Auftraggeber verlangen Nachweise, die Datenschutz-Grundverordnung fordert Maßnahmen nach dem Stand der Technik, und ein Ausfall der IT legt den Betrieb still. Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik ist der etablierte Maßstab, an dem sich Informationssicherheit in Deutschland messen lässt. Ich mache ihn für mittelständische Betriebe umsetzbar.
Das Bundesamt für Sicherheit in der Informationstechnik ist die nationale Cyber-Sicherheitsbehörde. Der von ihm herausgegebene IT-Grundschutz gilt in Deutschland als anerkannter Stand der Technik – von der Einzelkanzlei bis zum Konzern.
Die Unterlagen des BSI sind frei verfügbar. Aufwand entsteht nicht beim Zugang, sondern bei der belastbaren Bestandsaufnahme und der Umsetzung im laufenden Betrieb.
IT-Grundschutz ist kein Produkt, sondern ein strukturiertes Vorgehen: Der tatsächliche Zustand der IT wird erhoben, mit anerkannten Anforderungen abgeglichen und die festgestellten Lücken werden nach Dringlichkeit geschlossen.
Der Umfang richtet sich nach Größe und Komplexität des Betriebs. Ein Handwerksunternehmen mit acht Arbeitsplätzen unterliegt anderen Anforderungen als eine Behörde – entscheidend ist, die für den eigenen Betrieb geltenden zu kennen und nachweisbar umzusetzen.
Der Maßstab einer Bundesbehörde – keine Auslegung eines einzelnen Dienstleisters.
Der Anforderungsumfang skaliert mit Größe und Risikoexposition des Betriebs.
Am Ende steht eine Dokumentation des erreichten Stands, die Dritten vorgelegt werden kann.
Zuerst die Basis-Absicherung, danach die Vertiefung – in planbaren Abschnitten.
Informationssicherheit ist längst keine freiwillige Übung größerer Unternehmen mehr. Vier Entwicklungen bringen das Thema derzeit auch in mittelständische Betriebe.
Der häufigste Anlass – und der, der am schnellsten konkret wird.
Sie gelten unabhängig von Betriebsgröße und Branche.
Informationssicherheit ist Leitungsaufgabe, nicht IT-Detail.
Der Grund, der unabhängig von jeder Vorschrift gilt.
Angaben zu NIS-2 nach Veröffentlichung des BSI, Stand August 2026.
Für Einrichtungen ohne eigene Sicherheitsorganisation hat das BSI einen eigenen Einstieg geschaffen: Prüffragen, gebündelt in themenspezifischen Checklisten, anwendbar auch ohne vertiefte Kenntnis der Methodik.
Konkrete Fragen zu den Themen mit der höchsten Priorität.
Ein ISMS – ein dauerhaft betriebenes Managementsystem für Informationssicherheit – ist für den Anfang nicht nötig.
Der Einstieg ist auf die weiteren Stufen ausgelegt.
Sämtliche WiBA-Dokumente stellt das BSI frei zum Download bereit – Checklisten, Vorgehensweise und ein Auswertungswerkzeug. Betriebe mit eigenen Kapazitäten können damit selbstständig arbeiten; ich nenne Ihnen gerne den Einstiegspunkt. Mein Angebot richtet sich an Unternehmen, die den Aufwand im Tagesgeschäft nicht abbilden können oder die die Antworten fachlich eingeordnet und die Lücken anschließend geschlossen haben möchten.
Bewusst ohne Preisliste: Der Aufwand hängt von Anzahl der Arbeitsplätze, Serverlandschaft und Standorten ab. Diese Größen lassen sich vorab klären – Sie erhalten anschließend ein belastbares Angebot statt einer pauschalen Schätzung.
Das BSI stellt den IT-Grundschutz derzeit grundlegend um. Wer jetzt einsteigt, sollte den Zeitplan kennen – und wissen, dass die geleistete Vorarbeit bestehen bleibt.
Beginn der Pilotierungsphase. Grundschutz++ wird in der Praxis erprobt.
Veröffentlichung auf der it-sa, der deutschen Fachmesse für IT-Sicherheit.
Zertifizierungsanträge nach ISO 27001 auf Basis von Grundschutz++ möglich.
Internationalisierung des Regelwerks ist vorgesehen.
Grundschutz++ ist durchgängig prozessorientiert aufgebaut: Jede Anforderung wird als Regel in einem standardisierten, maschinenlesbaren Format erfasst und damit automatisierbar. Die bisherigen Absicherungsstufen – Basis, Standard und erhöhter Schutzbedarf – werden durch flexible Leistungszahlen mit dynamischen Schwellwerten abgelöst.
Die Umstellung entwertet die geleistete Arbeit nicht. Nach Angaben des BSI haben sich die mit WiBA erprobten Checklisten in der Praxis bewährt und werden fester Bestandteil des neuen IT-Grundschutzes. Wer heute die Basis-Absicherung herstellt, beginnt beim Wechsel nicht von vorn, sondern setzt auf der vorhandenen Grundlage auf.
Stand dieser Angaben: August 2026, nach den Veröffentlichungen des BSI. Termine können sich verschieben; ich halte die Seite aktuell.
Bei der Bestandsaufnahme fallen zwei Themen regelmäßig auf: fehlende oder nie geprüfte Datensicherungen und Arbeitsplätze ohne verlässliches Update-Management. Für beides bestehen bei mir ausgearbeitete Angebote – die Nutzung ist freigestellt, erspart Ihnen aber die gesonderte Suche.
Teilen Sie mir mit, wie viele Arbeitsplätze und Server im Betrieb sind. Sie erhalten eine fachliche Ersteinschätzung – auch dann, wenn sich daraus kein Handlungsbedarf ergibt.