IT-Grundschutz vs Grundschutz++
Das BSI entwickelt seinen Grundschutz neu: Grundschutz++ soll den IT-Grundschutz nach den BSI-Standards 200-x ablösen, der in einer mehrjährigen Übergangszeit anwendbar bleibt. Der Vergleich zeigt, was sich an Methodik, Schutzbedarf, Auswahl der Anforderungen und Format ändert.
Grundschutz++ folgt dem BSI-Standard 300-1, ist eng an ISO/IEC 27001 ausgerichtet, kennt zwei Schutzbedarfskategorien und liefert Anforderungen in OSCAL. Der IT-Grundschutz arbeitet mit dem Kompendium und der Modellierung über Bausteine. Zertifizierbar ist Grundschutz++ nach dem Plan des BSI ab dem 1. Januar 2027.
IT-Grundschutz und Grundschutz++ im direkten Vergleich
| Merkmal | IT-Grundschutz | Grundschutz++ |
|---|---|---|
| Methodik | BSI-Standards 200-x, Vorgehensweisen Basis-, Kern- und Standard-Absicherung (BSI-Standard 200-2) | BSI-Standard 300-1, fünf Prozessschritte entlang des PDCA-Zyklus |
| Schutzbedarf | Drei Kategorien: normal, hoch, sehr hoch | Zwei Kategorien: normal und hoch; Anforderungen in den Sicherheitsniveaus „normal-SdT“ und „erhöht“ |
| Auswahl der Anforderungen | Modellierung: Auswahl von Bausteinen aus dem IT-Grundschutz-Kompendium | Assets werden Zielobjektkategorien zugeordnet, dazu Blaupausen; Ergebnis ist ein individuelles Anforderungspaket |
| Format | IT-Grundschutz-Kompendium mit Bausteinen | Anwenderkatalog Grundschutz++, maschinenlesbar im OSCAL-Format (Stand-der-Technik-Bibliothek auf GitHub) |
| Nähe zu ISO 27001 | Kompatibel zu ISO 27001 | Eng ausgerichtet: Methodik-Anforderungen bilden die Kapitel 4 bis 10 der ISO/IEC 27001 ab |
| Zertifizierung | ISO 27001 auf Basis von IT-Grundschutz; Zertifizierbarkeit endet am 30. November 2031 | ISO 27001 auf Basis von Grundschutz++; Anträge ab 1. Januar 2027 (Meilensteinplan des BSI) |
| Für wen relevant | Bestehende Anwender und Zertifikatsinhaber während der Übergangszeit | Institutionen, die ihr ISMS neu nach Grundschutz aufbauen; Version 1.0 richtet sich zuerst an erfahrene Early Adopters |
Die wichtigsten Unterschiede
Gemeinsamkeiten
- Beide sind Methoden des BSI zum Aufbau eines ISMS
- Beide ermöglichen eine Zertifizierung nach ISO 27001 auf Basis des Grundschutzes
- Beide arbeiten mit einer Schutzbedarfsfeststellung nach den Grundwerten Vertraulichkeit, Integrität und Verfügbarkeit
Eine Pflicht, Grundschutz++ anzuwenden, gibt es nicht. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen sollen (§ 30 Abs. 2 BSIG), schreibt aber keine bestimmte Methodik vor. Schon für den bisherigen IT-Grundschutz stellt das BSI klar, dass er im Rahmen der NIS-2-Umsetzung nicht für alle verpflichtend ist. Welche Rolle Grundschutz++ für NIS2-Einrichtungen spielen soll, hat das BSI bisher nicht festgelegt.
Sinnvoll ist, die Entwicklung zu beobachten: Die erste anwendbare Version wird ab 2027 in einer Early-Adopter-Phase erprobt, und das BSI passt seinen Meilensteinplan laufend an. Wer sein ISMS an ISO 27001 ausrichtet, schafft eine Grundlage, die auch für Grundschutz++ trägt, weil die neue Methodik eng an der Norm ausgerichtet ist.
Häufig gestellte Fragen
Muss ich als NIS2-pflichtiges Unternehmen auf Grundschutz++ umstellen?
Ab wann ist Grundschutz++ zertifizierbar?
Wie lange kann man noch nach IT-Grundschutz zertifizieren?
Was wird aus WiBA?
Weiterführend
ISMS nach ISO 27001 aufbauen
CompliantDesk unterstützt heute den Aufbau eines ISMS nach ISO 27001 und die NIS2-Pflichten nach § 30 BSIG. Grundschutz++ ist noch nicht enthalten.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten