Der IT-Grundschutzkatalog

Das Wichtigste in Kürze:

• Die IT-Grundschutzkataloge des BSI gelten seit Februar 2018 offiziell als abgelöst – ersetzt wurden sie durch ein moderneres Regelwerk mit kompakteren Bausteinen.
• Die Kataloge selbst bleiben als historische Referenz relevant: Ältere Zertifizierungen, Ausschreibungen und Lehrbücher verweisen noch häufig auf sie – wer sie zitiert sieht, sollte den heutigen Stand kennen.
• Das BSI bereitet den nächsten Schritt bereits vor: Ein digitales, maschinenlesbares Regelwerk soll die bisherige Textform ablösen, mit Übergangsphase bis Ende 2028. Docusnap hilft, die dafür nötige IT-Dokumentation durchgehend aktuell zu halten.

Die IT-Grundschutzkataloge des BSI sind seit Februar 2018 offiziell nicht mehr die gültige Referenz – gesucht werden sie trotzdem beinahe täglich. Der Grund: Viele Ausschreibungen und interne Richtlinien verweisen bis heute auf die alten Katalogwerke, obwohl das BSI die Struktur längst grundlegend verändert hat. Dieser Artikel ordnet ein, was die Grundschutzkataloge waren, wodurch sie ersetzt wurden und was für Unternehmen heute wirklich zählt.

Was waren die IT-Grundschutzkataloge des BSI?

Die IT-Grundschutzkataloge waren eine umfangreiche Dokumentensammlung des Bundesamts für Sicherheit in der Informationstechnik. Vorläufer war das IT-Grundschutzhandbuch, das 1995 mit 18 Bausteinen und rund 200 Maßnahmen startete. Bis 2004 wuchs es auf 58 Bausteine und 720 Maßnahmen an, der Umfang stieg dabei von rund 150 auf über 2.550 Seiten. 2005/2006 teilte das BSI das Handbuch in die separaten Grundschutzkataloge und die neuen BSI-Standards der 100er-Reihe auf. Die letzte Katalog-Fassung aus dem Jahr 2016 kam mit allen Ergänzungslieferungen auf über 4.800 Seiten – ein Umfang, der die praktische Arbeit zunehmend erschwerte.

Inhaltlich gliederten sich die Grundschutzkataloge in drei Hauptteile:

• Bausteinkatalog: beschreibt typische IT-Komponenten und Prozesse
• Gefährdungskatalog: sammelt mögliche Bedrohungen je Baustein
• Maßnahmenkatalog: nennt konkrete technische und organisatorische Schutzmaßnahmen

Zusätzlich ordneten die Kataloge jeden Baustein einer von fünf Schichten zu: übergreifende Aspekte, Infrastruktur, IT-Systeme, Netze und Anwendungen. Jede Schicht deckte einen eigenen Bereich der IT-Landschaft ab, von organisatorischen Vorgaben bis zu einzelnen Servern und Netzwerkkomponenten. Ergänzt wurden die Kataloge durch die BSI-Standards 100-1 bis 100-4, die die grundlegende Vorgehensweise beschrieben.

Ein Baustein trug beispielsweise die Bezeichnung B 1.0 für übergreifendes Sicherheitsmanagement, ein anderer S 2.1 für organisatorische Vorgaben im Serverraum. Verpflichtend war die Anwendung ursprünglich nur für Bundesbehörden. Private Unternehmen nutzten die Kataloge freiwillig, häufig auf Verlangen öffentlicher Auftraggeber oder im Rahmen einer BSI-Zertifizierung. Diese Aufteilung gilt beim aktuellen Nachfolgewerk unverändert fort. Auf dieser Basis konnten Unternehmen ein BSI-Zertifikat für nachgewiesene IT-Sicherheit erlangen. Wer heute noch auf die Originaldokumente stößt, findet sie im Online-Archiv des BSI.

Seit wann gelten die BSI IT-Grundschutzkataloge nicht mehr als aktuell?

Das BSI löste die Kataloge im Februar 2018 ab. An ihre Stelle trat ein kompakteres Nachfolgewerk mit rund 80 Bausteinen zu je etwa zehn Seiten, das seither jährlich aktualisiert wird. Mit der Ablösung überführte das BSI auch die alten Standards 100-1 bis 100-4 in die neue 200er-Reihe. Wer sich heute zertifizieren lässt, bezieht sich ausschließlich auf diese neue Struktur. Mehr zum Aufbau und den aktuellen Inhalten liefert unser Beitrag zum IT-Grundschutz-Kompendium.

Für die ISO-27001-Zertifizierung auf BSI-Basis bildeten die Grundschutzkataloge lange das technische Fundament. Heute übernimmt das Nachfolgewerk diese Rolle, die Zertifizierungslogik selbst hat sich dabei kaum verändert: Es geht weiterhin darum nachzuweisen, dass Risiken systematisch erkannt und behandelt werden.

Welche Rolle spielen die alten IT-Grundschutzkataloge heute noch?

Für die meisten Unternehmen sind die Grundschutzkataloge reine Geschichte, mit einer Ausnahme. Wer vor 2018 zertifiziert wurde oder alte Prüfberichte referenziert, trifft in Verträgen und Audit-Unterlagen noch auf die frühere Terminologie. Wichtig ist dann vor allem, die alten Bausteine korrekt den heutigen zuzuordnen, sonst entstehen bei Re-Zertifizierungen unnötige Lücken.

Auch in drei weiteren Fällen taucht der alte Begriff regelmäßig auf:

• in Lehrgängen und älteren Fachbüchern, die noch nicht aktualisiert wurden
• in historischen Verträgen mit Behörden oder KRITIS-Betreibern
• in Vergabeunterlagen, die auf frühere Sicherheitskonzepte verweisen

Ein Praxisbeispiel zu den IT-Grundschutzkatalogen

Ein typisches Szenario aus unserer Beratungspraxis: Ein mittelständischer Maschinenbaubetrieb mit rund 200 Mitarbeitenden ließ sich 2016 noch nach den damaligen Grundschutzkatalogen zertifizieren. Bei der ersten Re-Zertifizierung 2024 zeigte sich, dass mehrere referenzierte Bausteine im neuen Regelwerk nicht mehr in dieser Form existierten. Andere Bausteine waren umbenannt oder zusammengelegt worden. Der Auditor verlangte eine vollständige Neuzuordnung aller alten Nachweise zu aktuellen Bausteinen – ein Aufwand, den eine durchgehend gepflegte IT-Dokumentation deutlich reduziert hätte.

Ähnliche Fälle zeigen sich häufig auch außerhalb von Audits: bei Übernahmen, wenn ein neu erworbenes Unternehmen noch nach altem Stand zertifiziert war, oder bei Behörden, die interne Richtlinien seit Jahren nicht aktualisiert haben.

Genau hier setzt eine automatisierte Inventarisierung an. Tools wie Docusnap halten die Zuordnung zwischen Systemen und Bausteinen fortlaufend aktuell – unabhängig davon, wie oft sich das BSI-Regelwerk noch ändert.

Was ändert sich 2026 beim BSI-Regelwerk?

Das BSI bereitet aktuell die nächste Modernisierung vor: ein vollständig digitales, maschinenlesbares Regelwerk im JSON-Format. Es soll die bisherige Textform in PDF- und Buchform ablösen und Anforderungen direkt maschinell auswertbar machen. Nach BSI-Angaben soll das neue Regelwerk die Anforderungen um bis zu 80 Prozent verschlanken. Ein neues Punktesystem für Schutzziele soll zusätzlich den Fortschritt leichter mess- und vergleichbar machen. Einen ersten Leitfaden zur neuen Methodik hat das BSI bereits im September 2025 veröffentlicht, zunächst ausdrücklich nur für Pilotprojekte. Für Unternehmen bedeutet das: Die heutige Fassung bleibt bis Ende 2028 gültig, Bestandszertifikate verlieren also nicht plötzlich ihre Wirkung. Details zur geplanten Umstellung und zum Zeitplan haben wir in einem eigenen Beitrag zur aktuellen BSI-Modernisierung zusammengefasst.

IT-Grundschutzkataloge und Nachfolgewerk im direkten Vergleich

Der Umstieg betraf nicht nur den Umfang, sondern auch die Arbeitsweise:

• Umfang: rund 4.800 Seiten in den Katalogen gegenüber etwa 860 Seiten im aktuellen Nachfolgewerk
• Fokus: Die Kataloge listeten überwiegend konkrete Maßnahmen auf, das Nachfolgewerk formuliert Anforderungen und lässt mehr Spielraum bei der Umsetzung
• Rhythmus: Die Kataloge erschienen unregelmäßig als Ergänzungslieferung, das Nachfolgewerk erscheint jährlich in einer festen Edition
• Struktur: Aus zahlreichen Einzelmaßnahmen wurden kompakte Bausteine mit rund zehn Seiten pro Thema
• Werkzeuge: Aus manuellen Checklisten wurden zunehmend automatisierte Dokumentationswerkzeuge, die Bausteine direkt mit der realen IT-Landschaft verknüpfen

Für Unternehmen, die noch mit den alten Katalogen arbeiten, bedeutet der Umstieg vor allem eines: Bestehende Nachweise lassen sich selten eins zu eins übertragen. Sie müssen neu strukturiert und den passenden aktuellen Bausteinen zugeordnet werden.

Damals wie heute half ein ergänzendes Checklisten-Handbuch mit konkreten Prüffragen bei der praktischen Umsetzung. Es war in gewisser Weise der Vorläufer der automatisierten Audit-Werkzeuge, die Unternehmen heute einsetzen.

Welche Rolle spielt NIS-2 in diesem Zusammenhang?

Die NIS-2-Richtlinie verschärft die Anforderungen an Betreiber kritischer und wichtiger Einrichtungen zusätzlich, unabhängig davon, welches BSI-Regelwerk ein Unternehmen zugrunde legt. Wer bereits über eine BSI-Zertifizierung verfügt, bringt damit einen wichtigen Baustein für den NIS-2-Nachweis mit. Die Zertifizierung ersetzt die NIS-2-Pflichten aber nicht vollständig: Risikomanagement, Meldepflichten und Lieferkettenprüfungen kommen als eigenständige Anforderungen hinzu. Bei Verstößen drohen zusätzlich Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Einen Überblick über die aktuellen Fristen und Pflichten liefert unser Beitrag zur NIS-2-Richtlinie.

Was bedeutet das für Ausschreibungen und Lastenhefte?

Öffentliche Ausschreibungen und interne Lastenhefte verweisen mitunter noch wörtlich auf die IT-Grundschutzkataloge, obwohl die ausschreibende Stelle die neue Struktur meint. Für Bieter lohnt sich hier eine kurze Rückfrage bei der Vergabestelle: Gemeint ist in aller Regel das aktuelle Nachfolgewerk, nicht die historischen Kataloge. Wer als Dienstleister IT-Sicherheitsleistungen anbietet, sollte in Angeboten präzise benennen, auf welche Fassung sich die eigene Zertifizierung bezieht. Das schafft Klarheit und verhindert spätere Missverständnisse bei der Abnahme.

Wie gelingt der Nachweis trotz veralteter IT-Grundschutzkataloge?

Ob alte Kataloge oder neues Kompendium: Ohne verlässliche IT-Dokumentation lässt sich keine der beiden Grundlagen sauber nachweisen. Tools zur automatisierten IT-Inventarisierung erfassen Systeme, Netzwerke und Software fortlaufend. Sie liefern damit die Datenbasis, die Auditoren unabhängig vom verwendeten Regelwerk sehen wollen. Auditoren erwarten dabei drei Dinge: eine vollständige Übersicht aller Systeme, eine nachvollziehbare Zuordnung zu den jeweils gültigen Bausteinen und eine lückenlose Historie über Änderungen. Wird auch nur eine dieser Komponenten manuell gepflegt, wächst das Risiko von Lücken mit jeder Regelwerksänderung. Wer seine IT-Landschaft durchgehend aktuell dokumentiert, kann bei jedem Übergang souverän nachweisen, was tatsächlich im Einsatz ist – statt bei jeder Regelwerksänderung von vorn zu beginnen.

Was droht ohne aktuelle IT-Sicherheitsdokumentation?

Fehlende oder veraltete Nachweise wiegen schwerer, als viele Unternehmen annehmen. Bei nachgewiesenen Datenschutzverletzungen drohen Bußgelder nach der DSGVO von bis zu mehreren Millionen Euro. Hinzu kommt: Die Geschäftsführung haftet persönlich, wenn bekannte Risiken nachweislich nicht behandelt wurden. Für KRITIS-Betreiber verschärft das IT-Sicherheitsgesetz die Nachweispflichten zusätzlich: Es verlangt regelmäßige Prüfungen der eingesetzten Schutzmaßnahmen und eine verpflichtende Meldung von Sicherheitsvorfällen an das BSI.

Konkret drohen vier Konsequenzen:

• Bußgelder nach der DSGVO bei nachgewiesenen Datenschutzverletzungen
• Die Geschäftsführung haftet persönlich bei erwiesener Untätigkeit
• Unternehmen verlieren Aufträge, wenn Auftraggeber aktuelle Nachweise verlangen
• Bei KRITIS-Betrieben können Aufsichtsbehörden den Geschäftsbetrieb untersagen

Mit einer automatisch gepflegten IT-Dokumentation lässt sich ein Großteil dieser Risiken von vornherein vermeiden.

Für die tägliche Praxis zählt am Ende weniger, ob sich ein Unternehmen auf die historischen Kataloge oder das aktuelle Nachfolgewerk beruft. Entscheidend ist, ob sich der jeweilige Stand jederzeit belegen lässt. Wer seine IT-Landschaft kontinuierlich dokumentiert, ist auch für die nächste Modernisierung des BSI-Regelwerks vorbereitet.