Grundschutz++, kurz erklärt.
Grundschutz++ ist die neue Methodik des BSI für ein Informationssicherheitsmanagementsystem (ISMS). Sie erscheint als BSI-Standard 300-1 und löst nach einer mehrjährigen Übergangszeit den IT-Grundschutz ab. Neu ist vor allem die Form: Das BSI veröffentlicht jede Anforderung als maschinenlesbaren Eintrag im OSCAL-Format, und der Ablauf folgt in fünf Prozessschritten dem PDCA-Zyklus.
- Veröffentlicht: was das BSI bisher herausgegeben hat, vor allem der Leitfaden zur Methodik Grundschutz++, Version März 2026; der BSI-Standard 300-1 folgt am 27.10.2026
- Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt
Was sich gegenüber dem IT-Grundschutz ändert.
Vier Unterschiede, die im Alltag am meisten auffallen. Links steht, was das BSI veröffentlicht hat, rechts, wie wir es in BlueProceedings ISMS auslegen.
- Anforderungen sind DatenLeitfaden 1.1, Seite Grundschutz++
- Veröffentlicht
Das BSI erfasst jede Anforderung als Regel in einem standardisierten Format. Der Anforderungskatalog liegt in der Stand-der-Technik-Bibliothek auf GitHub und soll sich in strukturierter Form nutzen lassen.
Auslegung in BlueProceedings ISMSWir lesen den Katalog direkt ein, mit Version und Herkunft, statt Anforderungen abzutippen. Wir gehen davon aus, dass das BSI im Lauf der Zeit mehrere Katalogstände veröffentlicht. Deshalb ist die Migration auf einen neuen Stand ein eigenes Feature: Ein neuer Stand gilt erst nach einem ausdrücklichen Wechsel, nicht still im laufenden Informationsverbund.
- Der Geschäftsprozess steht am AnfangLeitfaden 1.4.1, 3.4.1
- Veröffentlicht
Nach dem Geltungsbereich werden die relevanten Geschäftsprozesse ermittelt und nach Kritikalität priorisiert. Im ersten Durchlauf reicht es, die Assets des wichtigsten Prozesses zu erfassen; weitere folgen in den nächsten Zyklen.
Auslegung in BlueProceedings ISMSAssets bauen auf den Zielobjektkategorien des Katalogs auf: Jedes Objekt wird einer oder mehreren Kategorien zugeordnet, daraus ergeben sich seine Anforderungen. Prozesse, Informationen, Komponenten, Dienstleister und Standorte sind die Objektarten, die wir dafür als eigene, verknüpfte Objekte führen; die Kategorien des Katalogs sind feiner, und weitere Objektarten sind möglich. Dieselben Objekte nutzen wir auch für Risiken, Notfallvorsorge und Berichte.
- Ein Paket je InformationsverbundLeitfaden 3.2 bis 3.6
- Veröffentlicht
Assets werden Zielobjektkategorien zugeordnet. Zusammen mit den verbundweiten ISMS-Anforderungen, eigenen Verpflichtungen und dem Ergebnis der Risikobetrachtung entsteht das Anforderungspaket.
Auslegung in BlueProceedings ISMSJede Anforderung hängt am Objekt, für das sie gilt, und zeigt, woher sie kommt. Ausschließen lässt sie sich nur mit Begründung.
- Wirksamkeit gehört zum AblaufLeitfaden 1.4.4, 1.4.5
- Veröffentlicht
Überwachung und kontinuierliche Verbesserung sind eigene Prozessschritte. Sie prüfen, ob die umgesetzten Anforderungen wirksam sind, und leiten Korrekturen ab.
Auslegung in BlueProceedings ISMSEine Maßnahme ist bei uns erst abgeschlossen, wenn vorab festgelegte Kriterien geprüft sind, ein gültiger Nachweis vorliegt und eine zweite Person freigibt.
Fünf Prozessschritte, ein Kreislauf.
So beschreibt der Leitfaden den Sicherheitsprozess (Abschnitt 1.4). Jeder Prozessschritt entspricht einer ISMS-Praktik im Anwenderkatalog. Nach dem ersten Durchlauf dürfen Schritte auch parallel laufen.
- Erhebung und PlanungPlan · Governance und Compliance. Kontext, interessierte Parteien, Geltungsbereich, Leitlinie, Rollen, Risikomanagement.
- AnforderungsanalysePlan · Strukturmodellierung. Informationsverbund abgrenzen, Assets erfassen und zuordnen, Anforderungspaket bilden.
- RealisierungDo · Umsetzung. Umsetzungsstand erheben, Maßnahmen planen, Zuständigkeiten, Fristen, Ausnahmen.
- ÜberwachungCheck · Monitoring und Evaluation. Leistungsbewertung, Audits, Managementbewertung.
- Kontinuierliche VerbesserungAct · Verbesserung. Abweichungen behandeln, Korrekturen planen, Wirkung bewerten.
