BSI IT-Grundschutz و Grundschutz++

يحدّد معيار BSI ⁦200-1⁩ المتطلبات العامة لنظام إدارة أمن المعلومات (ISMS) وهو متوافق مع ISO/IEC 27001. ويصف معيار BSI ⁦200-2⁩ منهجية IT-Grundschutz الفعلية بأساليبها الثلاثة: الحماية الأساسية والقياسية والجوهرية؛ ويجمع معيار BSI ⁦200-3⁩ جميع خطوات العمل المرتبطة بالمخاطر في تطبيق IT-Grundschutz ضمن إدارة مخاطر مبسّطة. وقد صدرت هذه المعايير الثلاثة عام 2017 خلفًا لسلسلة 100. ويكمّلها معيار BSI ⁦200-4⁩ ‏(2023) بدليل عملي لبناء نظام إدارة استمرارية الأعمال (BCMS)، ويحلّ بوصفه معيارًا محدّثًا محلّ معيار BSI ⁦100-4⁩ السابق.

يترجم IT-Grundschutz-Kompendium المنهجية إلى متطلبات ملموسة. ويضم الإصدار الحالي 2023 ‏(المنشور في 1 فبراير 2023) ‏111 وحدة – من موضوعات ISMS والتنظيم مرورًا بالتطبيقات وأنظمة تقنية المعلومات وصولًا إلى الشبكات والبنية التحتية، ومن بينها وحدات أُضيفت حديثًا مثل OPS.1.1.1 ‏(التشغيل العام لتقنية المعلومات) أو APP.5.4 ‏(Unified Communications and Collaboration). وتصف كل وحدة وضع التهديدات في موضوعها وتصوغ متطلبات متدرّجة للحماية الأساسية والحماية القياسية واحتياجات الحماية المرتفعة. وخلال التحديث إلى Grundschutz++ يبقى IT-Grundschutz الكلاسيكي قابلًا للتطبيق وللحصول على الشهادة بالتوازي؛ وقد خصّص BSI لذلك فترة انتقالية تمتد لعدة سنوات.

ينص معيار BSI ⁦200-2⁩ على ثلاثة أساليب. الحماية القياسية هي النهج الكلاسيكي الكامل لمنظومة المعلومات بأكملها. وتتيح الحماية الأساسية حماية أولية واسعة بأهم المتطلبات وتصلح كمدخل – بدعم ميسّر من عرض BSI المسمى WiBA ‏(«Weg in die Basis-Absicherung» – الطريق إلى الحماية الأساسية)؛ أما الحماية الجوهرية فتركّز الموارد في البداية على الأصول الأكثر حاجةً إلى الحماية في المؤسسة. وقد صُمّمت الحماية الأساسية والجوهرية كخطوتين وسيطتين يمكن انطلاقًا منهما تطوير الحماية القياسية تدريجيًا.

من خلال شهادة «ISO 27001 على أساس IT-Grundschutz» يؤكد BSI بصفته جهة منح الشهادات أن نظام ISMS يستوفي متطلبات ISO/IEC 27001 والمتطلبات الأكثر تحديدًا بكثير لـIT-Grundschutz على حد سواء. والأساس هو تطبيق الحماية القياسية أو الجوهرية؛ أما الحماية الأساسية فيُخصّص لها إقرار تدقيق (Testat) وليس شهادة. ويُجري التدقيق مدقق حاصل على شهادة من BSI – مع فحص الوثائق والفحص الميداني وتقرير التدقيق؛ ويقرّر BSI منح الشهادة. والشهادة صالحة لثلاث سنوات وتُؤكَّد من خلال عمليات تدقيق رقابية في العامين الأول والثاني بعد منحها.

من خلال Grundschutz++ يطوّر BSI منهجية IT-Grundschutz إلى منظومة قواعد موجّهة بالكامل نحو العمليات ومقروءة آليًا. ومكوّناتها الأساسية هي المنهجية المتوافقة مع دورة PDCA ‏(النسخة التجريبية بتاريخ 1 أبريل 2026)، وكتالوج المستخدمين بالمتطلبات التقنية والتنظيمية، ومكتبة أحدث ما توصلت إليه التقنية (Stand-der-Technik-Bibliothek)، التي يتيح BSI من خلالها كتالوجاته كمستندات OSCAL مقروءة آليًا على GitHub؛ وتُدمج في ذلك الوحدات الـ111 الحالية في الـKompendium ضمن 19 ممارسة. وتُستبدل مستويات الحماية الحالية بأرقام أداء مرنة مقترنة بقيم حدّية ديناميكية. وخارطة طريق BSI: مرحلة تجريبية من 1 أبريل إلى 30 سبتمبر 2026، وعرض المنهجية في it-sa في 27 أكتوبر 2026، وبدء التدريب لتأهيل مستشاري GS++ وقادة فرق تدقيق GS++ للأشخاص الحاصلين على شهادة مسبقًا اعتبارًا من 1 نوفمبر 2026 – واعتبارًا من 1 يناير 2027 يمكن تقديم طلبات الحصول على شهادة ISO 27001 على أساس Grundschutz++.

لا تتعارض شهادة ISO/IEC 27001 الأصلية الصادرة عن جهة منح شهادات معتمدة مع شهادة BSI على أساس IT-Grundschutz: إذ يمكن تلبية كلا الدليلين من نظام ISMS متكامل، لأن مجالات الضوابط تتداخل إلى حد كبير. ويتميّز ISO/IEC 27001 بقابلية الربط دوليًا وبصياغة عامة قائمة على المخاطر؛ بينما يقدّم IT-Grundschutz متطلبات التنفيذ الملموسة التي تتوقعها على وجه الخصوص الجهات الحكومية ومشغّلو KRITIS والجهات المتعاقدة العامة. ووفقًا لـBSI يبقى Grundschutz++ أيضًا متوافقًا مع ISO 27001، بحيث تظل هياكل ISO القائمة قابلة للاستخدام. وتتجنب استراتيجية الامتثال المزدوج هذه ازدواجية الهياكل، وتعزّز القدرة على تقديم أدلة الإثبات أمام العملاء والجهات الرقابية، وتدعم الاستعداد للمتطلبات الأوروبية مثل NIS-2.