IT-Grundschutz · BSI-Standards · Zertifizierung nach ISO 27001

IT-Grundschutz — BSI-konforme Informationssicherheit mit prüfbarer Methodik

Wir bauen Ihr ISMS nach BSI IT-Grundschutz auf — mit Strukturanalyse, Schutzbedarfsfeststellung, Modellierung nach Kompendium, IT-Grundschutz-Check und Risikoanalyse nach BSI-Standard 200-3.

  • Full-Service ab 24.000 €
  • 8–14 Monate bis zur Zertifizierungsreife
  • Anerkannt bei Bund, Ländern und Kommunen
  • ISO 27001-Zertifikat auf Basis IT-Grundschutz
  • 30-Minuten-Ersteinschätzung
IT-Grundschutz-Ersteinschätzung buchen IT-Grundschutz-Check starten
Notivia seit 2003· +100 ISMS-Kunden*· +20 Full-Service-Projekte*· ISO 27001, NIS-2 & IT-Grundschutz in einer Plattform· ★★★★★5.0

* Audit-Erfolg bezogen auf abgeschlossene Full-Service-Zertifizierungs­projekte seit 2019.

Kurz-Check

Diese Seite ist richtig für Sie, wenn …

  • … Sie zur öffentlichen Verwaltung gehören oder für sie arbeiten.
  • … Sie Ihre Auftraggeber IT-Grundschutz statt ISO 27001 verlangen.
  • … Sie ein ISO-27001-Zertifikat auf Basis IT-Grundschutz anstreben.
  • … Sie konkrete Vorgaben statt abstrakter Controls bevorzugen.
  • … Sie wissen möchten, was eine Zertifizierung kostet und wie lange sie dauert.
Unsere Leistungen für IT-Grundschutz

Vier Bausteine. Ein Weg zur Compliance.

BSI IT-Grundschutz — methodisch sauber, prüfbar dokumentiert, zertifizierungsfähig.

Maximale Begleitung

Full-Service-Begleitung

Wir führen Sie durch die komplette Vorgehensweise nach BSI-Standard 200-2 — von der Strukturanalyse über Modellierung und IT-Grundschutz-Check bis zur Risikoanalyse und Zertifizierungsvorbereitung.

Geeignet für Sie, wenn Sie IT-Grundschutz mit möglichst wenig interner Projektlast erreichen wollen.
  • Strukturanalyse & Schutzbedarf
  • Modellierung nach Kompendium
  • IT-Grundschutz-Check
  • Risikoanalyse nach 200-3
ab €24.000 einmalig für einen abgegrenzten Informationsverbund · zzgl. Zertifizierungsaudit · alle Preise netto
Angebot anfordern
Laufend

Laufende IT-Grundschutz-Begleitung

Wir halten Ihren Informationsverbund aktuell: neue Bausteine des Kompendiums einarbeiten, Schutzbedarf nachführen, Umsetzungsgrade pflegen und die jährliche Revision vorbereiten.

Geeignet für Sie, wenn der Informationsverbund dauerhaft aktuell bleiben muss — nicht nur zum Audit.
  • Kompendium-Aktualisierung
  • Schutzbedarf nachführen
  • Umsetzungsgrade pflegen
  • Vorbereitung Überwachungsaudit
ab €950 / Monat
Betriebsbegleitung anfragen
12 Mo Mindestlaufzeit · 3 Mo Kündigungsfrist
Einmal / jährlich

Interne IT-Grundschutz-Prüfung

Wir prüfen Ihren Informationsverbund gegen die Bausteine des Kompendiums, die Nachweisführung und die Vorgaben der BSI-Standards 200-1 bis 200-3.

