Grundschutz++ · geprüft am 26.10.2026

Den Grundschutz++-Anwenderkatalog lesen.

Der Anwenderkatalog enthält die Anforderungen von Grundschutz++, gegliedert nach Praktiken. Jede Anforderung ist ein einzelner Eintrag mit festen Feldern. Wer weiß, was in welchem Feld steht, sieht auf einen Blick, was gefordert ist, wie verbindlich es ist und wofür es gilt.

Veröffentlicht: was das BSI bisher herausgegeben hat, vor allem der Leitfaden zur Methodik Grundschutz++, Version März 2026; der BSI-Standard 300-1 folgt am 27.10.2026
Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt

Eine Anforderung, Feld für Feld.

Das Beispiel ist ASST.2.1.1 „Informationsverantwortung“ aus der Praktik „Informationen und Assets“, so wie sie im Katalog steht, gekürzt und ohne Namensräume. Zu jedem Feld steht, was es bedeutet.

Anwenderkatalog · OSCAL, gekürzt

Kennung und Titel: "id": "ASST.2.1.1", "title": "Informationsverantwortung"
Sicherheitsniveau: "sec_level": "normal-SdT"
Aufwand: "effort_level": "3"
Gefährdungen: "threats": "G 0.18, G 0.16, G 0.17, G 0.45"
Parameter: "params": [{ "label": "einer zuständigen Person oder Rolle" }]
Zielobjektkategorie: "target_object_categories": "Daten"
Modalverb: "modal_verb": "SOLLTE"
Handlungswort: "action_word": "zuweisen"
Ergebnis: "result": "die Zuständigkeit für deren Verarbeitung"
Dokumentation: "documentation": "Inventar Informationen"
Anforderungstext: Informationen und Assets für Daten SOLLTE die Zuständigkeit für deren Verarbeitung {{einer zuständigen Person oder Rolle}} zuweisen.

Der Anforderungstext setzt sich aus den Feldern zusammen. Die Erläuterung darunter beschreibt, was gemeint ist, hier das Eigentum oder die interne Zuständigkeit für Informationen und Assets.

Sechs Fragen an jede Anforderung.

Links, was Katalog und Leitfaden zu dem Feld sagen, rechts, wie BlueProceedings ISMS es verwendet.

Was wird gefordert?Katalog: Veröffentlicht
Handlungswort und Ergebnis sagen, was zu tun ist und was danach gelten soll. Die Erläuterung ordnet es fachlich ein.
Auslegung in BlueProceedings ISMS
Die Anforderung steht am Objekt, mit Text, Erläuterung und der Angabe, aus welchem Katalogstand sie kommt.
Wie verbindlich ist sie?Katalog, Leitfaden 4.5: Veröffentlicht
Das Modalverb lautet MUSS, SOLLTE oder KANN. Abweichungen laufen über das Ausnahmemanagement: Eine verantwortliche Rolle autorisiert sie, und jede Ausnahme wird nachvollziehbar begründet.
Auslegung in BlueProceedings ISMS
Eine Ausnahme braucht eine Begründung und eine Freigabe; beides bleibt mit Person, Rolle und Zeitpunkt sichtbar.
Für welches Sicherheitsniveau?Leitfaden 3.7: Veröffentlicht
„normal-SdT“ steht für den Stand der Technik. Ein höheres Niveau ändert nur die Reihenfolge der Umsetzung; ein niedrigeres ist mit einer Risikobetrachtung zu begründen.
Auslegung in BlueProceedings ISMS
Wir trennen das Sicherheitsniveau der Anforderung vom Schutzbedarf des Objekts. Den Schutzbedarf erfassen wir als normal oder hoch, je Schutzziel und mit Begründung.
Wofür gilt sie?Leitfaden 3.4.2, 3.5.1: Veröffentlicht
Die Zielobjektkategorie nennt die Art von Asset, hier Daten. Ein Asset kann mehreren Kategorien zugeordnet sein; Anforderungen übergeordneter Kategorien werden vererbt.
Auslegung in BlueProceedings ISMS
Die Anwendung rechnet die Vererbung entlang der Hierarchie selbst. Die Zuordnung eines Assets zu einer Kategorie bleibt eine begründete Entscheidung.
Was legt die Institution fest?Katalog, Leitfaden 3.9: Veröffentlicht
Parameter sind variabel gestaltbare Elemente einer Anforderung. Sie passen sie an den Kontext an, hier an die Frage, wer zuständig ist.
Auslegung in BlueProceedings ISMS
Den Parameterwert führen wir getrennt vom Text der Anforderung, nachvollziehbar von der Blaupause bis zum einzelnen Objekt.
Was belegt die Umsetzung?Katalog: Veröffentlicht
Das Feld Dokumentation nennt, welche Dokumentation erwartet wird, hier das Inventar der Informationen.
Auslegung in BlueProceedings ISMS
Wir zeigen den Hinweis an, werten ihn aber nicht als Nachweis. Ein Nachweis hat bei uns Gültigkeit und Prüfstatus und wird von Menschen geprüft.

Vom Katalog zum Anforderungspaket.

Was veröffentlicht ist: Blaupausen wählen Anforderungen für einen wiederkehrenden Kontext aus. Wie sie technisch auf Basis von OSCAL angewendet werden, soll laut Leitfaden ein eigener Technik-Layer beschreiben.

Wie wir es auslegen: In BlueProceedings ISMS ist eine Blaupause eine versionierte Regelmenge auf einem festen Katalogstand, technisch ein OSCAL-Profil. Jeder Ausschluss braucht eine Begründung. Ein neuer Katalogstand ändert die Blaupause nicht still.

Das Bild zeigt eine Blaupause für eine Kommunalverwaltung mit fiktiven Daten: 1.001 geltende Anforderungen aus zwei Katalogen, 40 ausgeschlossen, 2 ergänzt, 7 in der Stufe angepasst.

Erste Hälfte der Übersicht der Blaupause „Kommunalverwaltung: gesamte IT in einem Informationsverbund“, Version 2, freigegeben, mit Knopf zum Exportieren. Unter dem Titel stehen, wer die Blaupause angelegt, wer die Version eingereicht und wer sie freigegeben hat, jeweils mit Rolle und Zeitpunkt. Die Kernzahl nennt 1.001 geltende Anforderungen aus zwei Katalogen, davon 40 ausgeschlossen, 2 zusätzlich aufgenommen und 7 in der Stufe angepasst. Darunter die Herleitung von 1.043 Anforderungen im Katalogumfang bis 1.001, die Verteilung nach MUSS, SOLLTE und KANN sowie Balken je Praktik und je Zielobjektkategorie. — Auslegung in der Pre-Alpha mit fiktiven Daten · kann sich bis zur ersten Version ändern

Weiterlesen

OSCAL in Grundschutz++: was das Format leistetOSCAL in Grundschutz++ erklärt: Katalog, Profil, Component Definition und SSP sowie Import und Export mit BlueProceedings ISMS..Grundschutz++, kurz erklärtGrundschutz++ kurz erklärt: die neue BSI-Methodik, fünf Prozessschritte, maschinenlesbare OSCAL-Anforderungen und ihre Umsetzung in BlueProceedings ISMS..Blaupausen in der CommunityWiederverwendbare Auswahlen von Anforderungen teilen und importieren.

Quellen

Stand-der-Technik-Bibliothek: Grundschutz++Anwenderkatalog als OSCAL-Datei; das Beispiel stammt aus dem Stand vom 03.07.2026
BSI: Leitfaden zur Methodik Grundschutz++, Version März 2026PDF, Anforderungsanalyse, Sicherheitsniveau, Ausnahmen
NIST: OSCALAufbau von Katalogen und Anforderungen

Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 26.10.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.

Den Katalog lesen lassen, nicht abtippen.

BlueProceedings ISMS liest den Anwenderkatalog des BSI ein und ordnet die Anforderungen deinen Objekten zu. Die Startseite zeigt die Pre-Alpha.

So sieht es aus Interesse melden