BSI IT-Grundschutz Audit

Leistungsumfang Audit nach BSI IT-Grundschutz

1. Auditplanung

• Erstellung eines strukturierten Auditplans nach BSI-Standards (inkl. Zeitplan, Prüfumfang, Ressourcen)
• Festlegung des Auditumfangs (Informationsverbund, Zielobjekte, Schutzbedarf)
• Abstimmung mit den beteiligten Abteilungen (z. B. IT, Organisation, Datenschutz, Facility)
• Auswahl der zu betrachtenden Bausteine aus dem IT-Grundschutz-Kompendium (Basis-, Standard- oder Kern-Absicherung)

2. Auditdurchführung

Überprüfung der Umsetzung der Anforderungen aus dem IT-Grundschutz-Kompendium, insbesondere:

• Strukturanalyse & Schutzbedarfsfeststellung
• Prüfung auf korrekte und vollständige Modellierung des Informationsverbundes
• Maßnahmenumsetzung
• Bewertung der Umsetzung organisatorischer, personeller, technischer und infrastruktureller Maßnahmen
• Schwerpunkt auf Grundschutz-Bausteinen wie:
• ORP.4 (Informationssicherheitsmanagement)
• INF.1–INF.11 (Infrastruktur)
• SYS.1–SYS.3 (IT-Systeme)
• APP.1–APP.5 (Anwendungen)
• DER.1 (Datenträger)
• CON.1–CON.9 (Kryptografie, Zugriffsschutz etc.)
• Risikobetrachtung & Ergänzungsmaßnahmen
  
• Identifikation nicht abgedeckter Risiken und Empfehlung zusätzlicher Maßnahmen

Durchgeführt durch:

• Interviews mit Rollen gemäß BSI-Vorgaben (z. B. Informationssicherheitsbeauftragte, IT-Betrieb, Personal, Gebäudeverwaltung)
• Prüfung von Richtlinien, Dokumentationen, Umsetzungsnachweisen und technischen Kontrollen

3. Auditbericht

• Detaillierte Bewertung der Umsetzung aller geprüften Grundschutz-Maßnahmen
• Identifikation von Gaps gegenüber dem Sollzustand
• Empfehlungen zur Schließung der Abweichungen und Priorisierung nach Schutzbedarf
• Darstellung der Reifegrade gemäß BSI-Vorgaben (optional: Reifegradmodell nach IS-Revision)

4. Abschlussgespräch

• Vorstellung der Auditfeststellungen gegenüber Management und ISMS-Verantwortlichen
• Diskussion der empfohlenen Maßnahmen und Umsetzungsstrategie
• Klärung der nächsten Schritte z. B. zur Zertifizierungsvorbereitung (ISO 27001 auf Basis von IT-Grundschutz)

Bitte beachten Sie: Der Service ist 6 Monate nach Kick-off-Meeting gültig und verfällt automatisch danach.