Oprogramowanie IT-Grundschutz
dla Twojego ISMS

IT-Grundschutz to metodyka niemieckiego Federalnego Urzędu ds. Bezpieczeństwa Informacji (BSI) służąca do budowy i utrzymania systemu zarządzania bezpieczeństwem informacji (ISMS). Składa się ze standardów BSI — 200-1 dla systemu zarządzania, 200-2 dla metodyki, 200-3 dla analizy ryzyka — oraz z Kompendium IT-Grundschutz, którego moduły w dziesięciu warstwach opisują wymagania i zagrożenia elementarne dla każdego tematu.

Oprogramowanie IT-Grundschutz to oprogramowanie ISMS, które odwzorowuje metodykę BSI w jednym modelu danych: domena informacyjna, obiekty docelowe, potrzeby ochrony, moduły, wymagania, ryzyka, środki i dowody są ze sobą powiązane. Zamiast ręcznie utrzymywać spójność arkuszy i dokumentów, utrzymujesz każdy obiekt raz, a raporty takie jak dokumenty referencyjne powstają z danych.

Odpowiednie jest narzędzie IT-Grundschutz, które zawiera Kompendium IT-Grundschutz jako katalog i odwzorowuje wszystkie kroki metodyki według BSI-Standard 200-2. Complaica jest takim narzędziem: analiza struktury, określenie potrzeb ochrony, modelowanie, IT-Grundschutz-Check, analiza ryzyka i planowanie realizacji pracują na jednym zbiorze danych, jako SaaS lub On-Premises.

Wszystkie kroki według BSI-Standard 200-2: określenie domeny informacyjnej (Informationsverbund), analizę struktury (Strukturanalyse), określenie potrzeb ochrony (Schutzbedarfsfeststellung), modelowanie (Modellierung) z modułami (Bausteine) Kompendium, IT-Grundschutz-Check, analizę ryzyka (Risikoanalyse) według BSI-Standard 200-3, planowanie realizacji (Realisierungsplanung) oraz utrzymanie, audyt i ciągłe doskonalenie. Każdy krok pracuje na wynikach poprzedniego, w jednym zbiorze danych.

Tak. Complaica realizuje standardy BSI 200-1 (systemy zarządzania bezpieczeństwem informacji), 200-2 (metodyka IT-Grundschutz) i 200-3 (analiza ryzyka na podstawie IT-Grundschutz). Kroki metodyki i analiza ryzyka są odwzorowane w oprogramowaniu jako przepływy pracy, a Kompendium IT-Grundschutz jest zawarte jako katalog.

Tak. BSI-Standard 200-2 zna trzy podejścia: ochrona podstawowa jest wejściem w ISMS, ochrona kluczowa obejmuje najpierw niewielką, szczególnie ważną część domeny informacyjnej, a ochrona standardowa realizuje pełny proces bezpieczeństwa. W Complaica wymagania podstawowe, wymagania standardowe i wymagania przy podwyższonych potrzebach ochrony można analizować osobno, dzięki czemu możesz zacząć od jednego podejścia i później je rozbudować.

Obiekty docelowe — procesy biznesowe, aplikacje, systemy IT, sieci, pomieszczenia — są rejestrowane lub importowane z zarządzania aktywami, CMDB i Microsoft Azure, łączone w grupy i wiązane wzdłuż ich zależności. Graf zależności i macierz zależności pokazują strukturę domeny informacyjnej; analiza struktury jest dostępna jako dokument referencyjny A.1.

Potrzeby ochrony określa się dla każdego obiektu docelowego w odniesieniu do poufności, integralności i dostępności — normalne, wysokie lub bardzo wysokie. Wzdłuż zależności dziedziczą się one zgodnie z zasadą maksimum; pochodzenie każdej klasyfikacji można wyświetlić.

W modelowaniu obiektom docelowym przypisuje się odpowiednie moduły Kompendium IT-Grundschutz. W IT-Grundschutz-Check, czyli porównaniu stanu docelowego z faktycznym, oceniasz status wdrożenia każdego wymagania, uzasadniasz go i dołączasz dowody. Status kumuluje się od pojedynczego obiektu docelowego aż do domeny informacyjnej, a otwarte wymagania trafiają do planu realizacji.

Tak. Dla obiektów docelowych o wysokich lub bardzo wysokich potrzebach ochrony oraz dla tych, których nie da się wystarczająco zamodelować za pomocą modułów, identyfikuje się zagrożenia — na podstawie zagrożeń elementarnych Kompendium lub własnych katalogów — i ocenia je w konfigurowalnej macierzy ryzyka. Dla każdego ryzyka ustala się opcję postępowania i środki; ryzyko szczątkowe można śledzić w czasie.

Tak. Analiza struktury (A.1), określenie potrzeb ochrony (A.2), modelowanie (A.3), wynik IT-Grundschutz-Check (A.4), analiza ryzyka (A.5) i plan realizacji (A.6) są generowane jako raporty z aktualnego zbioru danych — przy audycie początkowym i przed każdym audytem nadzoru, bez pisania dokumentów od nowa.

Tak. Kompendium IT-Grundschutz jest zawarte jako katalog wraz ze swoimi modułami, wymaganiami i zagrożeniami elementarnymi. Gdy BSI publikuje nowe wydanie lub korekty, katalog jest aktualizowany i udostępniany jako aktualizacja; istniejące oceny, środki i dowody zostają zachowane.

Grundschutz++ to opracowany przez BSI na nowo Grundschutz: w pełni zorientowany na procesy zbiór zasad, którego wymagania są dostępne w formacie czytelnym maszynowo i dzięki temu mogą być przetwarzane przez narzędzia. Katalog użytkownika Grundschutz++ zastępuje Kompendium IT-Grundschutz.

Tak. Complaica jest jednym z pierwszych narzędzi obsługujących BSI Grundschutz++. Wymagania Grundschutz++ są prowadzone jako katalog i oceniane na tym samym zbiorze danych co IT-Grundschutz.

Migracja odbywa się na istniejącym zbiorze danych: domena informacyjna, obiekty docelowe, potrzeby ochrony, ryzyka, środki i dowody pozostają, a wymagania Grundschutz++ ocenia się na tych samych obiektach. W okresie przejściowym oba zbiory zasad można prowadzić równolegle. Na życzenie nasi doradcy towarzyszą migracji.

Według planu kamieni milowych BSI (stan na wrzesień 2026 r.) od 1 stycznia 2027 r. można składać wnioski o certyfikację ISO 27001 na podstawie Grundschutz++; możliwość certyfikacji IT-Grundschutz kończy się 30 listopada 2031 r. BSI na bieżąco dostosowuje plan — miarodajny jest stan na stronie internetowej BSI.

ISO/IEC 27001 opisuje, co ISMS musi zapewniać, a sposób realizacji pozostawia organizacji. IT-Grundschutz daje do tego konkretną metodykę, a wraz z modułami Kompendium — szczegółowe wymagania. Jedno i drugie da się połączyć: ochrona standardowa jest zgodna z certyfikacją ISO 27001, a certyfikat nosi wtedy nazwę „ISO 27001 na podstawie IT-Grundschutz”. W Complaica oba działają na tym samym zbiorze danych.

Tak. Complaica importuje i eksportuje dane z Excela i do Excela, przez REST API oraz z innych narzędzi ISMS; migracja Twoich danych jest bezpłatna i prowadzona przez naszych specjalistów. Dzięki temu oceniasz narzędzie na własnym zbiorze danych, a nie na danych demonstracyjnych.

Tak. ISO 27001, NIS2, TISAX, RODO, ISO 22301 i inne normy ocenia się na tym samym modelu, korzystając z tych samych obiektów docelowych, ryzyk, środków i dowodów. To, co udokumentowano dla IT-Grundschutz, liczy się także dla pozostałych norm.

Tak, w obu wariantach. Wariant SaaS jest hostowany w Niemczech; On-Premises uruchamiasz Complaica we własnej infrastrukturze. Licencja kosztuje tyle samo w obu przypadkach.

Dowody znajdują się przy obiekcie, który potwierdzają, a dokumenty referencyjne są generowane z aktualnego zbioru danych. Pulpity pokazują stan przed audytem, a audytorom zewnętrznym można przyznać ukierunkowany dostęp. Ponieważ ten sam zbiór danych pracuje dalej, audyty nadzoru i recertyfikacja są przygotowywane z bieżącej pracy. Samą certyfikację przeprowadza BSI na podstawie audytu wykonanego przez certyfikowanego audytora.