Software IT-Grundschutz
para o seu ISMS

O IT-Grundschutz é a metodologia do Serviço Federal alemão para a Segurança da Informação (BSI) para a construção e a operação de um sistema de gestão da segurança da informação (ISMS). É composto pelas normas BSI — 200-1 para o sistema de gestão, 200-2 para a metodologia, 200-3 para a análise de riscos — e pelo Compêndio IT-Grundschutz, cujos módulos descrevem, em dez camadas, os requisitos e as ameaças elementares de cada tema.

Um software IT-Grundschutz é um software ISMS que representa a metodologia do BSI num só modelo de dados: domínio de informação, objetos-alvo, necessidade de proteção, módulos, requisitos, riscos, medidas e evidências estão ligados entre si. Em vez de manter à mão a coerência de folhas de cálculo e documentos, mantém cada objeto uma só vez, e relatórios como os documentos de referência são gerados a partir dos dados.

É adequada uma ferramenta IT-Grundschutz que inclua o Compêndio IT-Grundschutz como catálogo e represente todos os passos da metodologia segundo o BSI-Standard 200-2. A Complaica é uma ferramenta desse tipo: a análise de estrutura, a determinação da necessidade de proteção, a modelação, o IT-Grundschutz-Check, a análise de riscos e o planeamento da implementação trabalham sobre um só conjunto de dados, como SaaS ou On-Premises.

Todos os passos segundo o BSI-Standard 200-2: a definição do domínio de informação (Informationsverbund), a análise de estrutura (Strukturanalyse), a determinação da necessidade de proteção (Schutzbedarfsfeststellung), a modelação (Modellierung) com os módulos (Bausteine) do compêndio, o IT-Grundschutz-Check, a análise de riscos (Risikoanalyse) segundo o BSI-Standard 200-3, o planeamento da implementação (Realisierungsplanung), bem como a manutenção, a auditoria e a melhoria contínua. Cada passo trabalha sobre os resultados do anterior, num só conjunto de dados.

Sim. A Complaica implementa as normas BSI 200-1 (sistemas de gestão da segurança da informação), 200-2 (metodologia IT-Grundschutz) e 200-3 (análise de riscos com base no IT-Grundschutz). Os passos da metodologia e a análise de riscos estão representados no software como fluxos de trabalho, e o Compêndio IT-Grundschutz está incluído como catálogo.

Sim. O BSI-Standard 200-2 prevê três abordagens: a Proteção Básica é a porta de entrada num ISMS, a Proteção do Núcleo considera primeiro uma parte pequena e particularmente importante do domínio de informação, e com a Proteção Padrão implementa-se um processo de segurança completo. Na Complaica, os requisitos básicos, os requisitos padrão e os requisitos para necessidade de proteção acrescida podem ser avaliados separadamente, pelo que pode começar com uma abordagem e evoluir mais tarde.

Os objetos-alvo — processos de negócio, aplicações, sistemas de TI, redes, salas — são registados ou importados da gestão de ativos, de CMDB e do Microsoft Azure, reunidos em grupos e ligados ao longo das suas dependências. O grafo de dependências e a matriz de dependências mostram a estrutura do domínio de informação; a análise de estrutura está disponível como documento de referência A.1.

A necessidade de proteção é determinada por objeto-alvo para confidencialidade, integridade e disponibilidade — normal, elevada ou muito elevada. Herda-se ao longo das dependências segundo o princípio do máximo; a origem de cada classificação pode ser consultada.

Na modelação, atribuem-se aos objetos-alvo os módulos adequados do Compêndio IT-Grundschutz. No IT-Grundschutz-Check, a comparação entre o previsto e o real, avalia o estado de implementação de cada requisito, justifica-o e guarda as evidências. O estado acumula-se do objeto-alvo individual até ao domínio de informação, e os requisitos em aberto entram no plano de implementação.

