Glossar

Begriffe

Anforderungspaket

Gesamtheit der Anforderungen, die sich aus den Zielobjektkategorien aller Assets eines Informationsverbunds und den Anforderungen ohne Zielobjektkategorie ergibt (BSI-Standard 300-1, Kap. 3.4).

Anwenderkatalog

Katalog der Anforderungen von Grundschutz++ in der Stand-der-Technik-Bibliothek, maschinenlesbar im Format OSCAL. Er löst das IT-Grundschutz-Kompendium ab.

A5

AI Audit and Assurance Assessment Architecture des BSI, Prüfrahmen für KI-Systeme auf Basis von ISAE 3000, derzeit als Community Draft.

Blaupause

Vorgefertigter Katalog von Anforderungen für ein bestimmtes Anwendungsszenario. Kann für bestimmte Institutionen verpflichtend sein (Kap. 3.3).

Business-Impact-Analyse (BIA)

Analyse der Auswirkungen eines Ausfalls von Geschäftsprozessen im Business Continuity Management nach BSI-Standard 200-4. Gute Grundlage für die Prozessidentifikation nach Grundschutz++.

C5

Cloud Computing Compliance Criteria Catalogue des BSI für Cloud-Anbieter, geprüft als Testat nach ISAE 3000.

Cloud-Publikations-Map

Übersicht des BSI vom 16.10.2026, die 18 Cloud-Publikationen einordnet und zeigt, wo der C5-Nachweis verbindlich wird.

Early Adopter

Erfahrene Institutionen, die Grundschutz++ früh einführen. Zielgruppe der Version 1.0 des BSI-Standards 300-1; die Early-Adopter-Phase läuft laut BSI bis Ende 2027.

Geschäftsprozess

Ausgangspunkt von Grundschutz++. Geschäftsprozesse werden identifiziert, dokumentiert und mit einem Schutzbedarf versehen (Kap. 2.5, 2.6). Sie sind zugleich die Basis der Business-Impact-Analyse nach BSI-Standard 200-4.

Stand der Technik

Bewährte, am Markt verfügbare Maßnahmen, die das gesetzlich geforderte Sicherheitsniveau erreichen. Das BSI veröffentlicht ihn für Grundschutz++ im Anwenderkatalog; zur Bestimmung im Einzelfall hilft die Handreichung des TeleTrusT.

Harmonized Structure

Gemeinsame Gliederung der ISO-Managementsystemnormen mit den Kapiteln Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung; früher High Level Structure.

Internal Control Framework (ICF)

Internes Kontrollsystem einer Organisation. Stellt sicher, dass Kontrollen angemessen gestaltet und im Betrieb wirksam sind.

Master Control Framework (MCF)

Gemeinsamer Kontrollkatalog einer Organisation, der auf mehrere Regelwerke gemappt ist, damit ein Nachweis mehrfach genutzt werden kann.

Mindestkriterien

Die 35 verbindlichen Kriterien in Anhang 3 des BSI-Standards 300-1, die jede frei gewählte Methode der Risikobetrachtung erfüllen muss.

MUSS, SOLLTE, KANN

Modalverben der Anforderungen. MUSS ist verpflichtend ohne Risikoakzeptanz, SOLLTE erlaubt begründete Nichterfüllung mit Risikobetrachtung, KANN ist optional (Kap. 4.1.2).

normal-SdT

Sicherheitsniveau „normal (Stand der Technik)“ im Anforderungspaket. Alternative ist das Sicherheitsniveau „erhöht“ mit KANN-Anforderungen.

OSCAL

Open Security Controls Assessment Language. Vom NIST entwickeltes Format für maschinenlesbare Sicherheitsanforderungen, Umsetzungen und Prüfungen.

Parameter

Variabel gestaltbares Element einer Anforderung, zum Beispiel „regelmäßig“. Wird bei oder nach der Erstellung des Anforderungspakets konkretisiert (Kap. 3.5).

Schutzbedarf

Bewertung je Geschäftsprozess mit den Kategorien „normal“ und „hoch“. Ersetzt die bisherigen drei Kategorien des IT-Grundschutzes.

Stand-der-Technik-Bibliothek

Öffentliche Bibliothek des BSI auf GitHub mit Control, Implementation und Assessment Layer. Enthält den Anwenderkatalog Grundschutz++.

Umsetzungsstatus

Status je Anforderung: „erfüllt“, „nicht erfüllt“ oder „nicht anwendbar“ (Kap. 4.1.1).

Testat (IT-Grundschutz)

Bestätigung der Umsetzung einer Vorgehensweise nach klassischem IT-Grundschutz, etwa der Basis-Absicherung, unterhalb einer ISO-27001-Zertifizierung. Häufig Voraussetzung in Förderprogrammen für Kommunen.

WiBA

Weg in die Basis-Absicherung: Checklisten des BSI für Organisationen ohne ISMS, insbesondere Kommunen, als Einstieg in die Basis-Absicherung.

Zielobjektkategorie

Standardisierte Klasse wie Anwendungen oder IT-Systeme, der Assets zugeordnet werden. Zielobjektkategorien sind hierarchisch und in Anhang 1 definiert.