Managementsysteme harmonisieren
Viele Organisationen betreiben mehrere Managementsysteme nebeneinander: Informationssicherheit, Business Continuity, Datenschutz, Qualität. Jedes hat eigene Leitlinien, Rollen, Risikoverfahren und Audits. Das kostet doppelt und erzeugt Widersprüche.
Die ISO-Managementsystemnormen teilen seit Jahren eine gemeinsame Gliederung, die Harmonized Structure (früher High Level Structure): Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung. Grundschutz++ bildet die Kapitel 4 bis 10 der ISO/IEC 27001 in seinen Methodik-Anforderungen ab. Damit passt es in dieselbe Klammer.
| Gemeinsamer Kern | Einmal aufbauen, gemeinsam nutzen |
|---|---|
| Kontext und Geschäftsprozesse | Eine Prozesslandkarte für ISMS, BCMS und Datenschutz. Grundschutz++ verweist in Kap. 2.5 ausdrücklich auf bestehende Managementsysteme. |
| Leitlinien und Rollen | Ein Rahmen mit klaren Schnittstellen statt drei getrennter Organigramme. |
| Risikoverfahren | Eine Methode, die die 35 Mindestkriterien von Grundschutz++ erfüllt und auch für BCM und Datenschutz trägt. |
| Dokumentenlenkung | Ein Verfahren für Erstellung, Freigabe und Aktualisierung aller Vorgaben. |
| Internes Audit und Managementbewertung | Ein Auditprogramm und eine Managementbewertung über alle Systeme. |
Der Geschäftsprozess als gemeinsame Basis
Grundschutz++ und das Business Continuity Management nach BSI-Standard 200-4 setzen am selben Punkt an: dem Geschäftsprozess. Grundschutz++ legt je Geschäftsprozess den Schutzbedarf fest. Die Business-Impact-Analyse (BIA) nach 200-4 bewertet dieselben Prozesse nach den Auswirkungen eines Ausfalls und ihrer Zeitkritikalität. Wer beides getrennt erhebt, macht die Arbeit doppelt und riskiert widersprüchliche Ergebnisse.
| Element | Grundschutz++ (300-1) | BCM (200-4) | Gemeinsam nutzen |
|---|---|---|---|
| Prozessliste | Identifizierung der Geschäftsprozesse (Kap. 2.5) | Prozesse als Grundlage der BIA | Eine Prozesslandkarte, eine Verantwortung |
| Bewertung | Schutzbedarf normal oder hoch (Kap. 2.6) | Schadensauswirkungen, Wiederanlaufzeiten | Gemeinsame Schadenskategorien, abgestimmte Kriterien |
| Abhängigkeiten | Assets und Zielobjektkategorien (Kap. 3.2) | Ressourcen und Dienstleister in der BIA | Ein Asset- und Ressourcenverzeichnis |
| Risiken | Risikobetrachtung mit 35 Mindestkriterien | Risikoanalyse im BCM | Eine Methode, ein Risikoregister |
Auch der Datenschutz profitiert: Das Verzeichnis der Verarbeitungstätigkeiten lässt sich an dieselben Prozesse koppeln.
Master Control Framework (MCF)
Ein Master Control Framework ist ein gemeinsamer Katalog von Kontrollen, den eine Organisation einmal pflegt und auf alle für sie geltenden Regelwerke abbildet. Jede Kontrolle hat ein Ziel, einen Verantwortlichen, eine Frequenz und einen Nachweis. Über Mappings ist sichtbar, welche Anforderung aus ISO 27001, Grundschutz++, C5, TISAX, NIS2 oder DORA sie erfüllt.
Grundschutz++ ist dafür eine gute Quelle: Die Anforderungen liegen als Daten vor, haben feste Kennungen und beschreiben den Stand der Technik. In OSCAL lässt sich ein MCF als Profil über mehrere Kataloge abbilden.
Worauf es ankommt
- Kontrollen so formulieren, dass sie prüfbar sind, mit konkretisierten Parametern.
- Mappings versionieren. Wenn sich ein Katalog ändert, muss das Mapping nachgezogen werden.
- Geltungsbereiche beachten. Ein Nachweis für ISO 27001 deckt nicht automatisch den Anwendungsbereich einer KRITIS-Prüfung ab.
Internal Control Framework (ICF)
Das Internal Control Framework, im Deutschen meist internes Kontrollsystem (IKS), sorgt dafür, dass Kontrollen nicht nur beschrieben, sondern auch wirksam betrieben werden. Unterschieden wird zwischen der Angemessenheit einer Kontrolle (Design) und ihrer Wirksamkeit im Betrieb.
