IT-Grundschutz-software
voor uw ISMS

IT-Grundschutz is de methodiek van het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) voor de opbouw en het beheer van een managementsysteem voor informatiebeveiliging (ISMS). IT-Grundschutz bestaat uit de BSI-standaarden — 200-1 voor het managementsysteem, 200-2 voor de methodiek, 200-3 voor de risicoanalyse — en het IT-Grundschutz-Kompendium, waarvan de bouwstenen in tien lagen de eisen en de elementaire dreigingen per onderwerp beschrijven.

IT-Grundschutz-software is ISMS-software die de methodiek van het BSI in één datamodel onderbrengt: informatiedomein, doelobjecten, beschermingsbehoefte, bouwstenen, eisen, risico’s, maatregelen en bewijzen zijn met elkaar verbonden. In plaats van spreadsheets en documenten met de hand consistent te houden, onderhoudt u elk object één keer, en rapporten zoals de referentiedocumenten ontstaan uit de gegevens.

Geschikt is een IT-Grundschutz-tool die het IT-Grundschutz-Kompendium als catalogus meebrengt en alle stappen van de methodiek volgens BSI-Standard 200-2 afdekt. Complaica is zo’n tool: structuuranalyse, vaststelling van de beschermingsbehoefte, modellering, IT-Grundschutz-Check, risicoanalyse en realisatieplanning werken op één dataset, als SaaS of On-Premises.

Alle stappen volgens BSI-Standard 200-2: het vastleggen van het informatiedomein (Informationsverbund), de structuuranalyse (Strukturanalyse), de vaststelling van de beschermingsbehoefte (Schutzbedarfsfeststellung), de modellering (Modellierung) met de bouwstenen (Bausteine) van het compendium, de IT-Grundschutz-Check, de risicoanalyse (Risikoanalyse) volgens BSI-Standard 200-3, de realisatieplanning (Realisierungsplanung) en instandhouding, audit en continue verbetering. Elke stap werkt op de resultaten van de vorige, in één dataset.

Ja. Complaica implementeert de BSI-standaarden 200-1 (managementsystemen voor informatiebeveiliging), 200-2 (IT-Grundschutz-methodiek) en 200-3 (risicoanalyse op basis van IT-Grundschutz). De stappen van de methodiek en de risicoanalyse zijn als workflows in de software uitgewerkt; het IT-Grundschutz-Kompendium is als catalogus opgenomen.

Ja. BSI-Standard 200-2 kent drie werkwijzen: de basisbeveiliging is de instap in een ISMS, de kernbeveiliging beschouwt eerst een klein, bijzonder belangrijk deel van het informatiedomein, en met de standaardbeveiliging wordt een volledig beveiligingsproces geïmplementeerd. In Complaica zijn basiseisen, standaardeisen en eisen bij verhoogde beschermingsbehoefte afzonderlijk te evalueren, zodat u met één werkwijze kunt beginnen en later kunt uitbreiden.

Doelobjecten — bedrijfsprocessen, applicaties, IT-systemen, netwerken, ruimten — worden geregistreerd of uit assetmanagement, CMDB’s en Microsoft Azure geïmporteerd, tot groepen samengevoegd en langs hun afhankelijkheden gekoppeld. Afhankelijkheidsgraaf en afhankelijkheidsmatrix tonen de structuur van het informatiedomein; de structuuranalyse is als referentiedocument A.1 beschikbaar.

De beschermingsbehoefte wordt per doelobject voor vertrouwelijkheid, integriteit en beschikbaarheid vastgesteld — normaal, hoog of zeer hoog. Langs de afhankelijkheden wordt deze overgeërfd volgens het maximumprincipe; de herkomst van elke inschaling kan worden getoond.

In de modellering worden de passende bouwstenen van het IT-Grundschutz-Kompendium aan de doelobjecten toegewezen. In de IT-Grundschutz-Check, de vergelijking van gewenste en werkelijke situatie, beoordeelt u de implementatiestatus van elke eis, onderbouwt u die en slaat u bewijzen op. De status cumuleert van het afzonderlijke doelobject tot het informatiedomein; open eisen gaan naar het realisatieplan.

