beobachten und ihre vorhandenen Prozesse und Tools gezielt darauf vorbereiten. Stand: Oktober 2026
Das hängt von Größe, Scope, vorhandener Dokumentation, Reifegrad und Zielsetzung ab. Eine Standortbestimmung hilft, Aufwand und Projektlogik realistisch einzuschätzen.
Typische Ergebnisse sind Scope, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Grundschutz-Check, Risikoanalyse, Maßnahmenplan, Sicherheitskonzept, Nachweise und Review-Unterlagen.
Ja, sofern sie aktuell, nachvollziehbar und fachlich passend sind. Ziel ist nicht, alles neu zu schreiben, sondern vorhandene Inhalte sinnvoll zu prüfen, zu ordnen und zu ergänzen.
Ja. Neben Beratung und Projektbegleitung sind Reviews, interne Audits, Schulungen, Tool-Unterstützung und laufende ISMS-Unterstützung möglich.
Nächster Schritt
IT-Grundschutz pragmatisch starten
Sie möchten wissen, welcher IT-Grundschutz-Weg für Ihre Organisation sinnvoll ist? Wir prüfen mit Ihnen Ausgangslage, Zielbild, Anforderungen und nächste Schritte.