IT-Grundschutz/Testat

Grundschutz Testat zu Basisabsicherung - Beschreibung

Beschreibung

Basis-Absicherung als schlanker Einstieg in ein ISMS

• Im Fokus der Sicherheitsbetrachtungen stehen die Basis-Anforderungen aus dem IT-Grundschutz-Kompendium, die eine grundlegende Erst-Absicherung über alle Geschäftsprozesse hinweg bieten
• Die Umsetzung lässt sich mit einem vergleichsweise geringem finanziellen, personellen und zeitlichen Aufwand realisieren
• Dadurch eignet sich die Basis-Absicherung gerade für KMU oder kleinere Kommunen, die einen ganzheitlichen Ansatz zum Aufbau eines ISMS verfolgen wollen

Testat

Nachweis der Umsetzung Basis-Absicherung nach IT-Grundschutz

Mit einem Testat nach der Basis-Absicherung kann eine Institution nachweisen, dass sie alle Geschäftsprozesse bzw. Fachaufgaben, Daten und Komponenten des betrachteten Informationsverbundes unter technischen, infrastrukturellen, organisatorischen und personellen Aspekten mit einem Mindestmaß an Informationssicherheit abgesichert hat

Die Standard- bzw. Kern-Absicherung sind die Vorgehensweisen, die angestrebt werden sollten, um eine Institution angemessen und umfassend nach dem Stand der Technik zu schützen

• Dazu kann ein ISO-27001-Zertifikat auf der Basis von IT-Grundschutz beim BSI beantragt werden

Testat-Verfahren

IT-Grundschutz-Auditor

Damit Institutionen nachweisen können, dass sie in die Informationssicherheit eingestiegen sind, sollten sie zunächst einen zertifizierten IT-Grundschutz-Auditor beauftragen

Mindestmaß an Informationssicherheit nach der Basis-Absicherung

• Definition des Informationsverbundes
  • Technisch, infrastrukturell, organisatorisch und personell
• Geschäftsprozesse/Fachaufgaben
• Daten und Komponenten

Prüfung

Der IT-Grundschutz-Auditor prüft die Dokumente und auditiert in einer Vor‑Ort‑Prüfung die Erfüllung der Basis-Anforderungen

• nach dem Prüfschema für die Erteilung eines Testats nach der Basis-Absicherung gemäß IT-Grundschutz (Prüfschema)

Prüfbericht

Auf der Grundlage der im Prüfbericht zusammengefassten Ergebnisse gibt der IT-Grundschutz-Auditor ein Votum ab

• Kommt der IT-Grundschutz-Auditor zu dem Ergebnis, dass die Institution alle Basis-Anforderungen der Basis-Absicherung erfolgreich erfüllt hat, kann er ein Testat nach der Basis-Absicherung erteilen

Hinweis

Die Ausstellung der Auditoren-Testate erfolgt nicht durch die Zertifizierungsstelle und liegt allein in der Verantwortung des zertifizierten Auditors

Testat-Logo

Hierzu stellt das BSI ein Testat-Logo mit eindeutiger Identifizierungsnummer zur Verfügung

• Die eindeutigen Identifizierungsnummern werden vom BSI vergeben und ermöglichen es, die Echtheit bei Bedarf auf Nachfrage beim BSI zu überprüfen
• Das Testat-Logo darf vom IT-Grundschutz-Auditor gemäß der abgeschlossenen Nutzungsvereinbarung für die Ausstellung der Testat-Urkunde verwendet werden, außerdem kann die Institution das Testat-Logo als Bilddatei vom IT-Grundschutz-Auditor erhalten, um es beispielsweise auf ihrer Webseite zu präsentieren
• Zum Abschließen der Nutzungsvereinbarung wendet sich der IT-Grundschutz-Auditor an grundschutz@bsi.bund.de

Das Testat-Logo enthält eine eindeutige Identifizierungsnummer sowie dem Namen der geprüften Institution

• Die Identifizierungsnummer setzt sich dabei aus dem Kürzel „IGT“ für „IT-Grundschutz Testierung“, eine fortlaufenden Nr. und der Angabe des Jahres, bis zu dem das Testat gültig ist

Gültigkeit

Ein Testat ist zwei Jahre gültig und kann nicht verlängert werden

• Es kann aber jederzeit ein neues Testat beantragt werden
• Das BSI überprüft die Prüfberichte von Testaten grundsätzlich nicht, kann diese aber bei Rückfragen anfordern und einsehen

Anhang

Siehe auch

• IT-Grundschutz/Testat

Links

Weblinks

1. Testat nach der Basisabsicherung
2. Testat/Pruefschema