Sim. Para os objetos-alvo com necessidade de proteção elevada ou muito elevada e para os que não podem ser modelados de forma suficiente com os módulos, as ameaças são identificadas — a partir das ameaças elementares do compêndio ou de catálogos próprios — e avaliadas numa matriz de risco configurável. Para cada risco definem-se a opção de tratamento e as medidas; o risco residual pode ser acompanhado ao longo do tempo.

Sim. A análise de estrutura (A.1), a determinação da necessidade de proteção (A.2), a modelação (A.3), o resultado do IT-Grundschutz-Check (A.4), a análise de riscos (A.5) e o plano de implementação (A.6) são gerados como relatórios a partir do conjunto de dados atual — na auditoria inicial e antes de cada auditoria de acompanhamento, sem reescrever os documentos.

Sim. O Compêndio IT-Grundschutz está incluído como catálogo, com os seus módulos, requisitos e ameaças elementares. Quando o BSI publica uma nova edição ou correções, o catálogo é atualizado e disponibilizado como atualização; as avaliações, medidas e evidências existentes mantêm-se.

O Grundschutz++ é a reformulação do Grundschutz pelo BSI: um referencial totalmente orientado a processos, cujos requisitos existem num formato legível por máquina e podem, por isso, ser avaliados por ferramentas. O catálogo do utilizador Grundschutz++ substitui o Compêndio IT-Grundschutz.

Sim. A Complaica é uma das primeiras ferramentas com suporte para o BSI Grundschutz++. Os requisitos do Grundschutz++ são mantidos como catálogo e avaliados no mesmo conjunto de dados que o IT-Grundschutz.

A migração decorre sobre o conjunto de dados existente: o domínio de informação, os objetos-alvo, a necessidade de proteção, os riscos, as medidas e as evidências mantêm-se, e os requisitos do Grundschutz++ são avaliados nos mesmos objetos. Durante a transição, os dois referenciais podem ser mantidos em paralelo. Se o desejar, os nossos consultores acompanham a migração.

Segundo o plano de marcos do BSI (versão de setembro de 2026), a partir de 1 de janeiro de 2027 podem ser apresentados pedidos de certificação ISO 27001 com base no Grundschutz++; a certificabilidade do IT-Grundschutz termina a 30 de novembro de 2031. O BSI ajusta o plano continuamente — é determinante a versão publicada no sítio web do BSI.

A ISO/IEC 27001 descreve o que um ISMS tem de assegurar e deixa a concretização à organização. O IT-Grundschutz fornece para isso uma metodologia concreta e, com os módulos do compêndio, requisitos detalhados. Os dois podem ser combinados: a Proteção Padrão é compatível com a certificação ISO 27001, e o certificado chama-se então «ISO 27001 com base no IT-Grundschutz». Na Complaica, ambos assentam no mesmo conjunto de dados.

Sim. A Complaica importa e exporta dados de e para Excel, através da REST API e de outras ferramentas ISMS; a migração dos seus dados é gratuita e acompanhada pelos nossos especialistas. Assim avalia a ferramenta com o seu próprio conjunto de dados em vez de dados de demonstração.

Sim. ISO 27001, NIS2, TISAX, RGPD, ISO 22301 e outras normas são avaliadas no mesmo modelo e usam os mesmos objetos-alvo, riscos, medidas e evidências. O que está documentado para o IT-Grundschutz conta também para as outras normas.

Sim, ambos. A variante SaaS é alojada na Alemanha; On-Premises, opera a Complaica na sua própria infraestrutura. A licença custa o mesmo em ambos os casos.

As evidências ficam no objeto que comprovam, e os documentos de referência são gerados a partir do conjunto de dados atual. Os dashboards mostram o estado antes da auditoria e os auditores externos podem receber acesso direcionado. Como o mesmo conjunto de dados continua a viver, as auditorias de acompanhamento e a recertificação são preparadas a partir da operação corrente. A certificação em si é realizada pelo BSI com base na auditoria de um auditor certificado.