Overslaan naar inhoud 
IT-Grundschutz
Overheden, gemeenten en veel bedrijven richten hun informatiebeveiliging in volgens de IT-Grundschutz van de BSI. Voor het uit gebruik nemen van IT is hij bijzonder interessant, omdat hij het wissen en vernietigen van gegevensdragers uitdrukkelijk regelt. Hier leest u hoe de IT-Grundschutz is opgebouwd, voor wie hij geldt en wat er op dit moment verandert.
Kort uitgelegd
De IT-Grundschutz is een methodiek van het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) waarmee organisaties een managementsysteem voor informatiebeveiliging opzetten en standaardmaatregelen uitvoeren. Hij bestaat uit de BSI-standaarden en een catalogus van concrete eisen, tot nu toe het IT-Grundschutz-Kompendium. Voor het uit gebruik nemen van IT legt hij vast hoe gegevensdragers geregeld worden gewist en vernietigd.
Opbouw en kernbegrippen
| Onderdeel van de methodiek | Inhoud |
|---|---|
| BSI-standaard 200-1 | Algemene eisen aan een ISMS, compatibel met ISO/IEC 27001 |
| BSI-standaard 200-2 | Werkwijze volgens IT-Grundschutz met basis-, standaard- en kernbeveiliging |
| BSI-standaard 200-3 | Risicoanalyse op basis van IT-Grundschutz |
| BSI-standaard 200-4 | Business Continuity Management |
| IT-Grundschutz-Kompendium | Bouwstenen met eisen voor gebruikelijke onderwerpen, bijvoorbeeld servers, clients, ruimten of wissen en vernietigen |
Aan het begin staat de structuuranalyse: welke processen, toepassingen, systemen en ruimten zijn er? Daarna volgt de Beschermingsbehoeftebepaling, dus de vraag hoe zwaar een schade zou wegen. Op die grondslag worden de passende bouwstenen geselecteerd en uitgevoerd.
Voor wie is de IT-Grundschutz relevant?
Voor de federale overheid is de IT-Grundschutz het bepalende kader. Veel deelstaten, gemeenten en openbare instellingen richten zich er ook naar. Bedrijven gebruiken hem vrijwillig, omdat hij zeer concrete eisen formuleert. Wie een bewijs nodig heeft, kan zich door de BSI laten certificeren volgens "ISO 27001 op basis van IT-Grundschutz". Voor overheden die gerubriceerde informatie afstoten, gelden aanvullende voorschriften, zie onze gids VS-NfD-hardware uitscheiden.
Wissen en vernietigen in de IT-Grundschutz
Het Kompendium bevat met de bouwsteen Module CON.6 ‘Löschen und Vernichten’ (wissen en vernietigen) eigen eisen voor uit gebruik genomen gegevensdragers. Daartoe behoren een regeling welke methoden voor welke gegevensdragers en welke beschermingsbehoefte zijn toegestaan, de veilige bewaring tot het wissen, de keuze van geschikte dienstverleners en de documentatie. Technische details over wismethoden beschrijft de BSI in de richtlijn TL-03420.
Vuistregel: de IT-Grundschutz vraagt niet alleen of er is gewist, maar of er een regel voor is – en of de naleving ervan kan worden aangetoond.
Van IT-Grundschutz naar Grundschutz++
De BSI voert de IT-Grundschutz over naar een opvolgermodel met de naam "Grundschutz++". Eisen worden daar machineleesbaar aangeboden en sterker op processen en waarden dan op bouwstenen gericht. Het Kompendium in de editie 2023 blijft gedurende een overgangsperiode van toepassing (stand: 10/2026). Controleer voor lopende projecten welke versie uw auditor of opdrachtgever hanteert.
Afbakening ten opzichte van ISO/IEC 27001
ISO/IEC 27001 is een internationale norm die beschrijft wat een ISMS moet bereiken, maar slechts algemene maatregelen voorschrijft. De IT-Grundschutz is ermee verenigbaar en maakt het "hoe" concreet met gedetailleerde eisen. Veel organisaties gebruiken daarom ISO/IEC 27001 als kader en de IT-Grundschutz als maatregelencatalogus.
IT-Grundschutz en Second IT
Second IT is gecertificeerd volgens ISO/IEC 27001 en wist gegevensdragers met Blancco, met een digitaal ondertekend wiscertificaat per apparaat. Gegevensdragers die niet gewist kunnen worden, worden in eigen huis vernietigd conform DIN 66399 (tot beveiligingsniveau H-5 en E-5). Daar komen toegangscontrole, camerabewaking, NDA's, de verplichting tot gegevensgeheimhouding en VS-NfD-conforme processen bij – bouwstenen die u voor uw selectie van dienstverleners kunt documenteren. Meer over Gegevensgeheimhouding en bescherming van gerubriceerde informatie.
Veelgestelde vragen over de IT-Grundschutz
Is de IT-Grundschutz verplicht voor bedrijven?
Voor particuliere bedrijven is hij in principe vrijwillig. Hij kan echter verbindend worden door overeenkomsten, aanbestedingen of sectorvoorschriften. Voor de federale overheid is hij het bepalende kader.
Wat regelt de IT-Grundschutz over het wissen van gegevensdragers?
Bouwsteen CON.6 "Wissen en vernietigen" vereist onder meer een regeling van de methoden per soort gegevensdrager en beschermingsbehoefte, de veilige bewaring tot het wissen en een navolgbare documentatie. Concrete technische methoden beschrijft de BSI-richtlijn TL-03420.
Wat is het verschil tussen de IT-Grundschutz en ISO 27001?
ISO/IEC 27001 legt vast wat een ISMS moet bereiken. De IT-Grundschutz beschrijft bovendien zeer concreet hoe gebruikelijke systemen en processen moeten worden beveiligd. Beide zijn te combineren.
Wat is het verschil tussen de IT-Grundschutz en Grundschutz++?
Grundschutz++ is het opvolgermodel van de BSI. De eisen zijn daar machineleesbaar en sterker op processen en waarden dan op bouwstenen gericht. Het Kompendium in de editie 2023 blijft gedurende een overgangsperiode van toepassing (stand: 10/2026).
Kun je je laten certificeren volgens de IT-Grundschutz?
Ja. De BSI certificeert volgens "ISO 27001 op basis van IT-Grundschutz". Het certificaat dient als bewijs dat een organisatie een managementsysteem voor informatiebeveiliging volgens deze methodiek hanteert.
Wissen en vernietigen met bewijs – passend bij uw beveiligingsvoorschriften.
Stuur ons uw apparatenlijst. U ontvangt uw aanbod gemiddeld binnen 48 uur.