Grundschutz++ liefert dafür die Bausteine: den Umsetzungsstatus je Anforderung (Kap. 4.1), die Leistungsbewertung (Kap. 5.1), das interne Auditprogramm (Kap. 5.2) und die Managementbewertung (Kap. 5.3). Werden diese Ergebnisse im ICF zusammengeführt, sieht die Leitung den Stand der Informationssicherheit in derselben Logik wie andere Kontrollbereiche, etwa Finanzen oder Compliance.
Im Modell der drei Verteidigungslinien liegt die Umsetzung bei den Fachbereichen, die Überwachung beim ISB und Risikomanagement und die unabhängige Prüfung bei Revision und externen Auditoren.
Querschnittsthemen im Mapping
Dieselben Themen tauchen in fast jedem Regelwerk auf. Die Übersicht zeigt, wo sie geregelt sind. Sie ersetzt kein vollständiges Mapping, zeigt aber, wo sich Nachweise bündeln lassen.
| Thema | Grundschutz++ (300-1) | ISO/IEC 27001:2022 | BCM (200-4 / ISO 22301) | NIS2 (BSIG) |
|---|---|---|---|---|
| Verantwortung der Leitung | Kap. 2.7, 2.8 | Kap. 5 | ISO 22301 Kap. 5 | § 38 |
| Risikomanagement | Kap. 4.2, Anhang 3 | Kap. 6.1, 8.2, 8.3 | ISO 22301 Kap. 8.2 | § 30 |
| Geschäftsprozesse, BIA | Kap. 2.5, 2.6 | Kap. 4.1, 4.3 | Business-Impact-Analyse | § 30 |
| Lieferanten und Dienstleister | Anwenderkatalog | A.5.19 bis A.5.22 | Abhängigkeiten in der BIA | § 30 (Lieferkette) |
| Sicherheitsvorfälle, Meldungen | Anwenderkatalog | A.5.24 bis A.5.28 | Bewältigung, ISO 22301 Kap. 8.4 | § 30, § 32 |
| Notfall und Wiederanlauf | Verweis auf BCMS (Kap. 2.5) | A.5.29, A.5.30 | Kern des Standards | § 30 |
| Schulung und Sensibilisierung | Anwenderkatalog | Kap. 7.2, 7.3, A.6.3 | ISO 22301 Kap. 7.2, 7.3 | § 30, § 38 |
| Leistungsbewertung, Audit | Kap. 5.1 bis 5.3 | Kap. 9.1 bis 9.3 | ISO 22301 Kap. 9 | Nachweise für Betreiber kritischer Anlagen |
Paragraphen nach dem BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes. Für eine verbindliche Zuordnung im Einzelfall prüfen Sie bitte die aktuelle Gesetzesfassung.
C5, A5 und die Cloud-Publikations-Map
Neben Grundschutz++ betreibt das BSI weitere Kriterienkataloge mit eigenen Prüfverfahren. Für Organisationen, die mehrere Nachweise brauchen, lohnt der Blick auf die Gemeinsamkeiten.
| Katalog | Gegenstand | Prüfung | Bezug zu Grundschutz++ |
|---|---|---|---|
| C5 | Cloud Computing Compliance Criteria Catalogue für Cloud-Anbieter | Testat nach ISAE 3000; laut C5-FAQ des BSI durch Wirtschaftsprüfer | Bislang nicht in der Stand-der-Technik-Bibliothek enthalten |
| A5 | AI Audit and Assurance Assessment Architecture, Prüfrahmen für KI-Systeme (Community Draft) | Ebenfalls auf Basis von ISAE 3000; der Entwurf lässt auch Prüfer zu, die keine Wirtschaftsprüfer sind, sofern sie gleichwertige berufliche Standards anwenden | Nutzt dieselbe Satzschablone und dieselben Namensräume wie Grundschutz++, liegt aber nicht im Repository der Bibliothek |
| Grundschutz++ | Methodik und Anforderungen für ein ISMS nach dem Stand der Technik | Zertifizierung ISO 27001 auf Basis Grundschutz++ ab 2027 | Anwenderkatalog im Control Layer der Bibliothek |
Die Cloud-Publikations-Map des BSI vom 16.10.2026 ordnet 18 Cloud-Publikationen ein. Sie zeigt, dass der C5-Nachweis über Mindeststandard, EVB-IT Cloud, § 393 SGB V und DORA für große Teile von Verwaltung, Gesundheitswesen und Finanzsektor verbindlich wird. Grundschutz++ erwähnt die Map noch nicht; Ausgangspunkt für sichere Cloud-Nutzung bleibt dort der Baustein OPS.2.2 aus der Edition 2023.
Für ein Master Control Framework heißt das: C5, A5 und Grundschutz++ beschreiben überlappende Kontrollen mit unterschiedlichen Prüfverfahren. Wir setzen uns im TeleTrusT-Arbeitskreis „Stand der Technik“ und in der ISACA für einen gemeinsamen Kontrollkern, einen gemeinsamen Assessment Layer und eine Prüferzulassung nach Kompetenz ein.