BSI-Standards 200-1 bis 200-4: Überblick und Checkliste für Unternehmen

Was sind die BSI-Standards 200-1 bis 200-4?

Die BSI-Standards 200-1 bis 200-4 sind Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) für den Aufbau von Informationssicherheit in Unternehmen und Behörden. 200-1 beschreibt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS), 200-2 die IT-Grundschutz-Methodik, 200-3 die Risikoanalyse und 200-4 das Business Continuity Management. Zusammen mit dem IT-Grundschutz-Kompendium bilden sie den IT-Grundschutz, der mit ISO 27001 kompatibel ist.

Das BSI ist die zentrale Cybersicherheitsbehörde in Deutschland. Die Standards 200-1 bis 200-3 erschienen 2017 und lösten die alten BSI-Standards 100-1 bis 100-3 ab. Der BSI-Standard 200-4 folgte 2023 und ersetzt den Standard 100-4 zum Notfallmanagement. Alle Standards stehen kostenlos auf der Website des BSI zur Verfügung.

Die vier BSI-Standards im Überblick

BSI-Standard 200-1: Managementsysteme für Informationssicherheit

Der BSI-Standard 200-1 legt fest, was ein Informationssicherheits-Managementsystem (ISMS) leisten muss. Er beschreibt, wie die Leitung Verantwortung übernimmt, eine Sicherheitsleitlinie festlegt, Rollen wie die oder den Informationssicherheitsbeauftragten benennt und den Sicherheitsprozess dauerhaft steuert und verbessert. Konkrete technische Maßnahmen enthält 200-1 nicht – die finden sich im IT-Grundschutz-Kompendium.

Der Standard ist vollständig kompatibel mit ISO/IEC 27001. Wer ein ISMS nach 200-1 aufbaut, erfüllt damit auch die Managementanforderungen der internationalen Norm.

BSI-Standard 200-2: IT-Grundschutz-Methodik

Der BSI-Standard 200-2 beschreibt Schritt für Schritt, wie du ein ISMS nach IT-Grundschutz in der Praxis aufbaust: von der Strukturanalyse über die Schutzbedarfsfeststellung und die Modellierung mit den Bausteinen des Kompendiums bis zum IT-Grundschutz-Check. Damit auch kleinere Organisationen einsteigen können, bietet der Standard drei Vorgehensweisen:

• Basis-Absicherung: schneller Einstieg mit grundlegenden Maßnahmen für die gesamte Organisation.
• Kern-Absicherung: Schutz der besonders kritischen Geschäftsprozesse und Werte („Kronjuwelen“).
• Standard-Absicherung: vollständige Absicherung aller Bereiche nach IT-Grundschutz – Voraussetzung für eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz.

BSI-Standard 200-3: Risikoanalyse auf der Basis von IT-Grundschutz

Die Anforderungen des IT-Grundschutz-Kompendiums decken einen normalen Schutzbedarf ab. Für Bereiche mit hohem oder sehr hohem Schutzbedarf, für ungewöhnliche Einsatzszenarien oder für Systeme, für die es keinen passenden Baustein gibt, beschreibt der BSI-Standard 200-3 eine ergänzende Risikoanalyse. Dabei identifizierst du Gefährdungen, bewertest Eintrittswahrscheinlichkeit und Schadensausmaß und legst fest, wie du mit jedem Risiko umgehst: vermeiden, reduzieren, übertragen oder bewusst akzeptieren. Wer bereits mit Risikomanagement nach ISO 31000 arbeitet, findet hier viele vertraute Elemente.

BSI-Standard 200-4: Business Continuity Management

Der BSI-Standard 200-4 beschreibt den Aufbau eines Business-Continuity-Management-Systems (BCMS). Ziel ist, dass zeitkritische Geschäftsprozesse auch bei Notfällen und Krisen – etwa nach einem Ransomware-Angriff, einem Brand oder dem Ausfall eines Dienstleisters – weiterlaufen oder schnell wiederhergestellt werden. Dazu gehören eine Business-Impact-Analyse, Notfallpläne, Wiederanlaufstrategien und regelmäßige Übungen.

Der Standard ersetzt den früheren BSI-Standard 100-4 „Notfallmanagement“ und ist an ISO 22301 angelehnt. Für den Einstieg bietet er ein abgestuftes Vorgehen vom reaktiven BCMS bis zum vollständigen Standard-BCMS.

Was ist das IT-Grundschutz-Kompendium?

Das IT-Grundschutz-Kompendium ergänzt die BSI-Standards um konkrete Anforderungen. Es ist in Bausteine gegliedert, etwa zu Organisation, Personal, Netzen, Servern, Clients oder Cloud-Nutzung. Jeder Baustein beschreibt typische Gefährdungen und die Anforderungen, mit denen du ihnen begegnest – zum Beispiel Zugriffskontrollen, Datensicherung, Verschlüsselung oder Netzwerksegmentierung. Das BSI arbeitet derzeit an einer Modernisierung des IT-Grundschutzes unter dem Namen „Grundschutz++“, die Standards 200-1 bis 200-4 bleiben aber die methodische Grundlage.

BSI-Standards, ISO 27001 und NIS2: Wie hängt das zusammen?

• ISO 27001: Die BSI-Standards sind mit der internationalen Norm kompatibel. Das BSI bietet sogar eine eigene Zertifizierung „ISO 27001 auf der Basis von IT-Grundschutz“ an. Viele Unternehmen setzen aber auf eine klassische ISO-27001-Zertifizierung, weil sie international bekannter und flexibler ist. Was eine Zertifizierung kostet, liest du in unserem Artikel zu den ISO-27001-Kosten.
• NIS2: Mit der Umsetzung der NIS2-Richtlinie in Deutschland fallen deutlich mehr Unternehmen unter die Aufsicht des BSI. Sie müssen Risikomanagementmaßnahmen umsetzen, Sicherheitsvorfälle melden und Notfallvorsorge treffen. Die BSI-Standards – insbesondere 200-2, 200-3 und 200-4 – bieten dafür eine bewährte Vorlage. Mehr dazu in unserem Artikel zu NIS2 und ISO 27001.

Checkliste: So setzt du die BSI-Standards im Unternehmen um

1. Leitung einbinden: Verantwortung und Budget für Informationssicherheit festlegen und eine Sicherheitsleitlinie verabschieden (200-1).
2. Rollen benennen: Eine oder einen Informationssicherheitsbeauftragten bestimmen und Zuständigkeiten klären.
3. Geltungsbereich festlegen: Entscheiden, welche Standorte, Prozesse und Systeme das ISMS umfasst.
4. Vorgehensweise wählen: Mit Basis- oder Kern-Absicherung starten, Standard-Absicherung als Ziel setzen (200-2).
5. Strukturanalyse und Schutzbedarf: Geschäftsprozesse, Anwendungen, IT-Systeme und Räume erfassen und ihren Schutzbedarf bestimmen.
6. Modellieren und prüfen: Passende Bausteine aus dem IT-Grundschutz-Kompendium zuordnen und im IT-Grundschutz-Check den Umsetzungsstand prüfen.
7. Risiken analysieren: Für Bereiche mit hohem Schutzbedarf eine Risikoanalyse nach 200-3 durchführen und Maßnahmen festlegen.
8. Notfallvorsorge aufbauen: Business-Impact-Analyse, Notfallpläne und Übungen nach 200-4 umsetzen.
9. Mitarbeitende schulen: Regelmäßige Sensibilisierung für Phishing, Passwortsicherheit und Meldewege.
10. Kontinuierlich verbessern: Interne Audits, Managementbewertung und Anpassung an neue Gefährdungen fest einplanen.

Fazit: Die BSI-Standards als Fahrplan für Informationssicherheit

Die BSI-Standards 200-1 bis 200-4 bieten Unternehmen einen kostenlosen, bewährten Fahrplan für Informationssicherheit: vom Managementsystem über die praktische Absicherung und die Risikoanalyse bis zur Notfallvorsorge. Sie sind mit ISO 27001 kompatibel und eine gute Grundlage, um die Anforderungen von NIS2 zu erfüllen. Wer schrittweise mit der Basis- oder Kern-Absicherung beginnt, kommt auch mit begrenzten Ressourcen schnell zu einem soliden Sicherheitsniveau. Ob sich für dein Unternehmen zusätzlich eine Zertifizierung lohnt, liest du in unserem Artikel ISO 27001: Für welche Unternehmen lohnt sich die Zertifizierung?

Mit heyData baust du dein ISMS strukturiert auf: mit vorgefertigten Richtlinien, geführter Risikoanalyse und Expert:innen, die dich bis zur ISO-27001-Zertifizierung begleiten.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo