BSI Version 2023-08 (Stand 02/2023)

IT-Grundschutz-Kompendium (Edition 2023)

Neues im IT-Grundschutz-Kompendium

Nach der Veröffentlichung der letzten Edition des IT-Grundschutz-Kompendiums im Februar 2022 hat das IT-Grundschutz-Team zahlreiche wertvolle Rückmeldungen von IT-Grundschutz-Anwendern und -Anwenderinnen erhalten. Hinweise zu einzelnen Aspekten und Erfahrungswerte aus der beruflichen Praxis von Informationssicherheitsbeauftragten sowie weiteren erfahrenen Anwendenden tragen dazu bei, die Inhalte noch aktueller und praxistauglicher aufzubereiten. Die einzelnen Bausteintexte wurden daraufhin gesichtet und überarbeitet, sodass in der Edition 2023 insgesamt 21 IT-Grundschutz-Bausteine aktualisiert wurden.

Die IT-Grundschutz-Bausteine sind in einem unterschiedlichen Umfang überarbeitet worden. Die Änderungen sind wie folgt klassifiziert:

• Umfangreiche Änderungen, die Auswirkungen auf Zertifizierungsverfahren oder bestehende Sicherheitskonzepte haben können, sind vorliegend in separaten Änderungsdokumenten aufgeführt. Dies betrifft 21 Bausteine aus der Edition 2022.
• Geringfügige sprachliche und redaktionelle Änderungen sowie Überarbeitungen aus Gründen der besseren Verständlichkeit werden nicht in einem separaten Änderungsdokument aufgeführt. Bei IT-Grundschutz-Bausteinen, die entsprechend geringfügig bearbeitet wurden, ist lediglich das Datum in der Fußzeile auf die aktuelle Edition gesetzt worden. Dies betrifft alle Bausteine aus der Edition 2022, die nicht umfangreich geändert wurden.

IT-Grundschutz-Bausteine aus der Edition 2022, die überarbeitet wurden und zu denen ein Änderungsdokument verfügbar ist:

• ORP.1 Organisation
• CON.1 Kryptokonzept
• CON.2 Datenschutz
• OPS.1.1.2 Ordnungsgemäße IT-Administration
• OPS.1.1.3 Patch- und Änderungsmanagement
• OPS.1.2.5 Fernwartung
• APP.1.2 Webbrowser
• APP.2.1 Allgemeiner Verzeichnisdienst
• APP.2.2 Active Directory Der Baustein wurde in "Active Directory Domain Services" umbenannt.
• APP.2.3 OpenLDAP
• APP.5.3 Allgemeiner E-Mail-Client und -Server
• SYS.1.1 Allgemeiner Server
• SYS.2.1 Allgemeiner Client
• SYS.2.3 Clients unter Linux und Unix
• SYS.2.2.3 Clients unter Windows 10 Der Baustein wurde in "Clients unter Windows" umbenannt und behandelt nun mit Windows 10 und 11 die einzigen beiden Versionen von Windows für Client-Systeme, die durch Microsoft Support erhalten.
• SYS.4.3 Eingebettete Systeme
• SYS.4.5 Wechseldatenträger
• IND.3.2 Fernwartung im industriellen Umfeld
• INF.1 Allgemeines Gebäude
• INF.2 Rechenzentrum sowie Serverraum
• INF.10 Besprechungs-, Veranstaltungs- und Schulungsraum

Neue Bausteine

Die folgenden 7 neuen IT-Grundschutz-Bausteine sind in 5 unterschiedlichen Schichten hinzugekommen:

• CON.11.1 Geheimschutz VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD)

• OPS.1.1.1 Allgemeiner IT-Betrieb

• OPS.2.3 Nutzung von Outsourcing Dieser Baustein ersetzt OPS.2.1 Outsourcing für Kunden.

• OPS.3.2 Anbieten von Outsourcing Dieser Baustein ersetzt OPS.3.1 Outsourcing für Dienstleister.

