BSI-Standard 300-1 (BSI 300-1): die Methodik Grundschutz++ erklärt.

Wer mit IT-Grundschutz gearbeitet hat, kennt die BSI-Standards der Reihe 200 und das Kompendium mit seinen Bausteinen. Grundschutz++ trennt anders: Der BSI-Standard 300-1 beschreibt das Vorgehen, also was ihr in welcher Reihenfolge erhebt, entscheidet und dokumentiert. Die Anforderungen selbst stehen im Anwenderkatalog, den das BSI maschinenlesbar im OSCAL-Format in der Stand-der-Technik-Bibliothek veröffentlicht. Wer den Standard liest und eine Liste von Maßnahmen erwartet, sucht an der falschen Stelle.

Version 1.0 richtet sich laut Einleitung in erster Linie an „Early Adopters“, also erfahrene Institutionen, die Grundschutz++ früh einführen wollen (Kapitel 1). Sie wurde mit der Grundschutz-Community entwickelt und in ausgewählten Pilotierungsinstitutionen erprobt. Der Ablauf folgt dem PDCA-Zyklus; erst die Wiederholung des Zyklus baut das ISMS schrittweise aus.

Der Standard verweist selbst auf die ISO/IEC 27001: In Prozessschritt 1 werden die Aktivitäten aus deren Kapiteln 4 und 5 durchgeführt, in Prozessschritt 2 die aus Kapitel 6 und 10, und die Methodik-Anforderungen im Katalog bilden die Kapitel 4 bis 10 der Norm ab (Kapitel 2, 3 und 3.4). Laut Meilensteinplan des BSI können ab dem 1. Januar 2027 Anträge auf eine ISO-27001-Zertifizierung auf Basis von Grundschutz++ gestellt werden.

Das Anforderungspaket setzt sich aus drei Arten zusammen (Kapitel 3.4): Methodik-Anforderungen gelten für jeden Informationsverbund und bilden die Kapitel 4 bis 10 der ISO/IEC 27001 ab; ein individuelles Vorgehen ist nicht vorgesehen. Technische und organisatorische Anforderungen ohne Zielobjektkategorie sind ebenfalls immer aufzunehmen. Anforderungen mit Zielobjektkategorie gelten, soweit Assets dieser Kategorie zugeordnet sind. Weil ein Asset auch die übergeordneten Kategorien erhält, werden deren Anforderungen vererbt; doppelte Anforderungen zählen nur einmal.

Hinzu kommen Ergänzungen: eigene Anforderungen, wenn ein Asset nicht hinreichend abgedeckt ist, und Verpflichtungen aus Compliance-Management und Stakeholder-Analyse (Kapitel 3.4.3). Parameter wie „regelmäßig“ werden bei oder nach der Erstellung des Pakets konkretisiert, sofern keine Blaupause sie festschreibt (Kapitel 3.5). Anforderungen des Sicherheitsniveaus „erhöht“ sind KANN-Anforderungen und helfen vor allem in der Risikobetrachtung (Kapitel 3.4.2).

Auch der Detaillierungsgrad der Dokumentation richtet sich nach dem Schutzbedarf (Kapitel 3.2): Bei hohem Schutzbedarf werden Zugehörigkeit und Abhängigkeiten der Assets zum Geschäftsprozess dokumentiert, weil sich die Risikobetrachtung an diesen Zusammenhängen orientiert. Bei normalem Schutzbedarf genügen mindestens die Abhängigkeiten zwischen Anwendungen und IT-Systemen sowie zwischen IT-Systemen und Räumen.

Aus dem Anforderungspaket entsteht ein Umsetzungsplan (Kapitel 4.3). Für jede Anforderung muss erkennbar sein, welche Maßnahmen ihr zugeordnet sind; für jede Maßnahme werden mindestens die Anforderung, das Datum der Umsetzung oder Überprüfung und die dokumentierende oder prüfende Person festgehalten. Nachweise sind der Maßnahme eindeutig zuzuordnen; bei automatisierten Prüfungen auch Werkzeug, Zeitpunkt und Ergebnis. Eine Historie der Änderungen wird empfohlen.

Zuständigkeiten und Fristen gibt die Leitung frei, weil sie die Ressourcen stellt (Kapitel 4.4). Der Fortschritt wird laufend verfolgt, und wer umsetzt, soll nicht zugleich den eigenen Fortschritt überwachen (Kapitel 4.5).

Die Prozessschritte 4 und 5 schließen den Kreis. Die Leistungsbewertung gestalten die Institutionen vorerst selbst, weil einheitliche Vorgaben noch ausstehen (Kapitel 5.1); laut Meilensteinplan soll ein Konzept zur Leistungsmessung im Februar 2027 folgen. Hinzu kommen internes Auditprogramm (5.2), Managementbewertung durch die Leitung (5.3), Verfahren für Vorfälle, Schwachstellen und neue Bedrohungen (5.4) und die Validierung der Anforderungen, etwa wenn sich Bibliothek oder Blaupausen ändern (5.5). In Kapitel 6 werden Nicht-Konformitäten auf ihre Ursachen untersucht, Verbesserungen in einen Korrektur- und Verbesserungsplan übernommen und Maßnahmen anhand messbarer Kriterien auf Wirksamkeit geprüft (6.1 bis 6.4).