Software IT-Grundschutz
para su ISMS

IT-Grundschutz es la metodología de la Oficina Federal de Seguridad de la Información de Alemania (BSI) para construir y operar un sistema de gestión de la seguridad de la información (ISMS). Se compone de las normas BSI — 200-1 para el sistema de gestión, 200-2 para la metodología, 200-3 para el análisis de riesgos — y del Compendio de IT-Grundschutz, cuyos módulos describen, en diez capas, los requisitos y las amenazas elementales de cada tema.

Un software IT-Grundschutz es un software ISMS que representa la metodología del BSI en un modelo de datos: dominio de información, objetos de destino, necesidad de protección, módulos, requisitos, riesgos, medidas y evidencias están vinculados entre sí. En lugar de mantener a mano la coherencia de hojas de cálculo y documentos, cada objeto se mantiene una sola vez y los informes, como los documentos de referencia, se generan a partir de los datos.

Es adecuada una herramienta IT-Grundschutz que incluya el Compendio de IT-Grundschutz como catálogo y represente todos los pasos de la metodología según BSI-Standard 200-2. Complaica es una herramienta de este tipo: análisis de estructura, determinación de la necesidad de protección, modelado, IT-Grundschutz-Check, análisis de riesgos y planificación de la implementación trabajan sobre un solo conjunto de datos, como SaaS u On-Premises.

Todos los pasos según BSI-Standard 200-2: la definición del dominio de información (Informationsverbund), el análisis de estructura (Strukturanalyse), la determinación de la necesidad de protección (Schutzbedarfsfeststellung), el modelado (Modellierung) con los módulos (Bausteine) del compendio, el IT-Grundschutz-Check, el análisis de riesgos (Risikoanalyse) según BSI-Standard 200-3, la planificación de la implementación (Realisierungsplanung), así como el mantenimiento, la auditoría y la mejora continua. Cada paso trabaja sobre los resultados del anterior, en un solo conjunto de datos.

Sí. Complaica implementa las normas BSI 200-1 (sistemas de gestión de la seguridad de la información), 200-2 (metodología IT-Grundschutz) y 200-3 (análisis de riesgos sobre la base de IT-Grundschutz). Los pasos de la metodología y el análisis de riesgos están representados como flujos de trabajo en el software, y el Compendio de IT-Grundschutz está incluido como catálogo.

Sí. El BSI-Standard 200-2 contempla tres enfoques: la protección básica es la puerta de entrada a un ISMS, la protección de núcleo considera primero una parte pequeña y especialmente importante del dominio de información, y con la protección estándar se implanta un proceso de seguridad completo. En Complaica los requisitos básicos, los requisitos estándar y los requisitos para una necesidad de protección elevada pueden evaluarse por separado, de modo que puede empezar con un enfoque y ampliarlo más adelante.

Los objetos de destino — procesos de negocio, aplicaciones, sistemas TI, redes, salas — se registran o se importan desde gestión de activos, CMDB y Microsoft Azure, se agrupan y se vinculan a lo largo de sus dependencias. El grafo de dependencias y la matriz de dependencias muestran la estructura del dominio de información; el análisis de estructura está disponible como documento de referencia A.1.

La necesidad de protección se determina por objeto de destino para confidencialidad, integridad y disponibilidad — normal, alta o muy alta. A lo largo de las dependencias se hereda según el principio del máximo; el origen de cada clasificación puede mostrarse.

En el modelado se asignan a los objetos de destino los módulos correspondientes del Compendio de IT-Grundschutz. En el IT-Grundschutz-Check, la comparación entre el estado previsto y el estado real, usted evalúa el estado de implementación de cada requisito, lo justifica y guarda las evidencias. El estado se acumula desde el objeto de destino individual hasta el dominio de información, y los requisitos abiertos pasan al plan de implementación.

Sí. Para los objetos de destino con necesidad de protección alta o muy alta y para los que no pueden modelarse suficientemente con los módulos, se identifican amenazas — a partir de las amenazas elementales del compendio o de catálogos propios — y se evalúan en una matriz de riesgo configurable. Para cada riesgo se fijan la opción de tratamiento y las medidas; el riesgo residual puede seguirse a lo largo del tiempo.

Sí. El análisis de estructura (A.1), la determinación de la necesidad de protección (A.2), el modelado (A.3), el resultado del IT-Grundschutz-Check (A.4), el análisis de riesgos (A.5) y el plan de implementación (A.6) se generan como informes a partir del conjunto de datos actual — en la auditoría inicial y antes de cada auditoría de seguimiento, sin reescribir los documentos.

Sí. El Compendio de IT-Grundschutz está incluido como catálogo, con sus módulos, requisitos y amenazas elementales. Cuando el BSI publica una nueva edición o correcciones, el catálogo se actualiza y se entrega como actualización; las evaluaciones, medidas y evidencias existentes se conservan.

Grundschutz++ es el nuevo desarrollo de Grundschutz por parte del BSI: un marco normativo totalmente orientado a procesos, cuyos requisitos se presentan en un formato legible por máquina y pueden, por tanto, ser evaluados por herramientas. El catálogo de usuario de Grundschutz++ sustituye al Compendio de IT-Grundschutz.

Sí. Complaica es una de las primeras herramientas compatibles con BSI Grundschutz++. Los requisitos de Grundschutz++ se gestionan como catálogo y se evalúan sobre el mismo conjunto de datos que IT-Grundschutz.

La migración se realiza sobre el conjunto de datos existente: dominio de información, objetos de destino, necesidad de protección, riesgos, medidas y evidencias se conservan, y los requisitos de Grundschutz++ se evalúan sobre los mismos objetos. Durante la transición pueden mantenerse ambos marcos normativos en paralelo. Si lo desea, nuestros consultores acompañan la migración.

Según el plan de hitos del BSI (a fecha de septiembre de 2026), a partir del 1 de enero de 2027 pueden presentarse solicitudes de certificación ISO 27001 sobre la base de Grundschutz++; la posibilidad de certificación según IT-Grundschutz termina el 30 de noviembre de 2031. El BSI ajusta el plan de forma continua — es determinante la versión publicada en el sitio web del BSI.

ISO/IEC 27001 describe lo que un ISMS debe lograr y deja su configuración a la organización. IT-Grundschutz aporta para ello una metodología concreta y, con los módulos del compendio, requisitos detallados. Ambos pueden combinarse: la protección estándar es compatible con la certificación ISO 27001, y el certificado se denomina entonces «ISO 27001 sobre la base de IT-Grundschutz». En Complaica ambos funcionan sobre el mismo conjunto de datos.

Sí. Complaica importa y exporta datos desde y hacia Excel, a través de la REST API y desde otras herramientas ISMS; la migración de sus datos es gratuita y la acompañan nuestros especialistas. Así evalúa la herramienta con su propio conjunto de datos en lugar de con datos de demostración.

Sí. ISO 27001, NIS2, TISAX, RGPD, ISO 22301 y otras normas se evalúan sobre el mismo modelo y utilizan los mismos objetos de destino, riesgos, medidas y evidencias. Lo documentado para IT-Grundschutz cuenta también para las demás normas.

Sí, ambas. La variante SaaS se aloja en Alemania; On-Premises opera Complaica en su propia infraestructura. La licencia cuesta lo mismo en ambos casos.

Las evidencias residen en el objeto que acreditan, y los documentos de referencia se generan a partir del conjunto de datos actual. Los cuadros de mando muestran el estado antes de la auditoría y los auditores externos pueden recibir un acceso específico. Como el mismo conjunto de datos sigue en uso, las auditorías de seguimiento y la recertificación se preparan desde la operación diaria. La certificación en sí la realiza el BSI sobre la base de la auditoría de un auditor certificado.