• APP.5.4 Unified Communications und Collaboration (UCC)

• SYS.1.2.3 Windows Server

• SYS.1.9 Terminalserver

• SYS.2.5 Client-Virtualisierung

• SYS.2.6 Virtual Desktop Infrastructure

• NET.3.4 Network Access Control

Entfallene Bausteine

Die folgenden Bausteine sind in der Edition 2023 entfallen:

• SYS.2.2.2 Clients unter Windows 8.1 Der Support für das Betriebssystem endete am 10.01.2023. Windows 8.1 sollte daher nicht mehr eingesetzt werden.
• OPS.2.1 Outsourcing für Kunden Der Baustein wird durch OPS.2.3 Nutzung von Outsourcing ersetzt.
• OPS.3.1 Outsourcing für Dienstleister Der Baustein wird durch OPS.3.2 Anbieten von Outsourcing ersetzt.

Vorschlagsbearbeitung in ForumNSR

Wie im nachfolgenden Screenshot dargestellt, sollte bei Ihnen die blaue Hinweismeldung auf der Startseite von ForumNSR bzw. das Aussehen im Vorschlagsstatus dargestellt werden:

Wir raten zur folgenden Vorgehensweise durch einen Anwendungsadministrator:

1. Übernahme der geringfügigen Änderungen
2. Löschung der entfallenen Objekte durch Massenlöschung (geänderte Vorschläge, verwendet)
3. Übernahme der neuen Vorschläge

Übernahme der geringfügigen Änderungen

Im Bereich der Geringfügig geänderte Vorschläge haben Sie die Möglichkeit, alle Objekte mit nicht relevanten Änderung per Klick zu übernehmen. Es handelt sich beispielsweise um Änderungen der Nummerierungen oder Korrekturen der Rechtschreibung. Abhängig von der Anzahl der Änderungen kann die Übernahme einige Minuten in Anspruch nehmen.

Massenlöschung

Die Schaltfläche Jetzt alle archivieren finden Sie im Bereich Geänderte Vorschläge, verwendet im Unterbereich Massenlöschung. Eine Massenlöschung ist über die Schaltfläche Jetzt alle archivieren zu aktivieren.

Werden nach einem Vorschlagsupdate in einem Standard in ForumNSR Objekte über die Massenlöschung angeboten, können erfasste Risiken, Aufgaben und Workflows zu den enfallenen Objekten ebenfalls mit gelöscht werden.

Neue Vorschläge

Übernehmen Sie neue Vorschläge durch eine erneute Katalogübernahme im Vorschlagsbereich. Bitte führen Sie diesen Vorgang gegebenenfalls zweimal durch.

• gehen Sie über den Menüpunkt Standards, Kataloge und wechseln über die die Schaltfläche Vorschläge anzeigen in den Vorschlagsbereich.
• wählen sie den BSI IT-Grundschutz-Kompendium und öffnen diesen in der Einzelansicht.

• übernehmen Sie den Katalog erneut über die Schaltfläche Vorschlag übernehmen. Alle neuen Sicherheitsmaßnahmen werden nun in den produktiven Teil des Katalog: BSI IT-Grundschutz-Kompendium übernommen.

  
  

  

  Die bestehende Bearbeitung des Standards wird hierbei nicht verändert.

  Voraussetzung für die erneute Übernahme des Bankindividueller SiMaKat ist mindestens die Version 2022-09 der ForumSuite.

• wechseln Sie über das Menü Standards, BSI IT-Grundschutz-Kompendium1 in die Übersicht Maßnahmen. In der Spalte Umsetzung² können Sie auf- bzw. absteigend sortieren. So finden Sie die unbearbeiteten „neuen“ Sicherheitsmaßnahmen und können mit deren Bearbeitung beginnen. Wenn Sie noch am Beginn der Bearbeitung des BSI IT-Grundschutz-Kompendiumt stehen, können Sie die neuen Sicherheitsmaßnahmen natürlich auch im Rahmen der Gesamtbearbeitung mit einfließen lassen.
  
  

  

  Abbildung: Ansicht der Sicherheitsmaßnahmen sortiert