Wie wir es auslegen: BlueProceedings ISMS führt die fünf Schritte als eine Kette über denselben Datenstand. Ändert sich ein Glied, etwa ein Asset oder ein Katalogstand, zeigt die Anwendung, was neu zu bewerten sein könnte. Die Entscheidungen bleiben bei der Institutionsleitung und den zuständigen Rollen.
Fünf Begriffe, die überall vorkommen.
Die Begriffe, wie sie der Leitfaden verwendet.
- BSI-Standard 300-1
Die Methodik Grundschutz++ als BSI-Standard. Das BSI stellt ihn am 27.10.2026 auf der it-sa in Nürnberg vor und stellt ihn der Community zur Anwendung bereit. Die Abschnittsangaben auf diesen Seiten beziehen sich bisher auf den Leitfaden (Version März 2026); wir gleichen sie mit dem Standard ab, sobald er vorliegt.
- Praktik
Ein Tätigkeitsbereich, nach dem der Anwenderkatalog die Anforderungen gliedert, etwa „Informationen und Assets“. Fünf ISMS-Praktiken bilden die fünf Prozessschritte ab.
- Zielobjektkategorie
Eine standardisierte Klasse, für die Anforderungen beschrieben sind, etwa Daten. Anforderungen einer übergeordneten Kategorie werden auf die Kategorien darunter vererbt (Abschnitt 3.5.1).
- Anforderungspaket
Alle Anforderungen, die für einen Informationsverbund gelten. Es ist auf genau diesen Verbund zugeschnitten und bildet die Basis der Umsetzung (Abschnitt 3).
- Blaupause
Eine Auswahl von Anforderungen für einen wiederkehrenden Kontext. Der Leitfaden kündigt einen Technik-Layer an, der die Anwendung mit Blaupausen auf Basis von OSCAL beschreiben soll.
Was ein Werkzeug dabei leisten kann.
- Mit oder ohne WerkzeugLeitfaden 1.2, 3
- Veröffentlicht
Die Standardvorgehensweise lässt sich auch ohne Automatisierung durchführen. Für kleine Institutionen empfiehlt der Leitfaden langfristig die toolgestützte Umsetzung; mittlere und große können durch Automatisierung effizienter arbeiten.
Auslegung in BlueProceedings ISMSBlueProceedings ISMS automatisiert, was sich aus den Daten ableiten lässt: Anforderungen je Objekt, Vererbung, Fristen, Hinweise auf veraltete Berichte. Was sich nicht ableiten lässt, fragt es ab.
- Was automatisiert werden darfLeitfaden 3.4.2, 3.5.1
- Veröffentlicht
Die Zuordnung zu Zielobjektkategorien kann toolgestützt erfolgen, wenn die Kategorien maschinenlesbar vorliegen. Die Vererbung ist deterministisch; ihre Automatisierung ist möglich und empfohlen.
Auslegung in BlueProceedings ISMSDie Zuordnung eines Assets zu Kategorien treffen und begründen Menschen. Die Vererbung entlang der Hierarchie rechnet die Anwendung selbst.
- Was beim Menschen bleibtLeitfaden 1.4.1, 4.5
- Veröffentlicht
Die Institutionsleitung ist für die Entscheidungen zur Informationssicherheit verantwortlich. Ausnahmen müssen durch eine verantwortliche Rolle autorisiert und begründet werden.
Auslegung in BlueProceedings ISMSGeltungsbereich, Anwendbarkeit, Angemessenheit und Wirksamkeit entscheidet die Anwendung nicht. Sie hält fest, wer was wann mit welcher Begründung entschieden hat.
Wo Grundschutz++ gerade steht.
Die wichtigsten Termine aus dem Meilensteinplan des BSI. Alle Termine stehen im Zeitplan.
- BSI-Standard 300-1Das BSI stellt den BSI-Standard 300-1 (Methodik Grundschutz++) auf der it-sa in Nürnberg vor und stellt ihn der Community zur Anwendung bereit.
- ZertifizierbarAnträge auf eine ISO-27001-Zertifizierung auf Basis von Grundschutz++ sind möglich, ebenso auf die Zertifizierung zum GS++-Berater und GS++-Auditteamleiter.
- Early-Adopter-PhaseVom ersten Quartal bis zum 31.12.2027 für die Anwendung des BSI-Standards 300-1.
- Ende IT-GrundschutzDie Zertifizierbarkeit nach IT-Grundschutz endet, laut BSI fünf Jahre nach der Veröffentlichung von Grundschutz++.
Weiterlesen
Quellen
- BSI: Leitfaden zur Methodik Grundschutz++, Version März 2026PDF, Grundlage der Abschnittsangaben auf dieser Seite
- BSI: Grundschutz++Überblick und Meilensteinplan (Stand Oktober 2026)
- Stand-der-Technik-Bibliothek: Grundschutz++Anwenderkatalog und Methodik als OSCAL-Dateien auf GitHub
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 26.10.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
Grundschutz++ nicht in Tabellen nachbauen.
BlueProceedings ISMS setzt die fünf Prozessschritte als verbundene Arbeitskette um. Die Startseite zeigt, wie das in der Pre-Alpha aussieht.