BSI-Grundschutz: Lohnt sich die Umsetzung doch?

Ist die gesamte Diskussion um den IT-Grundschutz, um Zertifizierung und Checklisten nun aber lediglich eien akademische Angelegenheit? Gar eine praxisferne Idealvorstellung? Die Befürworter verneinen das: Der IT-Grundschutz und daraus hervorgehende Zertifizierungen seien in der Praxis sehr wohl relevant.

Laut Rainer Runpel hat das BSI bislang etwa 60 Zertifikate vergeben. Die anderen deutschen Zertifizierungsstellen hätten seit 2005 etwas mehr als 300 Zertifikate vergeben. „Ein Marktanteil von 15 Prozent ist wohl nicht vernachlässigbar“, so Rumpel.

Knut Haufe, Senior Consultant bei Persicon (Bild: Persicon).

Jedoch muss auch er einräumen, dass der deutsche IT-Grundschutz als Zertifizierungsverfahren auf internationaler Ebene tatsächlich kaum eine Rolle spiele. Als eine Art „Werkzeugkasten zur Herstellung besserer Sicherheit“ habe er aber internationale Ausstrahlung. „Der BSI-Grundschutz wird aufgrund seiner standardisierten Vorgehensweise in Zukunft eine immer größere Rolle spielen“, meint auch Interoute-Berater Schlag.

Fazit

Die Frage ist jedoch, warum sich ein Unternehmen mit Konzepten wie dem IT-Grundschutz auseinandersetzt und warum es eine Zertifizierung anstrebt: Aus eigenem, inneren Antrieb, oder um Anforderungen von Geschäftspartnern zu genügen. In der Regel wird wohl letzteres der Grund sein. Ist das so, erwächst daraus gleich die nächste Frage: Sind diese Geschäftspartner nur aus Deutschland, oder stammen sie auch aus anderen Ländern?

Abgesehen von Behörden oder staatlichen Organisationen wird auch hier die zweite Antwort die häufigere sein. Bei internationalen Geschäftspartnern aber gewinnen internationale Standards und Zertifizierungen an Bedeutung. Dass es sich dabei zunehmend um solche aus dem englischsprachigen Raum handelt, mag man bedauern, so leicht ändern lassen wird sich das jedoch nicht.

Die 15 Prozent Marktanteil an den vergebenen Zertifizierung in Deutschland sprechen da eine deutliche Sprache: Sie sind vielleicht nicht zu vernachlässigen, für ein lokales, über lange Jahre hinweg mit viel Mühe ausgearbeitetes Konzept jedoch auch wenig beeindruckend. Es bleibt also abzuwarten, ob der IT-Grundschutz sich außerhalb von Behörden tatsächlich behaupten kann.

Dass Berater den IT-Grundschutz und darauf aufbauende Zertifizierungen verteidigen, ist wenig verwunderlich: Für sie ist er ebenso wie die bei Softwareprojekten immer weiter ausufernden Pflichtenhefte eine ansehnliche Einnahmequelle. Fraglich ist jedoch, ob sich mittelständische Unternehmen das in Zukunft leisten können, wollen und müssen.