Geeignet für Sie, wenn Sie vor dem Zertifizierungsaudit wissen wollen, wo Sie stehen.
  • Prüfung gegen Kompendium
  • Vollständigkeit der Modellierung
  • Nachweis-Mapping
  • Bericht mit Maßnahmenplan
ab €3.500 einmalig
Audit anfragen
Self-Service

Ready-Kit

Für Teams mit eigener Sicherheitsorganisation, die IT-Grundschutz selbst vorbereiten möchten.

Geeignet für Sie, wenn Sie intern genug Ressourcen haben und selbst umsetzen möchten.
  • Strukturanalyse-Vorlage
  • Schutzbedarfs-Matrix
  • Modellierungs-Vorlage
  • Referenzdokumente A.0–A.6
ab €1.790 einmalig · +€149/Mo Plattform
Jetzt bestellen

Zusätzlich für IT-Grundschutz

Norm-spezifische Zusatzleistungen — einzeln buchbar

Risikoanalyse nach 200-3

Elementare Gefährdungen bewerten und Maßnahmen für hohen Schutzbedarf ableiten.

ab €3.900

Notfallmanagement nach 200-4

BCM-Aufbau nach dem BSI-Standard 200-4 — Stufenmodell Reaktiv bis Standard.

ab €5.900

Kombi-Prüfung mit ISO 27001

Gemeinsame interne Prüfung — spart rund 40 % Aufwand.

ab €4.500
Laufende IT-Grundschutz-Begleitung: 12 Monate Mindestlaufzeit · 3 Monate Kündigungsfrist zum Monatsende · alle Preise netto.
Kostenlose Ersteinschätzung

Informationssicherheit nach nach IT-Grundschutz — Klarheit in 30 Minuten

Die Methodik des BSI: Was zu tun ist, für wen sie sich lohnt, und was sie kostet.

Lead Consultant
Lead Consultant
Ihr Ansprechpartner
  • Schnelle Antwort
  • Realistische Zeit- und Kostenangaben
  • Kein Verkaufsdruck, keine Verpflichtung
  • Von Notivia GmbH, Stuttgart — seit 2019
think why NETFORMIC Animus Intelligence Crest Digital Veoma VERDURE
Direkt buchen — am schnellsten
30-Min-Slot selbst wählen
oder schreiben Sie uns

    Kein Spam·Keine Verpflichtung·Schnelle Antwort·DSGVO-konform
    Lieber direkt anrufen? +49 711 35 15 705
    Selbst starten

    Vier Werkzeuge — jetzt sofort nutzbar

    Bevor Sie Kontakt aufnehmen: Kosten kalkulieren, Betroffenheit prüfen, Plattform erkunden oder den Leitfaden herunterladen — kostenlos und unverbindlich.

    Kostenloser IT-Grundschutz-Check · 3 Min.

    Wie weit ist Ihre Informationssicherheit?

    10 Fragen zu Organisation, Dokumentation, technischen Maßnahmen und Nachweisen. In 3 Minuten Ihren Reifegrad prüfen.

    Check starten

    Oder selbst umsetzen

    Die ISMS-Plattform mit IT-Grundschutz-Modul

    Das Multinorm-ISMS bildet Strukturanalyse, Schutzbedarf, Modellierung und Umsetzungsgrade ab — ideal für Teams, die IT-Grundschutz strukturiert pflegen möchten.

    Plattform entdecken
    Leitfaden · PDF

    IT-Grundschutz-Leitfaden für Sicherheitsbeauftragte

    Was die BSI-Standards verlangen, wie die Modellierung funktioniert, wie eine Zertifizierung abläuft — verständlich aufbereitet.

    Leitfaden herunterladen
    Die Norm in Kürze

    Was muss für IT-Grundschutz umgesetzt werden?

    Acht Schritte — das ist die Vorgehensweise nach BSI-Standard 200-2.

    1. Sicherheitsleitlinie und Sicherheitsorganisation
    2. Strukturanalyse des Informationsverbunds
    3. Schutzbedarfsfeststellung (normal / hoch / sehr hoch)
    4. Modellierung nach IT-Grundschutz-Kompendium
    5. IT-Grundschutz-Check (Soll-Ist-Vergleich)
    6. Risikoanalyse nach BSI-Standard 200-3
    7. Realisierungsplanung und Umsetzung
    8. Internes Audit und Zertifizierungsvorbereitung

    Wir zeigen Ihnen im Erstgespräch, welche Punkte bei Ihnen bereits erfüllt sind.

    Kostenlose Ersteinschätzung buchen
    FÜR WEN?

    Wer braucht IT-Grundschutz?

    IT-Grundschutz ist die anerkannte Methodik für Informationssicherheit im deutschen öffentlichen Sektor — und zunehmend auch dort, wo Behörden Auftraggeber sind.

    Öffentliche Verwaltung

    Bund, Länder und Kommunen setzen IT-Grundschutz als maßgeblichen Standard ein. Für viele Behörden ist er verbindlich vorgegeben.

    KRITIS-Betreiber

    Für Betreiber kritischer Infrastrukturen ist IT-Grundschutz ein etablierter Nachweisweg gegenüber dem BSI — mit konkreteren Vorgaben als ISO 27001 allein.

    Dienstleister der öffentlichen Hand

    IT-Dienstleister, Rechenzentren und Softwarehäuser, die für Behörden arbeiten, müssen den Standard ihrer Auftraggeber erfüllen.

    METHODIK

    Die Schichten des IT-Grundschutz-Kompendiums

    Das Kompendium gliedert rund 100 Bausteine in zehn Schichten. Jeder Baustein beschreibt konkrete Anforderungen — keine abstrakten Ziele.

    ISMS

    Sicherheitsmanagement

    Aufbau und Betrieb des Managementsystems für Informationssicherheit.

    ORP

    Organisation & Personal

    Zuständigkeiten, Personalprozesse, Sensibilisierung und Berechtigungen.

    CON

    Konzepte & Vorgehensweisen

    Kryptokonzept, Datenschutz, Löschung, Softwareentwicklung, Schutzbedarf.

    OPS

    Betrieb

    IT-Betrieb, Outsourcing, Patch- und Änderungsmanagement, Protokollierung.

    DER

    Detektion & Reaktion

    Erkennung von Vorfällen, Vorfallbehandlung, Forensik und Notfallvorsorge.

    APP

    Anwendungen

    Office, Verzeichnisdienste, Webanwendungen, E-Mail, Datenbanken.

    SYS

    IT-Systeme

    Server, Clients, mobile Geräte, virtuelle Umgebungen, Drucker.

    IND

    Industrielle IT

    ICS, Leitsysteme, speicherprogrammierbare Steuerungen, Sensorik.

    NET

    Netze & Kommunikation

    Netzarchitektur, Firewalls, WLAN, Fernzugriff und VPN.

    INF

    Infrastruktur

    Gebäude, Räume, Rechenzentren, Verkabelung und Versorgung.

    ANHÄNGE

    Die drei Vorgehensweisen

    Der IT-Grundschutz kennt drei Wege — Sie müssen nicht sofort alles absichern.

    B

    Basis-Absicherung

    Der schnelle Einstieg: nur die Basis-Anforderungen aller relevanten Bausteine. Nicht zertifizierbar, aber sofort wirksam.

    K

    Kern-Absicherung

    Voller Schutz für die „Kronjuwelen": ein kleiner, besonders schützenswerter Teil des Verbunds.

    S

    Standard-Absicherung

    Der vollständige Weg über den gesamten Informationsverbund — Voraussetzung für die Zertifizierung.

    Z

    Zertifizierung

    ISO 27001 auf Basis von IT-Grundschutz: ein BSI-Zertifikat, ausgestellt nach Audit durch zertifizierte Auditoren.

    ZENTRALE BAUSTEINE

    Womit fast jeder Verbund beginnt

    Diese Bausteine des Kompendiums treffen praktisch jede Organisation.

    ISMS.1 Sicherheitsmanagement

    Leitlinie, Rollen, Ressourcen und die regelmäßige Bewertung durch die Leitung.

    ORP.1 Organisation

    Zuständigkeiten festlegen, Regelungen bekanntmachen, Ausnahmen dokumentieren.

    ORP.4 Identitätsmanagement

    Berechtigungen vergeben, prüfen und beim Ausscheiden zuverlässig entziehen.

    CON.3 Datensicherung

    Sicherungskonzept, Aufbewahrung, Wiederherstellungstests — nachweislich geprobt.

    OPS.1.1.5 Protokollierung

    Was wird protokolliert, wie lange aufbewahrt, wer wertet aus.

    OPS.1.1.3 Patchmanagement

    Aktualisierungen bewerten, testen, einspielen und dokumentieren.

    DER.2.1 Vorfallbehandlung

    Meldewege, Bewertung, Eindämmung und Nachbereitung von Sicherheitsvorfällen.

    SYS.1.1 Allgemeiner Server

    Härtung, Zugriff, Protokollierung und sichere Grundkonfiguration.

    NET.1.1 Netzarchitektur

    Segmentierung, Zonenkonzept und Absicherung der Übergänge.

    SYNERGIE

    ISO 27001 und IT-Grundschutz — ein Zertifikat

    IT-Grundschutz ersetzt ISO 27001 nicht, sondern konkretisiert sie. Wer nach der Standard-Absicherung vorgeht, erhält am Ende ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz — ausgestellt vom BSI. Der Unterschied liegt in der Methode: ISO 27001 sagt, was erreicht werden muss, das Kompendium sagt zusätzlich, wie. Wer bereits ein ISMS nach ISO 27001 betreibt, bringt den Großteil der Managementsystem-Anforderungen mit und ergänzt vor allem die Modellierung.

    IT-GrundschutzISO 27001
    BSI 200-1 Managementsystem Kl. 4–10 ISMS-Anforderungen
    Strukturanalyse Kl. 4.3 Anwendungsbereich
    Schutzbedarfsfeststellung Kl. 6.1 Risikobeurteilung
    IT-Grundschutz-Check Kl. 9.1 Überwachung & Messung
    Modellierung Anhang A / Erklärung zur Anwendbarkeit
    BSI 200-3 Risikoanalyse Kl. 6.1.3 Risikobehandlung
    rund 70 %
    Überschneidung bei den Managementsystem-Anforderungen — die Modellierung kommt zusätzlich hinzu
    UNSERE LÖSUNG

    IT-Grundschutz umsetzen mit iso-easy

    1

    Verbund erfassen

    Alle Objekte des Informationsverbunds aufnehmen: Anwendungen, Systeme, Räume, Netze.

    2

    Schutzbedarf & Modellierung

    Schutzbedarf feststellen und die passenden Bausteine des Kompendiums zuordnen.

    3

    Grundschutz-Check

    Soll-Ist-Vergleich je Anforderung, Umsetzungsgrade dokumentieren, Lücken schließen.

    4

    Zertifizierung

    Risikoanalyse, internes Audit und Begleitung bis zum BSI-Zertifikat.

    Strukturanalyse Schutzbedarf Modellierung Grundschutz-Check Risikoanalyse 200-3 BSI-Zertifikat

    Oder selbst umsetzen

    Die ISMS-Plattform für IT-Grundschutz — und 10 weitere Normen

    Digitalisieren Sie Strukturanalyse, Schutzbedarf, Modellierung und Umsetzungsgrade in einem Multinorm-ISMS. Mit KI-Copilot, Vorlagen und Audit-Lotse — ideal für Teams mit internen Ressourcen, die den Verbund dauerhaft aktuell halten möchten.

    • Multinorm-ISMS
    • KI-Copilot & Vorlagen
    • Audit-Lotse
    • 30 Tage kostenlos testen

    ab €249

    / Monat · alle Normen

    Plattform entdecken
    FAQ

    Häufige Fragen zu IT-Grundschutz

    Was ist IT-Grundschutz?
    IT-Grundschutz ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI) für den Aufbau eines Informationssicherheits-Managementsystems. Sie besteht aus den BSI-Standards 200-1 bis 200-4 und dem IT-Grundschutz-Kompendium mit rund 100 Bausteinen und weit über 1.000 konkreten Anforderungen.
    Was ist der Unterschied zu ISO 27001?
    ISO 27001 beschreibt, was ein ISMS leisten muss, und überlässt Ihnen das Wie. Der IT-Grundschutz liefert zusätzlich konkrete Maßnahmen für jeden Baustein — von der Serverhärtung bis zur Zutrittskontrolle. Das nimmt Ihnen viele Entscheidungen ab, verlangt aber mehr Dokumentation.
    Bekomme ich ein eigenes Zertifikat?
    Sie erhalten ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz, ausgestellt vom BSI. Es ist international anschlussfähig und gilt im deutschen öffentlichen Sektor als der stärkere Nachweis, weil die Prüfung tiefer geht.
    Was ist die Modellierung?
    Bei der Modellierung ordnen Sie jedem Objekt Ihres Informationsverbunds die passenden Bausteine des Kompendiums zu — einem Windows-Server etwa SYS.1.1 und SYS.2.2.3. Das Ergebnis ist Ihr individueller Anforderungskatalog. Diese Zuordnung ist der Schritt, den es bei ISO 27001 so nicht gibt.
    Muss ich gleich die Standard-Absicherung machen?
    Nein. Die Basis-Absicherung deckt zunächst nur die Basis-Anforderungen ab und ist deutlich schneller umzusetzen — allerdings nicht zertifizierbar. Die Kern-Absicherung schützt gezielt die wichtigsten Werte. Für die Zertifizierung brauchen Sie die Standard-Absicherung über den gesamten Verbund.
    Wie groß darf der Informationsverbund sein?
    Sie legen den Verbund selbst fest — er muss aber sinnvoll abgegrenzt und in sich funktionsfähig sein. Ein zu großer Verbund treibt Aufwand und Dauer erheblich. In der Praxis starten viele mit einem klar umrissenen Bereich und erweitern später.
    Was verlangt der BSI-Standard 200-3?
    Die Risikoanalyse nach 200-3 wird für Objekte mit hohem oder sehr hohem Schutzbedarf fällig, für Objekte ohne passenden Baustein und für untypische Einsatzszenarien. Sie arbeiten dabei mit dem Katalog elementarer Gefährdungen und leiten zusätzliche Maßnahmen ab.
    Wie viel interne Arbeit fällt bei uns an?
    Bei einem mittelgroßen Verbund rechnen Sie mit 40–60 Personentagen auf Ihrer Seite. Der größte Block ist die Strukturanalyse, weil dafür Wissen aus IT, Fachbereichen und Gebäudemanagement zusammenkommen muss. Genau hier nimmt Ihnen die Plattform am meisten ab.
    Wie lange dauert die Zertifizierung?
    Mit unserer Begleitung typischerweise 8–14 Monate für einen mittelgroßen Verbund. Wer bereits ein ISMS nach ISO 27001 betreibt, verkürzt das deutlich, weil Leitlinie, Rollen und Managementbewertung bereits stehen.
    Passt IT-Grundschutz auch für Unternehmen ohne Behördenbezug?
    Ja, aber die Frage ist, ob es sich lohnt. Wenn Ihre Kunden ISO 27001 verlangen, ist der direkte Weg meist wirtschaftlicher. Wenn Sie öffentliche Auftraggeber haben oder KRITIS-Betreiber sind, ist IT-Grundschutz oft die bessere Wahl — und manchmal die einzige akzeptierte.