Kurz gesagt: Die Basis-Absicherung ist der einfachste der drei Wege, die der BSI-Standard 200-2 für den IT-Grundschutz vorsieht. Gedacht ist sie als Einstieg, um ein Informationssicherheitsmanagementsystem (ISMS) anzustoßen, und richtet sich laut BSI besonders an kleine und mittlere Unternehmen, die sich zum ersten Mal mit dem Thema befassen. Das BSI bietet dafür einen eigenen Leitfaden mit dem Titel „In drei Schritten zur Informationssicherheit“ an.
Stand: 03.11.2026
Was ist IT-Grundschutz überhaupt?
IT-Grundschutz ist die Methode des Bundesamts für Sicherheit in der Informationstechnik (BSI), mit der Unternehmen und Behörden ihre Informationssicherheit planmäßig aufbauen. Die Methode stützt sich auf zwei Säulen:
- Die BSI-Standards: Diese beschreiben das Vorgehen. Der BSI-Standard 200-2 bildet laut BSI „die Basis der bewährten BSI-Methodik“ zum Aufbau eines ISMS.
- Das IT-Grundschutz-Kompendium: Es enthält die IT-Grundschutz-Bausteine, also die konkreten Themen und Anforderungen.
Ein ISMS ist kein Programm, das man installiert, sondern die Organisation dahinter: Wer ist zuständig, welche Regeln gelten, wie wird geprüft, ob sie eingehalten werden. Die Technik, also Firewall, Backup oder Virenschutz, ist ein Teil davon.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Welche drei Vorgehensweisen kennt der BSI-Standard 200-2?
Der Standard legt drei Wege fest, den IT-Grundschutz umzusetzen:
| Vorgehensweise | Wofür sie laut BSI gedacht ist |
|---|---|
| Basis-Absicherung | Einstieg, um ein ISMS zu initiieren. |
| Kern-Absicherung | Einstieg in ein ISMS, bei dem zunächst nur ein kleiner Teil eines größeren Informationsverbundes betrachtet wird. |
| Standard-Absicherung | Umsetzung eines kompletten Sicherheitsprozesses. Diese Vorgehensweise entspricht weiterhin dem früheren BSI-Standard 100-2 und ist kompatibel zur ISO-27001-Zertifizierung. |
Basis- und Kern-Absicherung sind laut BSI verschlankt und modular aufgebaut und sollen vor allem kleinen und mittelständischen Betrieben den Einstieg erleichtern. Der Unterschied liegt im Zuschnitt: Bei der Kern-Absicherung betrachtest du zunächst nur einen kleinen Teil eines größeren Informationsverbundes. Die Basis-Absicherung ist dagegen als allgemeiner Einstieg in das ISMS beschrieben.
Für wen eignet sich die Basis-Absicherung?
Laut BSI ist der Leitfaden zur Basis-Absicherung besonders für kleine und mittelständische Unternehmen und Behörden geeignet, die sich zum ersten Mal mit grundlegenden Fragen der Informationssicherheit befassen. Er soll einen „kompakten und übersichtlichen Einstieg“ bieten und die elementaren Schritte erklären, mit denen sich das Sicherheitsniveau überprüfen und steigern lässt.
Aus unserer Erfahrung in der Betreuung kleinerer Firmen passt das gut, wenn zum Beispiel:
- es bisher kein schriftliches Sicherheitskonzept gibt,
- die IT über Jahre gewachsen ist und niemand einen vollständigen Überblick hat,
- Kunden, Versicherer oder Auftraggeber nach Sicherheitsmaßnahmen fragen,
- du später eventuell auf die Standard-Absicherung aufbauen willst.
Wer ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz braucht, landet nach Angaben des BSI bei der Standard-Absicherung, denn nur sie nennt das BSI als kompatibel zur Zertifizierung.
Welche Rolle spielt das IT-Grundschutz-Kompendium?
