Das IT-Grundschutz-Kompendium

Das Wichtigste in Kürze:

• 111 Bausteine, 10 Schichten: Das IT-Grundschutz-Kompendium (Edition 2023) bündelt konkrete Sicherheitsanforderungen für IT-Systeme, Prozesse und Organisation – strukturiert nach Themenbereichen von Anwendungen bis Sicherheitsmanagement.
• IT-Dokumentation als Fundament: Ohne eine vollständige, aktuelle Übersicht über Systeme, Berechtigungen und Netzwerke lässt sich keine der Anforderungen zuverlässig nachweisen – gerade bei Audits wird das zum Engpass.
• Grundschutz++ als Weiterentwicklung: Das BSI modernisiert das Kompendium schrittweise zu einem maschinenlesbaren Regelwerk. Die bestehende Struktur bleibt während der Übergangsphase zertifizierungsrelevant.

Das IT-Grundschutz-Kompendium des BSI umfasst aktuell 111 Bausteine in 10 Schichten – und wird jährlich zum 1. Februar aktualisiert. Es ersetzt seit 2017 die früheren IT-Grundschutzkataloge und bildet zusammen mit den BSI-Standards 200-1 bis 200-4 die Basis für ein zertifizierungsfähiges ISMS. Dieser Artikel zeigt, wie das Kompendium aufgebaut ist, was sich 2026 mit Grundschutz++ ändert – und wie Sie als IT-Verantwortliche bei 111 Bausteinen den Überblick behalten.

Was ist das IT-Grundschutz-Kompendium – und wofür brauchen Sie es?

Das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist das zentrale Nachschlagewerk für Informationssicherheit in deutschen Unternehmen und Behörden. Es hat 2017 die früheren IT-Grundschutzkataloge abgelöst. Aus umfangreichen, unhandlichen Dokumentensammlungen wurde eine kompaktere, modular aufgebaute Struktur.

Jeder Baustein beschreibt ein einzelnes Thema: von Servern über Cloud-Nutzung bis zum mobilen Arbeiten. Zu jedem Baustein gehören typische Gefährdungen sowie Sicherheitsanforderungen in drei Stufen – Basis, Standard und erhöhter Schutzbedarf. Für Bereiche mit normalem Schutzbedarf hat das BSI die Risikobewertung bereits vorweggenommen. Eine eigene Risikoanalyse ist dort im Regelfall nicht nötig. Wie sich das Kompendium methodisch in die Gesamtmethodik des BSI einordnet, zeigt der weiterführende Artikel dazu.

111 Bausteine in 10 Schichten: So ist das Grundschutz-Kompendium strukturiert

Die Bausteine der Edition 2023 gliedern sich in zehn Schichten. Fünf davon sind prozessorientiert und gelten für den gesamten Informationsverbund, fünf sind systemorientiert und betreffen einzelne Zielobjekte oder Systemgruppen:

• ISMS – Sicherheitsmanagement: Aufbau und Steuerung des gesamten Informationssicherheitsprozesses
• ORP – Organisation und Personal: Zuständigkeiten, Schulungen, Berechtigungsvergabe
• CON – Konzepte und Vorgehensweisen: übergreifende Konzepte wie Kryptografie oder Datensicherung
• OPS – Betrieb: Regelbetrieb, Wartung, Auslagerung an Dienstleister
• DER – Detektion und Reaktion: Angriffserkennung und Vorfallbehandlung
• APP – Anwendungen: einzelne Software von Webanwendungen bis E-Mail
• SYS – IT-Systeme: Server, Clients, Speicherlösungen
• IND – Industrielle IT: Produktions- und Automatisierungstechnik
• NET – Netze und Kommunikation: Netzwerkarchitektur, Fernzugriff
• INF – Infrastruktur: Gebäude, Rechenzentren, Verkabelung

In der Edition 2023 hat das BSI zehn Bausteine neu ergänzt und 21 grundlegend überarbeitet, unter anderem zu Cloud-Sicherheit und Container-Virtualisierung. Alle Bausteine stehen einzeln zum Download bereit und tragen am Ende jeweils eine Kreuzreferenztabelle, über die sich die Anforderungen direkt auf ISO 27001 abbilden lassen. Das erklärt, warum viele Unternehmen das Kompendium auch ohne eigene BSI-Zertifizierung als praxisnahe Ergänzung zu ISO 27001 nutzen.

