IT-Grundschutz

Les administrations, les communes et de nombreuses entreprises alignent leur sécurité de l’information sur l’IT-Grundschutz du BSI. Pour la mise hors service du matériel informatique, il est particulièrement intéressant, car il régit expressément l’effacement et la destruction des supports de données. Vous découvrirez ici comment l’IT-Grundschutz est structuré, à qui il s’applique et ce qui est en train de changer.

Structure et notions clés

Élément de la méthodologie	Sommaire
Standard BSI 200-1	Exigences générales applicables à un SMSI, compatible avec l’ISO/IEC 27001
Standard BSI 200-2	Démarche selon l’IT-Grundschutz avec protection de base, standard et ciblée
Standard BSI 200-3	Analyse des risques sur la base de l’IT-Grundschutz
Standard BSI 200-4	Business Continuity Management
Compendium IT-Grundschutz	Modules comportant des exigences pour des thèmes typiques, par exemple serveurs, clients, locaux ou effacement et destruction

Tout commence par l’analyse de la structure : quels processus, applications, systèmes et locaux existent ? S’ensuit la Détermination du besoin de protection, c’est-à-dire la question de la gravité d’un dommage. Sur cette base, les modules appropriés sont sélectionnés et mis en œuvre.

Pour qui l’IT-Grundschutz est-il pertinent ?

Pour l’administration fédérale, l’IT-Grundschutz est le cadre de référence. De nombreux Länder, communes et établissements publics s’en inspirent également. Les entreprises l’utilisent volontairement, car il formule des exigences très concrètes. Qui a besoin d’une preuve peut se faire certifier par le BSI selon « ISO 27001 sur la base de l’IT-Grundschutz ». Pour les administrations qui déclassent des informations classifiées, d’autres prescriptions s’ajoutent, voir notre guide Mettre au rebut du matériel VS-NfD.

Effacement et destruction dans l’IT-Grundschutz

Le Compendium contient, avec le module Module CON.6 « Löschen und Vernichten » (effacement et destruction) des exigences propres aux supports de données mis hors service. Elles comprennent une règle précisant quels procédés sont admis pour quels supports de données et quel besoin de protection, la conservation sécurisée jusqu’à l’effacement, le choix de prestataires appropriés et la documentation. Le BSI décrit les détails techniques des procédés d’effacement dans la directive TL-03420.

De l’IT-Grundschutz à Grundschutz++

Le BSI fait évoluer l’IT-Grundschutz vers un modèle successeur nommé « Grundschutz++ ». Les exigences y sont fournies sous forme lisible par machine et davantage axées sur les processus et les actifs que sur les modules. Le Compendium dans l’édition 2023 reste applicable pendant une période de transition (état 10/2026). Pour les projets en cours, vérifiez quelle version votre auditeur ou donneur d’ordre retient.

Distinction avec l’ISO/IEC 27001

ISO/IEC 27001 est une norme internationale qui décrit ce qu’un SMSI doit accomplir, mais n’impose que des mesures générales. L’IT-Grundschutz est compatible avec elle et concrétise le « comment » par des exigences détaillées. De nombreuses organisations utilisent donc l’ISO/IEC 27001 comme cadre et l’IT-Grundschutz comme catalogue de mesures.

IT-Grundschutz et Second IT

Second IT est certifiée ISO/IEC 27001 et efface les supports de données avec Blancco, avec un certificat d’effacement signé numériquement par appareil. Les supports de données impossibles à effacer sont détruits dans nos locaux selon la DIN 66399 (jusqu’au niveau de sécurité H-5 et E-5). S’y ajoutent le contrôle d’accès, la vidéosurveillance, des NDA, l’engagement au secret des données et des processus conformes VS-NfD – des éléments que vous pouvez documenter pour votre sélection de prestataires. En savoir plus sur le Secret des données et protection des informations classifiées.

Questions fréquentes sur l’IT-Grundschutz

L’IT-Grundschutz est-il obligatoire pour les entreprises ?

Pour les entreprises privées, il est en principe facultatif. Il peut toutefois devenir contraignant par contrat, appel d’offres ou exigences sectorielles. Pour l’administration fédérale, c’est le cadre de référence.

Que régit l’IT-Grundschutz en matière d’effacement des supports de données ?

Le module CON.6 « Effacement et destruction » exige notamment une réglementation des procédés selon le type de support de données et le besoin de protection, la conservation sécurisée jusqu’à l’effacement et une documentation traçable. Les procédés techniques concrets sont décrits par la directive BSI TL-03420.

Quelle est la différence entre l’IT-Grundschutz et l’ISO 27001 ?

L’ISO/IEC 27001 définit ce qu’un SMSI doit accomplir. L’IT-Grundschutz décrit en outre de manière très concrète comment sécuriser les systèmes et processus typiques. Les deux peuvent être combinés.

Quelle est la différence entre l’IT-Grundschutz et Grundschutz++ ?

Grundschutz++ est le modèle successeur du BSI. Les exigences y sont lisibles par machine et davantage axées sur les processus et les actifs que sur les modules. Le Compendium dans l’édition 2023 reste applicable pendant une période de transition (état 10/2026).

Peut-on se faire certifier selon l’IT-Grundschutz ?

Oui. Le BSI certifie selon « ISO 27001 sur la base de l’IT-Grundschutz ». Le certificat sert de preuve qu’une organisation exploite un système de management de la sécurité de l’information selon cette méthodologie.