Das Kompendium ist die Sammlung der IT-Grundschutz-Bausteine. Jeder Baustein behandelt ein Thema vollständig: Zuerst beschreibt er die möglichen Gefährdungen, dann die wichtigen Sicherheitsanforderungen. Die Bausteine sind laut BSI in zehn Schichten aufgeteilt, von Anwendungen (APP) über Industrielle IT (IND) bis zum Sicherheitsmanagement (ISMS).
Für kleine Firmen ist ein Punkt besonders hilfreich: Die Bausteine enthalten laut BSI bereits eine Risikobewertung für Bereiche mit normalem Schutzbedarf. Du musst also nicht jedes Risiko selbst bewerten, solange deine Daten keinen erhöhten Schutzbedarf haben. Ergänzend gibt es Umsetzungshinweise, die beschreiben, mit welchen Maßnahmen sich die Anforderungen erfüllen lassen.
Auf der Kompendium-Seite des BSI ist die Edition 2023 als aktuelle Fassung genannt, verfügbar seit dem 1. Februar 2023. Dazu bietet das BSI unter anderem Checklisten, Kreuzreferenztabellen und eine Zuordnungstabelle zu ISO an.
Wie fängst du in der Praxis an?
Die drei Schritte selbst beschreibt das BSI im Leitfaden, den du kostenlos auf der BSI-Website herunterladen kannst. Unabhängig davon empfehlen wir für den Start diese Reihenfolge:
- Leitfaden lesen: Lade den „Leitfaden zur Basis-Absicherung nach IT-Grundschutz“ beim BSI herunter. Es gibt ihn auch auf Englisch.
- Verantwortung festlegen: Informationssicherheit ist Chefsache. Lege fest, wer sich intern kümmert, auch wenn ein Dienstleister die Technik betreut.
- Bestand aufnehmen: Welche Geräte, Server, Cloud-Dienste, Anwendungen und Räume gibt es? Ohne diese Liste lassen sich die Bausteine nicht sinnvoll zuordnen.
- Passende Bausteine auswählen: Ordne deinem Bestand die Bausteine aus dem IT-Grundschutz-Kompendium zu.
- Anforderungen prüfen und umsetzen: Was ist schon erfüllt, was fehlt? Die Lücken arbeitest du nach Dringlichkeit ab.
- Dranbleiben: Ein ISMS ist kein einmaliges Projekt. Plane feste Termine, an denen du den Stand überprüfst.
So unterstützen wir dich
Wir helfen dir beim technischen Teil der Basis-Absicherung: Bestandsaufnahme der IT, Abgleich mit den passenden Bausteinen und Umsetzung der Maßnahmen bei Netzwerk, Servern, Backup und Arbeitsplätzen. Die organisatorischen Entscheidungen triffst du, wir liefern dafür die Grundlage. In Osnabrück und Umgebung arbeiten wir vor Ort, sonst per Fernwartung. Mehr zu unseren Leistungen für IT-Sicherheit im Unternehmen.
Häufige Fragen
Ist die Basis-Absicherung Pflicht?
Der BSI-Standard 200-2 beschreibt die Basis-Absicherung als Einstieg und Angebot. Ob für dein Unternehmen gesetzliche oder vertragliche Sicherheitspflichten gelten, hängt von Branche und Größe ab und ist gesondert zu prüfen.
Kann ich mit der Basis-Absicherung ein Zertifikat bekommen?
Als kompatibel zur ISO-27001-Zertifizierung nennt das BSI die Standard-Absicherung. Die Basis-Absicherung ist als Einstieg gedacht, auf dem du später aufbauen kannst.
Was ist der Unterschied zur Kern-Absicherung?
Die Basis-Absicherung ist laut BSI ein Einstieg, um ein ISMS zu initiieren. Die Kern-Absicherung betrachtet zunächst nur einen kleinen Teil eines größeren Informationsverbundes.
Wo bekomme ich den Leitfaden?
Kostenlos auf der Website des BSI, als „Leitfaden zur Basis-Absicherung nach IT-Grundschutz“ auf Deutsch und als englische Fassung.
Quellen
- Leitfaden zur Basis-Absicherung nach IT-Grundschutz (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
- BSI-Standard 200-2: IT-Grundschutz-Methodik (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
- IT-Grundschutz-Kompendium (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