Welche Absicherungsstufe passt zu Ihrem Unternehmen?

Nicht jede Organisation muss sofort alle 111 Bausteine vollständig umsetzen. Der zugehörige BSI-Standard 200-2 unterscheidet drei Stufen:

• Basis-Absicherung: schneller Einstieg über die wichtigsten Anforderungen aller relevanten Bausteine – geeignet für Unternehmen ohne bestehendes ISMS
• Kern-Absicherung: fokussierte Absicherung besonders schützenswerter Prozesse und Assets, wenn Zeit oder Ressourcen begrenzt sind
• Standard-Absicherung: vollständige Umsetzung für den gesamten Informationsverbund – Grundlage für eine Zertifizierung nach ISO 27001 auf Basis des Kompendiums

Für die meisten mittelständischen Unternehmen ist die Basis-Absicherung der pragmatische erste Schritt. Sie deckt die kritischsten Anforderungen ab, ohne dass sofort ein vollständiges Managementsystem stehen muss.

Für wen ist das IT-Grundschutzkompendium besonders relevant?

Auch wenn sich das Kompendium primär an Behörden richtet, nutzen es drei Unternehmensgruppen regelmäßig als praktische Arbeitsgrundlage. KRITIS-Betreiber müssen ihre Absicherung ohnehin nachweisen und finden in den Bausteinen einen bereits anerkannten Maßstab. Unternehmen auf dem Weg zur ISO-27001-Zertifizierung setzen die Bausteine häufig als konkretere Ergänzung zu den eher abstrakten ISO-Controls ein. Und NIS-2-regulierte Betriebe profitieren davon, dass sich viele Anforderungen aus Art. 21 direkt auf bestehende Bausteine abbilden lassen, statt ein Risikomanagement komplett neu zu entwickeln.

Für alle drei Gruppen gilt derselbe Ausgangspunkt: Ohne eine belastbare Übersicht über die eigene IT-Landschaft bleibt jede Zuordnung zu den Bausteinen Theorie.

Warum ist eine vollständige IT-Dokumentation die Grundlage dafür?

Eine lückenlose IT-Dokumentation sorgt für Transparenz: Sie zeigt, welche Systeme im Einsatz sind, wie sie zusammenhängen und wo Lücken bestehen könnten. Ohne diese Basis lässt sich kein Baustein sauber modellieren. Die Zuordnung der Bausteine zu den tatsächlichen IT-Komponenten scheitert sonst an fehlenden oder veralteten Daten.

Bei Audits verlangen Prüfer genau diesen Nachweis: Welche Anforderung ist wie umgesetzt, und womit lässt sich das belegen? Eine veraltete Softwareversion oder ein unbekanntes System wird so schnell zum Sicherheitsrisiko – und zum Diskussionspunkt im Prüfbericht.

Wie behalten Sie bei 111 Bausteinen den Überblick?

Bei zehn Schichten und über hundert Einzelbausteinen reicht eine reine Liste selten aus, um Abhängigkeiten zu erkennen. Viele IT-Sicherheitsbeauftragte arbeiten deshalb mit einer Mindmap: Die zehn Schichten bilden die Hauptäste, die relevanten Bausteine je Schicht die Unteräste – ergänzt um den Umsetzungsstatus je Ast.

Der Vorteil gegenüber einer reinen Tabelle: Eine Mindmap macht auf einen Blick sichtbar, welche Schicht noch Lücken hat – etwa wenn in der Schicht NET kaum Bausteine bearbeitet sind, in APP dagegen fast alle. Für eine belastbare Mindmap braucht es drei Angaben pro Baustein: den Umsetzungsstatus, die zuständige Person und die Frist bis zur nächsten Prüfung. Wer diese Struktur bereits mit Docusnap automatisiert aus dem Inventar ableitet, muss die Zuordnung nicht manuell in einem Zeichenprogramm nachbauen.

Ein Beispiel aus der Praxis: Ein mittelständischer IT-Dienstleister ordnet seine wichtigsten Server zunächst der Schicht SYS zu, die Firewall-Konfiguration der Schicht NET und die Zutrittsregelung zum Serverraum der Schicht INF. Schon nach dieser groben Zuordnung wird sichtbar, dass die Schicht DER – Detektion und Reaktion – noch komplett unbearbeitet ist. Genau solche blinden Flecken bleiben in einer reinen Bausteinliste leicht unbemerkt, in einer Mindmap fallen sie sofort auf.

Grundschutz-Kompendium: Wie gehen Sie methodisch vor?

Der BSI-Standard 200-2 beschreibt die Vorgehensweise in klaren Schritten. Für den Einstieg reichen im Kern drei davon.

Schritt 1 – Strukturanalyse: Sie erheben, welche IT-Systeme, Anwendungen, Räume und Prozesse überhaupt existieren. Ohne aktuelle Inventardaten beginnt dieser Schritt in der Praxis oft mit einer mühsamen Bestandsaufnahme in Excel.

Schritt 2 – Schutzbedarfsfeststellung: Sie bewerten pro System, wie kritisch Vertraulichkeit, Integrität und Verfügbarkeit sind. Ein Kundenserver mit Zahlungsdaten hat einen anderen Schutzbedarf als ein Testsystem ohne Produktivdaten.

Schritt 3 – Modellierung: Sie ordnen jedem Zielobjekt die passenden Bausteine aus den zehn Schichten zu. Ein Windows-Server bekommt beispielsweise Anforderungen aus SYS, ein Rechenzentrum aus INF.

Im Anschluss folgt der IT-Grundschutz-Check: ein Soll-Ist-Vergleich, bei dem Sie den Umsetzungsstatus jeder Anforderung dokumentieren – als „ja", „teilweise", „nein" oder „entbehrlich", falls eine Gefährdung im konkreten Fall nicht zutrifft.

Zu jedem Baustein stellt das BSI zusätzlich Umsetzungshinweise bereit, die einzelne Sicherheitsmaßnahmen konkretisieren und Beispiele liefern. Wer neu einsteigt, sollte diese Hinweise parallel zum jeweiligen Baustein lesen – sie klären typische Zweifelsfälle, etwa welche Konfiguration eine Anforderung im Baustein SYS.1.1 tatsächlich erfüllt.

Was hat sich beim IT-Grundschutz-Kompendium 2026 geändert?

Das BSI entwickelt das Kompendium unter dem Namen Grundschutz++ weiter. Ziel ist ein Regelwerk, dessen Anforderungen als standardisierte Regeln vorliegen – auswertbar durch Software statt nur lesbar für Menschen. Statt eines jährlichen PDFs entsteht so ein Format, das sich fortlaufend versionieren lässt.

Für die Praxis heißt das zunächst: Die bestehende Struktur mit ihren 111 Bausteinen bleibt während der Übergangsphase gültig und zertifizierungsrelevant. Wer heute ein ISMS auf Basis der Edition 2023 aufbaut, verliert diese Arbeit nicht. Die Migration erfolgt schrittweise, nicht als harter Umstieg über Nacht.

Für IT-Verantwortliche lohnt sich trotzdem ein Blick auf zwei Punkte. Erstens verweist auch das NIS2UmsuCG ausdrücklich auf das etablierte Vorgehen nach dem Kompendium als Weg, um die Risikomanagement-Pflichten aus Art. 21 der NIS-2-Richtlinie zu erfüllen. Zweitens dürfte ein standardisiertes, auswertbares Format die Integration in bestehende IT-Dokumentation und automatisierte Reports mittelfristig erleichtern – wovon Unternehmen mit aktueller Inventarbasis zuerst profitieren.

Konkret bringt Grundschutz++ laut BSI unter anderem praxiserprobte Checklisten aus dem „Weg in die Basis-Absicherung" fest in das Regelwerk ein. Kleine Institutionen sollen damit grundlegende Sicherheitsanforderungen umsetzen können, ohne vorab ein komplettes Managementsystem für Informationssicherheit aufzubauen. Größere Organisationen nutzen dieselben Checklisten eher als Startpunkt, von dem aus sie schrittweise zu einem vollwertigen ISMS ausbauen.

Welche Inhalte gehören in die IT-Dokumentation nach dem Grundschutz-Kompendium?

Das Kompendium empfiehlt eine Dokumentation, die mehrere Aspekte der IT-Landschaft abdeckt – und die regelmäßig aktuell gehalten wird.

Welche IT-Komponenten müssen Sie erfassen?

Der erste Schritt ist die Inventarisierung aller relevanten Komponenten:

• Hardware: Server, Arbeitsplätze, mobile Geräte, Peripherie
• Software: Betriebssysteme, Anwendungen, Datenbanken
• Netzwerkstrukturen: Router, Switches, Firewalls, VPN-Verbindungen
• Cloud-Services und externe Dienstleister: genutzte Plattformen und deren Sicherheitsmaßnahmen

Eine kontinuierliche Aktualisierung stellt sicher, dass neue Komponenten zeitnah in die Bausteinzuordnung einfließen. Veraltete Systeme fallen so auf, statt erst beim nächsten Audit entdeckt zu werden.

Welche Sicherheitsrichtlinien gehören dazu?

Sicherheitsrichtlinien regeln den Umgang mit Passwörtern, E-Mail-Nutzung, mobilen Geräten und dem Verhalten bei Sicherheitsvorfällen. Betriebsanweisungen ergänzen das um konkrete Handlungsschritte.

Klar dokumentierte Verfahren reduzieren menschliche Fehler spürbar. Wenn Mitarbeitende genau wissen, was im Vorfall-Fall zu tun ist, verkürzt das die Reaktionszeit erheblich.

Viele dieser Richtlinien existieren in Unternehmen bereits – oft verstreut auf Intranet-Seiten, alte Word-Dateien oder mündliche Absprachen. Der Baustein ORP.2 „Personal" und der Baustein CON.2 „Datenschutz" verlangen dagegen eine nachvollziehbare, schriftliche Fassung, die bei Bedarf auch einem Auditor vorgelegt werden kann.

Wie lässt sich die Bausteinzuordnung automatisieren?

Agentenlose Inventarisierungstools wie Docusnap erfassen Hardware, Software und Netzwerke automatisiert und halten die Datenbasis für die Bausteinzuordnung laufend aktuell. Die Berechtigungsanalyse deckt zusätzlich unautorisierte oder übermäßige Zugriffsrechte auf – ein Punkt, den mehrere Bausteine der Schicht ORP ausdrücklich fordern.

Grundschutz-Kompendium: Was nehmen Sie mit?

Das Kompendium ist kein Selbstzweck, sondern ein Werkzeug, um Sicherheitsrisiken systematisch zu senken und gesetzliche Vorgaben nachweisbar zu erfüllen. Wer die 111 Bausteine sauber auf seine reale IT-Landschaft abbildet, profitiert von einer belastbaren Grundlage für Audits, NIS-2-Nachweise und die kommende Umstellung auf Grundschutz++. Der größte Hebel liegt dabei selten in einem einzelnen Baustein, sondern in einer Dokumentation, die mit der IT-Landschaft mitwächst statt ihr hinterherzulaufen.