Der Weg zu einem angemessenen Schutzniveau
„Förderschwelle?“ auf der Grundschutz++-Linie ist unser Vorschlag für ein Äquivalent zur Basis-Absicherung, keine Vorgabe des BSI.
Warum das Thema für die Verwaltung zählt
Für viele Kommunen und Landesbehörden ist die Basis-Absicherung nach IT-Grundschutz mehr als ein Einstieg. Sie ist die Schwelle, an der Förderprogramme ansetzen. Ein Beispiel ist das Förderprogramm des Freistaats Bayern für ein ISMS in Kommunen: Gefördert wird dort unter anderem die Basis-Absicherung oder das IT-Grundschutz-Profil für Kommunen. Voraussetzung für die Zuwendung ist die vollständige Umsetzung, nachgewiesen grundsätzlich durch ein Testat Basis-Absicherung; alternativ wird die Bescheinigung eines nach ISO/IEC 27001 zertifizierten Auditors anerkannt. Der Prüfer darf die Kommune nicht selbst beraten haben.
Grundschutz++ kennt die Vorgehensweisen Basis-, Kern- und Standard-Absicherung nicht mehr. Damit stellt sich die Frage, woran Fördergeber künftig das Niveau festmachen.
WiBA – Weg in die Basis-Absicherung
Mit WiBA hat das BSI Checklisten für Organisationen bereitgestellt, die noch kein ISMS betreiben, insbesondere Kommunen. Sie führen schrittweise an die Basis-Absicherung heran.
In früheren Veröffentlichungen zu Grundschutz++ hatte das BSI angekündigt, die mit WiBA erprobten Checklisten zum festen Bestandteil von Grundschutz++ zu machen; Checklisten sollen sich künftig aus dem Anwenderkatalog erzeugen lassen. Im BSI-Standard 300-1 und auf der aktuellen Seite des BSI zu Grundschutz++ (Stand 27.10.2026) wird WiBA allerdings nicht erwähnt.
Unsere Einschätzung: Die WiBA-Checklisten bleiben als Einstieg nutzbar. Wer heute mit WiBA arbeitet, legt mit Prozessen, Verantwortlichkeiten und Grundmaßnahmen eine Basis, die auch unter Grundschutz++ trägt.
Das Testat nach Basis-Absicherung
Das IT-Grundschutz-Testat bestätigt die Umsetzung einer Vorgehensweise nach klassischem IT-Grundschutz, ohne den Umfang einer ISO-27001-Zertifizierung. Für Kommunen gibt es zusätzlich das IT-Grundschutz-Profil Basis-Absicherung Kommunalverwaltung.
Was feststeht
- Der klassische IT-Grundschutz bleibt laut Meilensteinplan des BSI bis zum 30.11.2031 zertifizierbar.
- BSI-Standard 300-1 enthält keine Regelung zu Testaten oder zur Basis-Absicherung.
Was offen ist
- Ob und in welcher Form es unter Grundschutz++ ein Testat unterhalb der Zertifizierung geben wird.
- Wie lange Testate nach klassischem IT-Grundschutz erteilt werden.
- Welches Niveau Förderrichtlinien künftig verlangen, wenn die Basis-Absicherung als Begriff entfällt.
Was wir Verwaltungen und Fördergebern raten
Für Kommunen und Behörden
Laufende Vorhaben zur Basis-Absicherung und zum Testat nicht stoppen. Das Testat bleibt der Nachweis, den die bestehenden Förderrichtlinien nennen. Bauen Sie dabei schon die Geschäftsprozessliste auf: Sie ist der Ausgangspunkt von Grundschutz++ und der BIA nach 200-4.
Für Fördergeber
Förderrichtlinien sollten ein Grundschutz++-Äquivalent zur Basis-Absicherung definieren. Ein naheliegender Maßstab wäre aus unserer Sicht: Geschäftsprozesse dokumentiert, Anforderungspaket im Sicherheitsniveau normal-SdT erstellt und alle MUSS-Anforderungen erfüllt, bestätigt durch einen unabhängigen, vom BSI zertifizierten Prüfer. Das ist ein Vorschlag, keine Vorgabe des BSI.
ATM Consulting führt IT-Grundschutz-Testate und Audits durch. Beratung und Prüfung bei derselben Organisation schließen wir aus.