IT-Grundschutz Software
für Ihr ISMS

IT-Grundschutz ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI) für den Aufbau und Betrieb eines Informationssicherheits-Managementsystems (ISMS). Er besteht aus den BSI-Standards — 200-1 für das Managementsystem, 200-2 für die Methodik, 200-3 für die Risikoanalyse — und dem IT-Grundschutz-Kompendium, dessen Bausteine in zehn Schichten die Anforderungen und die elementaren Gefährdungen zu jedem Thema beschreiben.

Eine IT-Grundschutz Software ist eine ISMS Software, die die Methodik des BSI in einem Datenmodell abbildet: Informationsverbund, Zielobjekte, Schutzbedarf, Bausteine, Anforderungen, Risiken, Maßnahmen und Nachweise sind miteinander verknüpft. Statt Tabellen und Dokumente von Hand konsistent zu halten, pflegen Sie jedes Objekt einmal, und Berichte wie die Referenzdokumente entstehen aus den Daten.

Geeignet ist ein IT-Grundschutz Tool, das das IT-Grundschutz-Kompendium als Katalog mitbringt und alle Schritte der Methodik nach BSI-Standard 200-2 abbildet. Complaica ist ein solches Tool: Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check, Risikoanalyse und Realisierungsplanung arbeiten auf einem Datenbestand, als SaaS oder On-Premises.

Alle Schritte nach BSI-Standard 200-2: die Festlegung des Informationsverbunds, die Strukturanalyse, die Schutzbedarfsfeststellung, die Modellierung mit den Bausteinen des Kompendiums, den IT-Grundschutz-Check, die Risikoanalyse nach BSI-Standard 200-3, die Realisierungsplanung sowie Aufrechterhaltung, Audit und kontinuierliche Verbesserung. Jeder Schritt arbeitet auf den Ergebnissen des vorherigen, in einem Datenbestand.

Ja. Complaica setzt die BSI-Standards 200-1 (Managementsysteme für Informationssicherheit), 200-2 (IT-Grundschutz-Methodik) und 200-3 (Risikoanalyse auf der Basis von IT-Grundschutz) um. Die Schritte der Methodik und die Risikoanalyse sind als Arbeitsabläufe in der Software abgebildet, das IT-Grundschutz-Kompendium ist als Katalog enthalten.

Ja. Der BSI-Standard 200-2 kennt drei Vorgehensweisen: Die Basis-Absicherung ist der Einstieg in ein ISMS, die Kern-Absicherung betrachtet zunächst einen kleinen, besonders wichtigen Teil des Informationsverbunds, und mit der Standard-Absicherung wird ein vollständiger Sicherheitsprozess umgesetzt. In Complaica sind Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf getrennt auswertbar, sodass Sie mit einer Vorgehensweise beginnen und später ausbauen können.

Zielobjekte — Geschäftsprozesse, Anwendungen, IT-Systeme, Netze, Räume — werden erfasst oder aus Asset Management, CMDBs und Microsoft Azure importiert, zu Gruppen zusammengefasst und entlang ihrer Abhängigkeiten verknüpft. Abhängigkeitsgraph und Abhängigkeitsmatrix zeigen die Struktur des Informationsverbunds; die Strukturanalyse steht als Referenzdokument A.1 bereit.

Der Schutzbedarf wird je Zielobjekt für Vertraulichkeit, Integrität und Verfügbarkeit festgestellt — normal, hoch oder sehr hoch. Entlang der Abhängigkeiten vererbt er sich nach dem Maximumprinzip; die Herkunft jeder Einstufung lässt sich anzeigen.

In der Modellierung werden den Zielobjekten die passenden Bausteine des IT-Grundschutz-Kompendiums zugeordnet. Im IT-Grundschutz-Check, dem Soll-Ist-Vergleich, bewerten Sie den Umsetzungsstatus jeder Anforderung, begründen ihn und legen Nachweise ab. Der Status kumuliert vom einzelnen Zielobjekt bis zum Informationsverbund, offene Anforderungen gehen in den Realisierungsplan ein.

Ja. Für Zielobjekte mit hohem oder sehr hohem Schutzbedarf und für solche, die sich mit den Bausteinen nicht hinreichend modellieren lassen, werden Gefährdungen ermittelt — aus den elementaren Gefährdungen des Kompendiums oder aus eigenen Katalogen — und in einer konfigurierbaren Risikomatrix bewertet. Für jedes Risiko werden Behandlungsoption und Maßnahmen festgelegt; das Restrisiko lässt sich über die Zeit verfolgen.

