Sie planen Ihren Grundschutz++ Einstieg und fragen sich, ob zunächst Ihre gesamte IT detailliert erfasst sein muss? Beim erstmaligen Aufbau eines Informationssicherheitsmanagementsystems (ISMS) empfiehlt der BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0, Kapitel 2.6, mit dem wichtigsten Geschäftsprozess der höchsten Schutzbedarfskategorie zu beginnen. Die Leitung wählt diesen Prozess aus. Anschließend müssen auch die übrigen Prozesse des festgelegten Anwendungsbereichs untersucht werden.
Für frühe Anwender bietet dieses Vorgehen eine praktische Gelegenheit: Sie können die Arbeitsschritte, Werkzeuge und die Dokumentation von Nachweisen zunächst an einem begrenzten Ausschnitt gemeinsam erproben. Voraussetzung ist eine fachlich begründete Prozessauswahl. Ein leicht zugänglicher Prozess allein ist noch kein geeigneter Anfang.
Was der schrittweise Grundschutz++ Einstieg verändert
Version 1.0 richtet sich vor allem an erfahrene frühe Anwender. Zugleich verlangt der Standard, die Geschäftsprozesse im Anwendungsbereich zu erfassen und zu dokumentieren. Eine Übersicht bleibt also erforderlich, auch wenn die detaillierte Untersuchung schrittweise erfolgt. Diese Voraussetzungen beschreiben Kapitel 1 und 2.5 des BSI-Standards 300-1.
Aus unserer fachlichen Sicht erleichtert dieser Ansatz die Planung: Sie können die erste Bearbeitung auf einen ausgewählten Prozess und die dafür benötigte IT ausrichten. Dabei werden Zuständigkeiten und Abhängigkeiten konkret. Die detaillierte Untersuchung der weiteren Prozesse folgt in den nächsten Schritten.
Damit wird die anfängliche Aufgabe kleiner. Der Gesamtumfang bleibt jedoch bestehen: Auch die übrigen Prozesse im Anwendungsbereich müssen untersucht werden.
Den ersten Geschäftsprozess für Grundschutz++ auswählen
Wir empfehlen, die Auswahl gemeinsam mit der Leitung und den fachlich Verantwortlichen vorzubereiten:
- Grenzen Sie den Anwendungsbereich ab. Halten Sie fest, welche Teile der Organisation und welche Geschäftsprozesse dazugehören.
- Erfassen Sie die Geschäftsprozesse und begründen Sie deren Schutzbedarf. Beschreiben Sie dazu, welche Folgen eine Beeinträchtigung für Ihre Organisation hätte.
- Bereiten Sie die Auswahl des wichtigsten Prozesses der höchsten Schutzbedarfskategorie vor. Dokumentieren Sie die Entscheidung der Leitung und ihre Begründung.
- Erfassen Sie für die Bearbeitung die benötigte IT, beteiligte Rollen und relevante Abhängigkeiten. Beziehen Sie vorhandene Unterlagen ein.
- Planen Sie, wie Sie die Erkenntnisse für die Untersuchung der weiteren Prozesse nutzen wollen.
Ein vereinfachtes Beispiel: Die Leitung hat die Auftragsabwicklung als wichtigsten Prozess der höchsten Schutzbedarfskategorie ausgewählt. Dann richtet sich die erste Bearbeitung auf diesen Ablauf und seine Abhängigkeiten. Ein leichter dokumentierbarer Hilfsprozess wäre allein wegen des geringeren Aufwands kein gleichwertiger Ersatz.
Vorgehen, Werkzeuge und Nachweise gemeinsam erproben
Am ersten Prozess lassen sich aus unserer Sicht drei praktische Fragen untersuchen:
- Vorgehen: Verstehen die Beteiligten die Arbeitsschritte und können sie ihre Entscheidungen nachvollziehbar begründen?
- Werkzeuge: Lassen sich Prozesse, IT-Abhängigkeiten und Bearbeitungsstände zweckmäßig abbilden und pflegen?
- Nachweise: Erkennen die Verantwortlichen, worauf eine Bewertung beruht und welche Unterlagen sie fortschreiben müssen?
Wir empfehlen, Beobachtungen, Bewertungen und offene Fragen getrennt festzuhalten. So erkennen Sie leichter, ob Informationen fehlen, ein Werkzeug ungeeignet ist oder eine Frage zum Vorgehen geklärt werden muss.
Die Ergebnisse helfen Ihnen, den weiteren Aufwand realistischer zu planen. Ein einzelner bearbeiteter Prozess reicht allerdings noch nicht aus, um den Aufwand für sämtliche übrigen Prozesse belastbar zu schätzen.
Welche Fragen vor weiteren Investitionen offenbleiben
Wir beurteilen Version 1.0 als erste anwendbare Grundlage, die für den praktischen Grundschutz++ Einstieg noch ergänzende Anleitung benötigt. Das ist unsere fachliche Einschätzung. Daraus lässt sich kein verbindlicher Veröffentlichungsplan des BSI ableiten.
Klären Sie deshalb für Ihr Vorhaben:
- Welche zusätzlichen Einstiegshilfen benötigen Ihre Verantwortlichen neben dem Standard?
- Welche vorhandenen ISMS-Unterlagen können Sie weiterverwenden, und wo ist eine andere Aufbereitung nötig?
- Welche Anforderungen an Werkzeuge und Nachweise ergeben sich aus der ersten Bearbeitung?
- Welchen Nachweis verlangen Leitung, Auftraggeber oder Aufsicht, und welche verbindlichen Regeln gelten dafür?
Erwartungen an künftige Einstiegshilfen, Kennzahlen, Reifegrade oder angepasste Verfahren für Audits und Zertifizierungen ersetzen keine bestätigten Vorgaben. Wir empfehlen daher, bereits mögliche Vorbereitungen von Entscheidungen zu trennen, die noch solche Vorgaben benötigen. Aus der Bearbeitung nach Grundschutz++ allein folgt keine Zusage für ein Testat oder eine Zertifizierung.
Den Einstieg passend zu Ihrem bestehenden ISMS planen
Wenn Sie bereits ein ISMS betreiben, prüfen Sie zunächst, welche Abläufe, Zuständigkeiten und Unterlagen Sie weiterverwenden können. Ein vollständiger Neuaufbau lässt sich aus der neuen Methodik allein nicht begründen.
Im Rahmen unserer BSI-Grundschutz-Beratung betrachten wir mit Ihnen mögliche Auswirkungen von Grundschutz++. Dabei unterscheiden wir sinnvolle Vorbereitungen von Entscheidungen, die noch von der weiteren Entwicklung abhängen. Unsere Arbeitsgrundlage sind eigene, über Jahre weiterentwickelte Vorgehensweisen; die BSI-Standards bilden den fachlichen Rahmen.
Sie möchten einen ersten Geschäftsprozess auswählen oder die Folgen für Ihr bestehendes ISMS einordnen? Bringen Sie eine Übersicht Ihrer Prozesse, vorhandene Sicherheitsunterlagen und Ihr Nachweisziel in das Gespräch ein. Gemeinsam klären wir, welcher erste Schritt fachlich begründet ist und welche Fragen vorher beantwortet werden müssen.