BSI IT-Grundschutz verständlich erklärt

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist die bewährte deutsche Methode, um Informationssicherheit systematisch aufzubauen. Er ist mit ISO 27001 kompatibel, geht aber deutlich konkreter auf die Umsetzung ein – von der Methodik bis zur einzelnen Anforderung an Prozesse, Anwendungen und IT-Systeme.

IT-Grundschutz ruht auf zwei Säulen: den BSI-Standards, die beschreiben, wie du Informationssicherheit managst, und dem IT-Grundschutz-Kompendium, das beschreibt, was du konkret umsetzen solltest.

Die BSI-Standards 200-1 bis 200-4

• BSI-Standard 200-1 – Managementsysteme für Informationssicherheit: allgemeine Anforderungen an ein ISMS, kompatibel mit ISO/IEC 27001
• BSI-Standard 200-2 – IT-Grundschutz-Methodik: der Weg zum Sicherheitskonzept mit den Vorgehensweisen Basis-, Standard- und Kern-Absicherung
• BSI-Standard 200-3 – Risikoanalyse auf der Basis von IT-Grundschutz: ergänzende Risikoanalyse, etwa bei hohem Schutzbedarf
• BSI-Standard 200-4 – Business Continuity Management: Aufbau eines Notfall- und Krisenmanagements, mit Bezug zur ISO 22301

Das IT-Grundschutz-Kompendium

Das Kompendium enthält die Bausteine, verteilt auf zehn Schichten – vom Sicherheitsmanagement über Organisation und Personal, Betrieb, Anwendungen und IT-Systeme bis zu Netzen und Infrastruktur. Jeder Baustein beschreibt typische Gefährdungen und die Anforderungen, die du erfüllen solltest. Aktuell ist die Edition 2023, verfügbar seit dem 1. Februar 2023.

Das BSI entwickelt den IT-Grundschutz grundlegend weiter. Grundschutz++ ist prozessorientiert und maschinenlesbar: Ein neuer Anwenderkatalog soll das Kompendium ersetzen, die Anforderungen liegen als auswertbare Regeln vor.

Laut Meilensteinplan des BSI (Stand Oktober 2026):

• April bis August 2026: Pilotierung der Methodik mit Partnern aus Verwaltung und Wirtschaft
• 27. Oktober 2026: Veröffentlichung der Methodik auf der it-sa in Nürnberg
• 30. November 2026: Veröffentlichung der neuen Schulungskonzepte für Grundschutz++-Praktiker und -Berater
• ab 1. Januar 2027: Zertifizierung nach ISO 27001 auf Basis von Grundschutz++ möglich
• 30. November 2031: Ende der Zertifizierbarkeit nach dem bisherigen IT-Grundschutz

Für dich heißt das: Der bisherige IT-Grundschutz bleibt in einer mehrjährigen Übergangszeit anwendbar. Wer heute startet oder ein bestehendes ISMS betreibt, arbeitet mit Standards und Kompendium weiter und plant den Umstieg rechtzeitig ein. Termine können sich ändern – maßgeblich ist der aktuelle Meilensteinplan des BSI.

• Bundesverwaltung: Für Einrichtungen der Bundesverwaltung sind die BSI-Standards, das IT-Grundschutz-Kompendium und die Mindeststandards des BSI verbindlich (§ 44 BSI-Gesetz).
• Länder und Kommunen: Viele öffentliche Stellen orientieren sich am IT-Grundschutz oder nutzen ihn als Maßstab für ihr ISMS.
• Unternehmen und Betreiber kritischer Anlagen: Wer ein sehr konkretes Vorgehen sucht, findet im IT-Grundschutz eine detaillierte Anleitung – auch als Grundlage für die Pflichten aus NIS2.
• Dienstleister der öffentlichen Hand: Auftraggeber können Kenntnisse oder Nachweise nach IT-Grundschutz verlangen.

Das BSI hat ein zweistufiges Qualifizierungskonzept:

1. IT-Grundschutz-Praktiker: Basisschulung nach dem Curriculum des BSI (alternativ Selbststudium) und Prüfung. Die Praktiker-Prüfung nimmt der Schulungsanbieter ab.
2. IT-Grundschutz-Berater: Aufbauschulung und anschließende Prüfung beim BSI. Zusätzlich verlangt das BSI Nachweise über mehrjährige Berufserfahrung in IT und Informationssicherheit sowie über Beratungsprojekte nach IT-Grundschutz. Die Zertifizierung gilt jeweils drei Jahre.

Für das Notfall- und Krisenmanagement nach BSI-Standard 200-4 gibt es zusätzlich den BCM-Praktiker.

Die expertree academy ist beim BSI als Schulungsanbieter gelistet – für die Basisschulung zum IT-Grundschutz-Praktiker, die Aufbauschulung zum IT-Grundschutz-Berater und die Schulung zum BCM-Praktiker. Die Prüfungen zum IT-Grundschutz-Praktiker und zum BCM-Praktiker legst du bei uns ab; die Prüfung zum IT-Grundschutz-Berater nimmt ausschließlich das BSI ab.

1. Informationsverbund festlegen: Welche Prozesse, Standorte und Systeme sollen abgesichert werden?
2. Vorgehensweise wählen: Basis-Absicherung für einen schnellen, breiten Einstieg, Standard-Absicherung als Ziel für ein vollständiges ISMS, Kern-Absicherung für besonders kritische Bereiche.
3. Strukturanalyse und Schutzbedarfsfeststellung: Geschäftsprozesse, Anwendungen, IT-Systeme und Räume erfassen und ihren Schutzbedarf bestimmen.
4. Modellierung und IT-Grundschutz-Check: passende Bausteine zuordnen und prüfen, welche Anforderungen schon erfüllt sind.
5. Risikoanalyse und Umsetzung: bei hohem Schutzbedarf eine Risikoanalyse nach BSI-Standard 200-3 ergänzen, dann Maßnahmen planen und umsetzen.

Den Einstieg bietet die Basisschulung zum IT-Grundschutz-Praktiker. Darauf bauen die Aufbauschulung zum IT-Grundschutz-Berater und der BCM-Praktiker auf.

Du willst dein Wissen testen? Probier unsere 10 Prüfungsfragen zum IT-Grundschutz-Praktiker und die 10 Prüfungsfragen zum BCM-Praktiker aus.

Stand: Oktober 2026. Wir stützen uns vorrangig auf Primärquellen:

• BSI: IT-Grundschutz
• BSI: BSI-Standards 200-1 bis 200-4
• BSI: IT-Grundschutz-Kompendium (Edition 2023)
• BSI: Grundschutz++ mit Meilensteinplan (Stand Oktober 2026)
• BSI: Personenzertifizierung IT-Grundschutz-Berater
• BSI: Zertifizierungsprogramm IT-Grundschutz-Berater, Version 2.1 vom 01.02.2026
• BSI-Gesetz (BSIG), § 44 Vorgaben des Bundesamtes