IT-Grundschutz-Kompendium
# IT-Grundschutz-Kompendium

Das IT-Grundschutz-Kompendium ist die zweite grundlegende Veröffentlichung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) im Rahmen des IT-Grundschutzes. Zusammen mit den BSI-Standards bildet es aus Sicht des BSI die Basis für alle, die sich umfassend mit dem Thema Informationssicherheit befassen möchten. Im Fokus des IT-Grundschutz-Kompendiums stehen die IT-Grundschutz-Bausteine. Das IT-Grundschutz-Kompendium hat im Jahr 2018 die IT-Grundschutz-Kataloge abgelöst.

## Aufbau des IT-Grundschutz-Kompendiums

Das IT-Grundschutz-Kompendium enthält für unterschiedliche Vorgehensweisen, Komponenten und IT-Systeme Erläuterungen zur Gefährdungslage, Sicherheitsanforderungen sowie weiterführende Informationen. Sie sind jeweils in einem Baustein zusammengefasst sind. Die grundlegende Struktur des IT-Grundschutz-Kompendiums unterteilt die Bausteine in prozess- und systemorientierte Bausteine, zudem sind sie nach Themen in ein Schichtenmodell einsortiert.
Prozess-Bausteine gelten in der Regel für sämtliche oder große Teile eines Informationsverbundes gleichermaßen. System-Bausteine werden in der Regel auf einzelne Zielobjekte oder Gruppen von Zielobjekten angewendet.

## IT-Grundschutz-Bausteine (Edition 2023)
### Prozess-Bausteine
#### ISMS: Sicherheitsmanagement

* ISMS.1 Sicherheitsmanagement

#### ORP: Organisation und Personal

* ORP.1 Organisation
* ORP.2 Personal
* ORP.3 Sensibilisierung und Schulung zur Informationssicherheit
* ORP.4 Identitäts- und Berechtigungsmanagement
* ORP.5 Compliance Management (Anforderungsmanagement)

#### CON: Konzeption und Vorgehensweise

* CON.1 Kryptokonzept
* CON.2 Datenschutz
* CON.3 Datensicherungskonzept
* CON.6 Löschen und Vernichten
* CON.7 Informationssicherheit auf Auslandsreisen
* CON.8 Software-Entwicklung
* CON.9 Informationsaustausch
* CON.10 Entwicklung von Webanwendungen
* CON.11.1 Geheimschutz VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD)

#### OPS: Betrieb

* OPS.1.1.1 Allgemeiner IT-Betrieb
* OPS.1.1.2 Ordnungsgemäße IT-Administration
* OPS.1.1.3 Patch- und Änderungsmanagement
* OPS.1.1.4 Schutz vor Schadprogrammen
* OPS.1.1.5 Protokollierung
* OPS.1.1.6 Software-Tests und -Freigaben
* OPS.1.1.7 Systemmanagement
* OPS.1.2.2 Archivierung
* OPS.1.2.4 Telearbeit
* OPS.1.2.5 Fernwartung
* OPS.1.2.6 NTP -Zeitsynchronisation
* OPS.2.2 Cloud-Nutzung
* OPS.2.3 Nutzung von Outsourcing
* OPS.3.2 Anbieten von Outsourcing

#### DER: Detektion und Reaktion

* DER.1 Detektion von sicherheitsrelevanten Ereignissen
* DER.2.1 Behandlung von Sicherheitsvorfällen
* DER.2.2 Vorsorge für die IT-Forensik
* DER.2.3 Bereinigung weitreichender Sicherheitsvorfälle
* DER.3.1 Audits und Revisionen
* DER.3.2 Revision auf Basis des Leitfadens IS-Revision
* DER.4 Notfallmanagement

### System-Bausteine
#### APP: Anwendungen

* APP.1.1 Office-Produkte
* APP.1.2 Webbrowser
* APP.1.4 Mobile Anwendung (APPs)
* APP.2.1 Allgemeiner Verzeichnisdienst
* APP.2.2 Active Directory Domain Services
* APP.2.3 OpenLDAP
* APP.3.1 Webanwendungen und Webservices
* APP.3.2 Webserver
* APP.3.3 Fileserver
* APP.3.4 Samba
* APP.3.6 DNS-Server
* APP.4.2 SAP-ERP-System
* APP.4.3 Relationale Datenbanksysteme
* APP.4.4 Kubernetes
* APP.4.6 SAP ABAP-Programmierung
* APP.5.2 Microsoft Exchange und Outlook
* APP.5.3 Allgemeiner E-Mail-Client und -Server
* APP.5.4 Unified Communications und Collaboration
* APP.6 Allgemeine Software
* APP.7 Entwicklung von Individualsoftware

#### SYS: IT-Systeme

* SYS.1.1 Allgemeiner Server
* SYS.1.2.2 Windows Server 2012
* SYS.1.2.3 Windows Server
* SYS.1.3 Server unter Linux und Unix
* SYS.1.5 Virtualisierung
* SYS.1.6 Containerisierung
* SYS.1.7 IBM Z
* SYS.1.8 Speicherlösungen
* SYS.1.9 Terminalserver
* SYS.2.1 Allgemeiner Client
* SYS.2.2.3 Clients unter Windows
* SYS.2.3 Clients unter Linux und Unix
* SYS.2.4 Clients unter macOS
* SYS.2.5 Client-Virtualisierung
* SYS.2.6 Virtual Desktop Infrastructure
* SYS.3.1 Laptops
* SYS.3.2.1 Allgemeine Smartphones und Tablets
* SYS.3.2.2 Mobile Device Management (MDM)
* SYS.3.2.3 iOS (for Enterprise)
* SYS.3.2.4 Android
* SYS.3.3 Mobiltelefon
* SYS.4.1 Drucker, Kopierer und Multifunktionsgeräte
* SYS.4.3 Eingebettete Systeme
* SYS.4.4 Allgemeines IoT-Gerät
* SYS.4.5 Wechseldatenträger

#### IND: Industrielle IT

* IND.1 Prozessleit- und Automatisierungstechnik
* IND.2.1 Allgemeine ICS-Komponente
* IND.2.2 Speicherprogrammierbare Steuerung (SPS)
* IND.2.3 Sensoren und Aktoren
* IND.2.4 Maschine
* IND.2.7 Safety Instrumented Systems
* IND.3.2 Fernwartung im industriellen Umfeld

#### NET: Netze und Kommunikation

* NET.1.1 Netzarchitektur und -design
* NET.1.2 Netzmanagement
* NET.2.1 WLAN-Betrieb
* NET.2.2 WLAN-Nutzung
* NET.3.1 Router und Switches
* NET.3.2 Firewall
* NET.3.3 VPN
* NET.3.4 Network Access Control
* NET.4.1 TK-Anlagen
* NET.4.2 VoIP
* NET.4.3 Faxgeräte und Faxserver

#### INF: Infrastruktur

* INF.1 Allgemeines Gebäude
* INF.2 Rechenzentrum sowie Serverraum
* INF.5 Raum sowie Schrank für technische Infrastruktur
* INF.6 Datenträgerarchiv
* INF.7 Büroarbeitsplatz
* INF.8 Häuslicher Arbeitsplatz
* INF.9 Mobiler Arbeitsplatz
* INF.10 Besprechungs-, Veranstaltungs- und Schulungsraum
* INF.11 Allgemeines Fahrzeug
* INF.12 Verkabelung
* INF.13 Technisches Gebäudemanagement
* INF.14 Gebäudeautomation

## Änderungshistorie der Bausteine
### Edition 2018

Dies war die erste Edition des IT-Grundschutz-Kompendiums.

