BSI-Standards 200-1 bis 200-4: Überblick, Stand und Checkliste

Was sind die BSI-Standards 200-1 bis 200-4?

Die BSI-Standards 200-1 bis 200-4 sind Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) für den Aufbau von Informationssicherheit in Unternehmen und Behörden. 200-1 beschreibt die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS), 200-2 die IT-Grundschutz-Methodik, 200-3 die Risikoanalyse und 200-4 das Business Continuity Management. Zusammen mit dem IT-Grundschutz-Kompendium bilden sie den IT-Grundschutz, der mit ISO 27001 kompatibel ist.

Das BSI ist die zentrale Cybersicherheitsbehörde in Deutschland. Die Standards 200-1 bis 200-3 erschienen 2017 und lösten die alten BSI-Standards 100-1 bis 100-3 ab. Der BSI-Standard 200-4 folgte 2023 und ersetzt den Standard 100-4 zum Notfallmanagement. Alle Standards stehen kostenlos auf der Übersichtsseite des BSI zu den Standards zur Verfügung.

Worin unterscheiden sich die BSI-Standards 200-1 bis 200-4?

Jeder Standard deckt einen eigenen Baustein ab: das Managementsystem (200-1), die Methodik (200-2), das Risikomanagement (200-3) und das Business Continuity Management (200-4). Mit dem Standard 300-1 hat das BSI zusätzlich die Methodik zu Grundschutz++ veröffentlicht.

Was regelt der BSI-Standard 200-1?

Der BSI-Standard 200-1 legt fest, was ein Informationssicherheits-Managementsystem (ISMS) leisten muss. Er beschreibt, wie die Leitung Verantwortung übernimmt, eine Sicherheitsleitlinie festlegt, Rollen wie die oder den Informationssicherheitsbeauftragten benennt und den Sicherheitsprozess dauerhaft steuert und verbessert. Konkrete technische Maßnahmen enthält 200-1 nicht – die finden sich im IT-Grundschutz-Kompendium.

Der Standard ist laut BSI weiterhin kompatibel zu ISO/IEC 27001 und berücksichtigt auch die Empfehlungen weiterer ISO-Standards wie ISO 27002.

Was regelt der BSI-Standard 200-2?

Der BSI-Standard 200-2 beschreibt Schritt für Schritt, wie du ein ISMS nach IT-Grundschutz in der Praxis aufbaust: von der Strukturanalyse über die Schutzbedarfsfeststellung und die Modellierung mit den Bausteinen des Kompendiums bis zum IT-Grundschutz-Check. Damit auch kleinere Organisationen einsteigen können, bietet der Standard drei Vorgehensweisen:

• Basis-Absicherung: schneller Einstieg mit grundlegenden Maßnahmen für die gesamte Organisation.
• Kern-Absicherung: Schutz der besonders kritischen Geschäftsprozesse und Werte („Kronjuwelen“).
• Standard-Absicherung: vollständige Absicherung aller Bereiche nach IT-Grundschutz – Voraussetzung für eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz.

Was regelt der BSI-Standard 200-3?

Der BSI-Standard 200-3 bündelt die risikobezogenen Arbeitsschritte bei der Umsetzung des IT-Grundschutzes. Die Anforderungen des IT-Grundschutz-Kompendiums decken einen normalen Schutzbedarf ab. Für Bereiche mit hohem oder sehr hohem Schutzbedarf, für ungewöhnliche Einsatzszenarien oder für Systeme, für die es keinen passenden Baustein gibt, beschreibt der BSI-Standard 200-3 eine ergänzende Risikoanalyse. Dabei identifizierst du Gefährdungen, bewertest Eintrittswahrscheinlichkeit und Schadensausmaß und legst fest, wie du mit jedem Risiko umgehst: vermeiden, reduzieren, übertragen oder bewusst akzeptieren. Wer bereits mit Risikomanagement nach ISO 31000 arbeitet, findet hier viele vertraute Elemente. Wie eine Risikobewertung grundsätzlich abläuft, erklärt unser Artikel Wie du eine Sicherheitsrisikobewertung durchführst.