Ja. Strukturanalyse (A.1), Schutzbedarfsfeststellung (A.2), Modellierung (A.3), Ergebnis des IT-Grundschutz-Checks (A.4), Risikoanalyse (A.5) und Realisierungsplan (A.6) werden als Berichte aus dem aktuellen Datenbestand erzeugt — beim Erstaudit wie vor jedem Überwachungsaudit, ohne die Dokumente neu zu schreiben.

Ja. Das IT-Grundschutz-Kompendium ist mit seinen Bausteinen, Anforderungen und elementaren Gefährdungen als Katalog enthalten. Veröffentlicht das BSI eine neue Edition oder Korrekturen, wird der Katalog aktualisiert und als Update bereitgestellt; vorhandene Bewertungen, Maßnahmen und Nachweise bleiben erhalten.

Grundschutz++ ist die Neuentwicklung des Grundschutzes durch das BSI: ein vollständig prozessorientiertes Regelwerk, dessen Anforderungen in einem maschinenlesbaren Format vorliegen und sich dadurch von Tools auswerten lassen. Der Anwenderkatalog Grundschutz++ löst das IT-Grundschutz-Kompendium ab.

Ja. Complaica ist eines der ersten Tools mit Unterstützung für BSI Grundschutz++. Die Anforderungen des Grundschutz++ werden als Katalog geführt und auf demselben Datenbestand bewertet wie der IT-Grundschutz.

Die Migration findet auf dem vorhandenen Datenbestand statt: Informationsverbund, Zielobjekte, Schutzbedarf, Risiken, Maßnahmen und Nachweise bleiben bestehen, und die Anforderungen des Grundschutz++ werden auf denselben Objekten bewertet. Im Übergang lassen sich beide Regelwerke parallel führen. Auf Wunsch begleiten unsere Berater die Migration.

Nach dem Meilensteinplan des BSI (Stand September 2026) können ab dem 1. Januar 2027 Zertifizierungsanträge für ISO 27001 auf Basis von Grundschutz++ gestellt werden; die Zertifizierbarkeit des IT-Grundschutz endet am 30. November 2031. Das BSI passt den Plan laufend an — maßgeblich ist der Stand auf der Website des BSI.

ISO/IEC 27001 beschreibt, was ein ISMS leisten muss, und überlässt die Ausgestaltung der Organisation. IT-Grundschutz gibt dazu eine konkrete Methodik und mit den Bausteinen des Kompendiums detaillierte Anforderungen vor. Beides lässt sich verbinden: Die Standard-Absicherung ist kompatibel zur ISO 27001-Zertifizierung, das Zertifikat heißt dann „ISO 27001 auf der Basis von IT-Grundschutz“. In Complaica laufen beide auf demselben Datenbestand.

Ja. Complaica importiert und exportiert Daten von und nach Excel, über die REST API und aus anderen ISMS-Tools; die Migration Ihrer Daten ist kostenlos und wird von unseren Spezialisten begleitet. So bewerten Sie das Tool an Ihrem eigenen Datenbestand statt an Demo-Daten.

Ja. ISO 27001, NIS2, TISAX, DSGVO, ISO 22301 und weitere Normen werden auf demselben Modell bewertet und nutzen dieselben Zielobjekte, Risiken, Maßnahmen und Nachweise. Was für IT-Grundschutz dokumentiert ist, zählt für die anderen Standards mit.

Ja, beides. Die SaaS-Variante wird in Deutschland gehostet; On-Premises betreiben Sie Complaica in Ihrer eigenen Infrastruktur. Die Lizenz kostet in beiden Fällen dasselbe.

Die Nachweise liegen am Objekt, das sie belegen, und die Referenzdokumente werden aus dem aktuellen Datenbestand erzeugt. Dashboards zeigen den Stand vor dem Audit, externen Auditoren kann gezielter Zugriff gegeben werden. Weil derselbe Datenbestand weiterläuft, werden Überwachungsaudits und die Rezertifizierung aus dem laufenden Betrieb heraus vorbereitet. Die Zertifizierung selbst nimmt das BSI auf Grundlage des Audits eines zertifizierten Auditors vor.