Von IT-Grundschutz zu Grundschutz++: neu modellieren statt kopieren.
Einen Migrationsleitfaden hat das BSI angekündigt, aber noch nicht veröffentlicht. Fest steht: Grundschutz++ leitet Anforderungen über Geschäftsprozesse, Assets und Zielobjektkategorien ab, nicht über Bausteine, und nach IT-Grundschutz kann noch bis zum 30.11.2031 zertifiziert werden. Wir lesen das so: Bisherige Unterlagen sind eine wertvolle Quelle, aber kein fertiges Grundschutz++-Ergebnis.
- Veröffentlicht: was das BSI bisher herausgegeben hat, vor allem der Leitfaden zur Methodik Grundschutz++, Version März 2026; der BSI-Standard 300-1 folgt am 27.10.2026
- Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt
Was bisher dazu veröffentlicht ist.
Links, was das BSI zum Umstieg sagt, rechts, welche Schlüsse BlueProceedings ISMS daraus zieht.
- MigrationsleitfädenLeitfaden 1.3
- Veröffentlicht
Der Leitfaden nennt Migrationsleitfäden als ergänzende Dokumente, die es geben wird. Stand 26.10.2026 sind sie nicht veröffentlicht.
Auslegung in BlueProceedings ISMSWir bieten keinen Import aus IT-Grundschutz-Werkzeugen an. Erscheint ein Migrationsleitfaden, gleichen wir unser Vorgehen daran ab.
- MappingsStand-der-Technik-Bibliothek
- Veröffentlicht
Die Bibliothek enthält maschinenlesbare Mappings, die Beziehungen zwischen Regelwerken beschreiben.
Auslegung in BlueProceedings ISMSEin Mapping zeigt, welche Anforderungen zusammenhängen. Es belegt nicht, dass eine alte Umsetzung die neue Anforderung erfüllt; das prüfen Menschen.
- ÜbergangszeitMeilensteinplan, Seite ISMS
- Veröffentlicht
Der IT-Grundschutz bleibt in der mehrjährigen Übergangszeit anwendbar. Die Zertifizierbarkeit nach IT-Grundschutz endet am 30.11.2031.
Auslegung in BlueProceedings ISMSEs gibt Zeit für einen sauberen Neuaufbau, ohne beide Welten in einem Datenbestand zu vermischen.
- Klein anfangenLeitfaden 3.4.1
- Veröffentlicht
Im ersten Durchlauf reicht der wichtigste Geschäftsprozess mit seinen Assets.
Auslegung in BlueProceedings ISMSDer Neuaufbau beginnt mit einem Prozess und wächst mit jedem Zyklus, unterstützt von Vorlagen und einem Einrichtungsassistenten.
Was du mitnimmst und was du neu entscheidest.
Unsere Einschätzung, solange der Migrationsleitfaden fehlt: Vier Unterlagen, die fast jedes ISMS hat, liefern Wissen für den Neustart, keine fertige Grundschutz++-Aussage.
- Geltungsbereich und Strukturanalyse
Liefern Objektkandidaten, Verantwortliche und bekannte Abhängigkeiten. Neu zu entscheiden sind die Abgrenzung des Informationsverbunds, die Assets und ihre Zielobjektkategorien.
- Umsetzungsbeschreibungen
Zeigen die technische und organisatorische Ausgangslage. Neu zu entscheiden ist, welche Grundschutz++-Anforderung sie betreffen und welche Parameter gelten.
- Nachweise
Sind mögliche Belege. Ob sie taugen, hängt an Gegenstand, Zeitraum, Prüfumfang und Aussagekraft für die neue Anforderung.
- Risiken und Maßnahmen
Bringen bekannte Ursachen, Szenarien und Zuständigkeiten mit. Neu zu bewerten sind sie nach der aktuellen Methode und mit Bezug zu den neuen Assets.
Ein Umstieg in sieben Schritten.
Unser Vorschlag entlang der Prozessschritte des Leitfadens. Er beginnt beim gesicherten Altstand und endet bei neu betrachteten Risiken und auf Wirksamkeit geprüften Maßnahmen.
- 1Altstand sichern
Geltungsbereich, Inventare, Umsetzungen, Risiken und Nachweise mit Datum archivieren. Sie sind Eingabe, kein Ergebnis.
- 2Rahmen neu festlegen
Kontext, Verpflichtungen, Ziele, Rollen und Risikomethodik nach Prozessschritt 1 beurteilen. Alte Freigaben gelten nicht weiter.
- 3Wichtigsten Prozess modellieren
Für den priorisierten Geschäftsprozess die Assets erfassen und Zielobjektkategorien zuordnen. Weitere Prozesse folgen.
- 4Paket ableiten
Aktueller Katalog, passende Blaupause und Parameter ergeben das Anforderungspaket. Mappings geben Orientierung.
- 5Umsetzung neu bewerten
Umsetzungen und Nachweise der neuen Anforderung zuordnen und prüfen. Lücken bleiben als offene Anforderungen sichtbar.
- 6Risikoanalyse neu durchführen
Risiken nach der aktuellen Methode betrachten, mit Bezug zu den neuen Assets und den offenen Anforderungen. Das BSI hat dazu ein eigenes Dokument zur Risikobetrachtung angekündigt (Leitfaden 1.3). Alte Risikobewertungen sind Eingabe, kein Ergebnis.
- 7Maßnahmen bewerten
Maßnahmen aus Lücken und Risiken planen und nach der Umsetzung auf Wirksamkeit prüfen (Prozessschritte 4 und 5). Erst die Wirksamkeitsprüfung zeigt, ob eine Maßnahme das Risiko wirklich senkt.
Warum wir keinen pauschalen Import anbieten.
Der bequemste Transfer wäre fachlich der riskanteste: Er würde genau die unklaren Zuordnungen, überholten Annahmen und lückenhaften Nachweise mitnehmen, die der Wechsel sichtbar machen soll. Das ist unsere Auslegung, keine Vorgabe des BSI.
Weiterlesen
Quellen
- BSI: Leitfaden zur Methodik Grundschutz++, Version März 2026PDF, angekündigte Migrationsleitfäden und Dokument zur Risikobetrachtung, Prozessschritte 1 bis 5
- BSI: Grundschutz++Meilensteinplan mit dem Ende der Zertifizierbarkeit nach IT-Grundschutz, am 26.10.2026 geprüft
- Stand-der-Technik-Bibliothek: MappingsBeziehungen zwischen Regelwerken als OSCAL-Dateien
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 26.10.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
Den Umstieg einmal sauber machen.
Wenn du gerade einen Umstieg planst, erzähl uns, wo es hakt. Rückmeldungen aus der Praxis fließen in die Planung der ersten Version ein.