Was regelt der BSI-Standard 200-4?

Der BSI-Standard 200-4 beschreibt den Aufbau eines Business-Continuity-Management-Systems (BCMS). Ziel ist, dass zeitkritische Geschäftsprozesse auch bei Notfällen und Krisen – etwa nach einem Ransomware-Angriff, einem Brand oder dem Ausfall eines Dienstleisters – weiterlaufen oder schnell wiederhergestellt werden. Dazu gehören eine Business-Impact-Analyse, Notfallpläne, Wiederanlaufstrategien und regelmäßige Übungen.

Der Standard ersetzt den früheren BSI-Standard 100-4 „Notfallmanagement“. Sein Anforderungskatalog enthält laut BSI ein Mapping auf die ISO 22301:2019.

Was ist das IT-Grundschutz-Kompendium?

Das IT-Grundschutz-Kompendium ergänzt die BSI-Standards um konkrete Anforderungen. Es ist in Bausteine gegliedert, etwa zu Organisation, Personal, Netzen, Servern, Clients oder Cloud-Nutzung. Jeder Baustein beschreibt typische Gefährdungen und die Anforderungen, mit denen du ihnen begegnest – zum Beispiel Zugriffskontrollen, Datensicherung, Verschlüsselung oder Netzwerksegmentierung. Die aktuelle Fassung ist laut BSI die Edition 2023, die seit dem 1. Februar 2023 verfügbar ist.

Was ist Grundschutz++ (BSI-Standard 300-1)?

Grundschutz++ ist laut BSI eine Neuentwicklung des Grundschutzes für den Aufbau eines Informationssicherheitsmanagementsystems (ISMS). Das BSI hat die Methodik am 26.10.2026 als BSI-Standard 300-1 veröffentlicht. Sie ist prozessorientiert, am PDCA-Zyklus ausgerichtet, und die Anforderungen liegen maschinenlesbar vor.

Ein nach Grundschutz++ implementiertes ISMS ist laut BSI ab 2027 zertifizierbar und zur ISO/IEC 27001 kompatibel. Nach dem Meilensteinplan auf der Grundschutz++-Seite des BSI (Stand Oktober 2026) können ab dem 01.01.2027 Zertifizierungsanträge nach ISO 27001 auf Basis von Grundschutz++ gestellt werden. Die Zertifizierbarkeit des bisherigen IT-Grundschutzes endet laut Meilensteinplan am 30.11.2031.

Gelten die Standards 200-1 bis 200-4 und das Kompendium weiter?

Der bisherige IT-Grundschutz bleibt laut BSI in der mehrjährigen Übergangszeit anwendbar. Das digitale Regelwerk von Grundschutz++ löst laut BSI das IT-Grundschutz-Kompendium ab; eine Aktualisierung des Kompendiums ist trotzdem geplant. Eine Ablösung der Standards 200-1 bis 200-4 durch den Standard 300-1 nennt das BSI auf seinen Seiten zu Grundschutz++ nicht. Prüfe vor einer Umstellung deshalb die aktuellen Hinweise des BSI.

BSI-Standards, ISO 27001 und NIS2: Wie hängt das zusammen?

• ISO 27001: Die BSI-Standards sind mit der internationalen Norm kompatibel. Das BSI bietet sogar eine eigene Zertifizierung „ISO 27001 auf der Basis von IT-Grundschutz“ an. Viele Unternehmen setzen aber auf eine klassische ISO-27001-Zertifizierung, weil sie international bekannter und flexibler ist. Was eine Zertifizierung kostet, liest du in unserem Artikel zu den ISO-27001-Kosten.
• NIS2: Mit der Umsetzung der NIS2-Richtlinie in Deutschland fallen deutlich mehr Unternehmen unter die Aufsicht des BSI. Sie müssen Risikomanagementmaßnahmen umsetzen, Sicherheitsvorfälle melden und Notfallvorsorge treffen. Die BSI-Standards – insbesondere 200-2, 200-3 und 200-4 – können dafür als Vorlage dienen. Mehr dazu in unserem Artikel zu NIS2 und ISO 27001. Die Pflichten im Überblick findest du auf unserer Seite zu NIS2-Compliance, den Unterschied zu DORA im Vergleich von NIS2 und DORA.

Wenn du mehrere Rahmenwerke zugleich bedienen musst, helfen dir diese Artikel weiter: Multi-Framework-Compliance ohne doppelte Arbeit, Compliance im Mittelstand, ISO 27001 und DSGVO im Vergleich und Statement of Applicability (SoA).

Wie setzt du die BSI-Standards im Unternehmen um?

Du setzt sie schrittweise um: von der Leitungsebene über Strukturanalyse und Risikoanalyse bis zur Notfallvorsorge. Diese Checkliste mit zehn Schritten gibt dir die Reihenfolge vor.

1. Leitung einbinden: Verantwortung und Budget für Informationssicherheit festlegen und eine Sicherheitsleitlinie verabschieden (200-1).
2. Rollen benennen: Eine oder einen Informationssicherheitsbeauftragten bestimmen und Zuständigkeiten klären.
3. Geltungsbereich festlegen: Entscheiden, welche Standorte, Prozesse und Systeme das ISMS umfasst.
4. Vorgehensweise wählen: Mit Basis- oder Kern-Absicherung starten, Standard-Absicherung als Ziel setzen (200-2).
5. Strukturanalyse und Schutzbedarf: Geschäftsprozesse, Anwendungen, IT-Systeme und Räume erfassen und ihren Schutzbedarf bestimmen.
6. Modellieren und prüfen: Passende Bausteine aus dem IT-Grundschutz-Kompendium zuordnen und im IT-Grundschutz-Check den Umsetzungsstand prüfen.
7. Risiken analysieren: Für Bereiche mit hohem Schutzbedarf eine Risikoanalyse nach 200-3 durchführen und Maßnahmen festlegen.
8. Notfallvorsorge aufbauen: Business-Impact-Analyse, Notfallpläne und Übungen nach 200-4 umsetzen.
9. Mitarbeitende schulen: Regelmäßige Sensibilisierung für Phishing, Passwortsicherheit und Meldewege.
10. Kontinuierlich verbessern: Interne Audits, Managementbewertung und Anpassung an neue Gefährdungen fest einplanen.

Fazit: Die BSI-Standards als Fahrplan für Informationssicherheit

Die BSI-Standards 200-1 bis 200-4 bieten Unternehmen einen kostenlosen, bewährten Fahrplan für Informationssicherheit: vom Managementsystem über die praktische Absicherung und die Risikoanalyse bis zur Notfallvorsorge. Sie sind mit ISO 27001 kompatibel und können als Vorlage für Maßnahmen dienen, die auch NIS2 verlangt. Mit dem BSI-Standard 300-1 hat das BSI zudem die Methodik zu Grundschutz++ veröffentlicht; der bisherige IT-Grundschutz bleibt in der Übergangszeit anwendbar. Wer schrittweise mit der Basis- oder Kern-Absicherung beginnt, kommt auch mit begrenzten Ressourcen schnell zu einem soliden Sicherheitsniveau. Ob sich für dein Unternehmen zusätzlich eine Zertifizierung lohnt, liest du in unserem Artikel ISO 27001: Für welche Unternehmen lohnt sich die Zertifizierung?

Mit heyData baust du dein ISMS strukturiert auf: mit vorgefertigten Richtlinien, geführter Risikoanalyse und Expert:innen, die dich bis zur ISO-27001-Zertifizierung begleiten.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo