Grundschutz++

Grundschutz++ folgt auf den IT-Grundschutz mit den BSI-Standards 200-x und dem IT-Grundschutz-Kompendium. Die Methodik steht im BSI-Standard 300-1 „Methodik Grundschutz++“, die Anforderungen im Anwenderkatalog Grundschutz++, der das IT-Grundschutz-Kompendium ablöst. Der bisherige IT-Grundschutz bleibt in einer mehrjährigen Übergangszeit anwendbar.

Die Methodik ist eng an ISO/IEC 27001 ausgerichtet. Sie gliedert sich entlang des PDCA-Zyklus in fünf Prozessschritte: Erhebung und Planung, Anforderungsanalyse, Realisierung, Überwachung und kontinuierliche Verbesserung. Der BSI-Standard 300-1 verweist bei den Prozessschritten ausdrücklich auf Kapitel der ISO/IEC 27001, und die Anforderungen aus den Methodik-Praktiken bilden deren Kapitel 4 bis 10 ab.

Beim Schutzbedarf gibt es nur noch zwei Kategorien: normal und hoch. Die Anforderungen selbst haben zwei Sicherheitsniveaus, „normal-SdT“ (Stand der Technik) und „erhöht“. Anforderungen der Stufe „erhöht“ sind optional; für Geschäftsprozesse mit hohem Schutzbedarf ist eine Risikobetrachtung erforderlich.

Statt Bausteine zu modellieren, ordnet die Institution ihre Assets Zielobjektkategorien zu und kann Blaupausen nutzen: vorgefertigte, auf bestimmte Anwendungsszenarien zugeschnittene Anforderungskataloge mit vorgegebenen Parametern. Daraus entsteht ein individuelles Anforderungspaket.

Die Anforderungen sind maschinenlesbar. Der Anwenderkatalog ist Teil der Stand-der-Technik-Bibliothek des BSI, die im OSCAL-Format im öffentlichen GitHub-Repository BSI-Bund/Stand-der-Technik-Bibliothek bereitsteht. Prüfungen lassen sich damit automatisieren.

Nach dem Meilensteinplan des BSI (Stand Oktober 2026) ist Grundschutz++ ab dem 1. Januar 2027 zertifizierbar: Ab dann können Anträge für eine Zertifizierung nach ISO 27001 auf Basis von Grundschutz++ gestellt werden. Die Zertifizierbarkeit des bisherigen IT-Grundschutzes endet am 30. November 2031. Das BSI passt den Meilensteinplan laufend an.

Offen ist, welche Rolle Grundschutz++ für Einrichtungen nach NIS2 spielt. Auf seinen Seiten zu Grundschutz++ und in seinen NIS-2-FAQ legt das BSI dazu bisher nichts fest. Für den bisherigen IT-Grundschutz stellt es klar, dass er im Rahmen der NIS-2-Umsetzung nicht für alle verpflichtend ist.

Der Weg in die Basis-Absicherung (WiBA) steht weiter als niedrigschwelliger Einstieg zur Verfügung. Das BSI kündigt an, die mit WiBA erprobten Checklisten zum festen Bestandteil des neuen Grundschutzes zu machen.

Wer sein ISMS an ISO 27001 ausrichtet, schafft eine Grundlage, die auch für Grundschutz++ trägt, weil die neue Methodik eng an der Norm ausgerichtet ist.