### Edition 2019

Die folgenden 14 neuen IT-Grundschutz-Bausteine sind hinzugekommen:
* APP.1.4 Mobile Anwendungen (* APPs)
* APP.2.3 OpenLDAP
* APP.4.2 SAP-ERP-System
* APP.4.6 SAP ABAP-Programmierung
* IND.2.7 Safety Instrumented Systems
* INF.6 Datenträgerarchiv
* NET.4.1 TK-Anlagen
* NET.4.2 VoIP
* NET.4.3 Faxgeräte und Faxserver
* OPS.2.2 Cloud-Nutzung
* SYS.1.7 IBM Z-System
* SYS.2.4 Clients unter macOS
* SYS.3.3 Mobiltelefon
* SYS.4.3 Eingebettete Systeme

### Edition 2020

Die folgenden IT-Grundschutz-Bausteine sind in der Edition 2020 neu hinzugekommen:
* CON.8 Software-Entwicklung
* INF.5 Raum sowie Schrank für technische Infrastruktur

### Edition 2021

Die folgenden IT-Grundschutz-Bausteine sind in der Edition 2021 hinzugekommen, umbenannt oder in eine andere Schicht verschoben worden:
Neue Bausteine:
* CON.10 Entwicklung von Webanwendungen
* INF.11 Allgemeines Fahrzeug
Umbenannte oder verschobene Bausteine:
| Edition 2020 | Edition 2021 |
| APP.5.1 Allgemeine Groupware | APP.5.3 Allgemeiner E-Mail-Client und -Server |
| CON.4 Auswahl und Einsatz von Standard-Software | APP.6 Allgemeine Software |
| CON.5 Entwicklung und Einsatz von Individualsoftware | APP.7 Entwicklung von Individualsoftware |
| IND.1 Betriebs- und Steuerungstechnik | IND.1 Prozessleit- und Automatisierungstechnik |
| INF.3 Elektrotechnische Verkabelung | INF.12 Verkabelung |
| INF.4 IT-Verkabelung | INF.12 Verkabelung |
| ORP.3 Sensibilisierung und Schulung | ORP.3 Sensibilisierung und Schulung zur Informationssicherheit |

### Edition 2022

Die folgenden 7 IT-Grundschutz-Bausteine sind in der Edition 2022 neu hinzugekommen:
* OPS.1.1.7 Systemmanagement
* OPS.1.2.6 NTP-Zeitsynchronisation
* APP.4.4 Kubernetes
* SYS.1.6 Containerisierung
* IND.3.2 Fernwartung im industriellen Umfeld
* INF.13 Technisches Gebäudemanagement
* INF.14 Gebäudeautomation

### Edition 2023

Die folgenden IT-Grundschutz-Bausteine sind in der Edition 2023 hinzugekommen oder entfallen:
Neue Bausteine:
* CON.11.1 Geheimschutz VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD)
* OPS.1.1.1 Allgemeiner IT-Betrieb
* OPS.2.3 Nutzung von Outsourcing (dieser Baustein ersetzt OPS.2.1 Outsourcing für Kunden)
* OPS.3.2 Anbieten von Outsourcing (dieser Baustein ersetzt OPS.3.1 Outsourcing für Dienstleister)
* APP.5.4 Unified Communications und Collaboration (UCC)
* SYS.1.2.3 Windows Server
* SYS.1.9 Terminalserver
* SYS.2.5 Client-Virtualisierung
* SYS.2.6 Virtual Desktop Infrastructure
* NET.3.4 Network Access Control
Entfallene Bausteine:
* SYS.2.2.2 Clients unter Windows 8.1: Der Support für das Betriebssystem endete am 10. Januar 2023. Windows 8.1 sollte daher nicht mehr eingesetzt werden.
* OPS.2.1 Outsourcing für Kunden: Der Baustein wird durch OPS.2.3 Nutzung von Outsourcing ersetzt
* OPS.3.1 Outsourcing für Dienstleister: Der Baustein wird durch OPS.3.2 Anbieten von Outsourcing ersetzt

## Sicherheits-Zertifizierung

Eine ISO 27001 Zertifizierung auf der Basis von IT-Grundschutz für Organisationen und Unternehmen besteht durch erfolgreiche Umsetzung des IT-Grundschutzes.