Ja. Voor doelobjecten met een hoge of zeer hoge beschermingsbehoefte en voor doelobjecten die met de bouwstenen niet toereikend te modelleren zijn, worden dreigingen bepaald — uit de elementaire dreigingen van het compendium of uit eigen catalogi — en in een configureerbare risicomatrix beoordeeld. Voor elk risico worden behandeloptie en maatregelen vastgelegd; het restrisico is in de tijd te volgen.

Ja. Structuuranalyse (A.1), vaststelling van de beschermingsbehoefte (A.2), modellering (A.3), resultaat van de IT-Grundschutz-Check (A.4), risicoanalyse (A.5) en realisatieplan (A.6) worden als rapporten uit de actuele dataset gegenereerd — bij de eerste audit en vóór elke controle-audit, zonder de documenten opnieuw te schrijven.

Ja. Het IT-Grundschutz-Kompendium is met zijn bouwstenen, eisen en elementaire dreigingen als catalogus opgenomen. Publiceert het BSI een nieuwe editie of correcties, dan wordt de catalogus bijgewerkt en als update beschikbaar gesteld; bestaande beoordelingen, maatregelen en bewijzen blijven behouden.

Grundschutz++ is de nieuwe ontwikkeling van de Grundschutz door het BSI: een volledig procesgericht normenkader waarvan de eisen in een machineleesbaar formaat beschikbaar zijn en daardoor door tools kunnen worden verwerkt. De gebruikerscatalogus Grundschutz++ vervangt het IT-Grundschutz-Kompendium.

Ja. Complaica is een van de eerste tools met ondersteuning voor BSI Grundschutz++. De eisen van Grundschutz++ zijn als catalogus opgenomen en worden op dezelfde dataset beoordeeld als IT-Grundschutz.

De migratie vindt plaats op de bestaande dataset: informatiedomein, doelobjecten, beschermingsbehoefte, risico’s, maatregelen en bewijzen blijven behouden, en de eisen van Grundschutz++ worden op dezelfde objecten beoordeeld. In de overgang kunnen beide normenkaders parallel worden gevoerd. Desgewenst begeleiden onze adviseurs de migratie.

Volgens het mijlpalenplan van het BSI (stand september 2026) kunnen vanaf 1 januari 2027 certificeringsaanvragen voor ISO 27001 op basis van Grundschutz++ worden ingediend; de certificeerbaarheid van IT-Grundschutz eindigt op 30 november 2031. Het BSI past het plan doorlopend aan — bepalend is de stand op de website van het BSI.

ISO/IEC 27001 beschrijft wat een ISMS moet leveren en laat de invulling aan de organisatie over. IT-Grundschutz geeft daarvoor een concrete methodiek en, met de bouwstenen van het compendium, gedetailleerde eisen. Beide zijn te combineren: de standaardbeveiliging is compatibel met de ISO 27001-certificering; het certificaat heet dan „ISO 27001 op basis van IT-Grundschutz”. In Complaica draaien beide op dezelfde dataset.

Ja. Complaica importeert en exporteert gegevens van en naar Excel, via de REST API en uit andere ISMS-tools; de migratie van uw gegevens is gratis en wordt door onze specialisten begeleid. Zo beoordeelt u de tool op uw eigen dataset in plaats van op demogegevens.

Ja. ISO 27001, NIS2, TISAX, AVG, ISO 22301 en andere normen worden op hetzelfde model beoordeeld en gebruiken dezelfde doelobjecten, risico’s, maatregelen en bewijzen. Wat voor IT-Grundschutz is gedocumenteerd, telt ook voor de andere normen.

Ja, allebei. De SaaS-variant wordt in Duitsland gehost; On-Premises draait u Complaica in uw eigen infrastructuur. De licentie kost in beide gevallen hetzelfde.

De bewijzen staan bij het object dat ze staven, en de referentiedocumenten worden uit de actuele dataset gegenereerd. Dashboards tonen de stand vóór de audit, en externe auditors kunnen gerichte toegang krijgen. Omdat dezelfde dataset doorloopt, worden controle-audits en de hercertificering vanuit de lopende werking voorbereid. De certificering zelf wordt door het BSI uitgevoerd op basis van de audit van een gecertificeerde auditor.