Grundschutz++ umsetzen: vom Geltungsbereich zum laufenden ISMS.
Grundschutz++ beginnt nicht mit einer langen Kontrollliste, sondern mit Kontext, Geltungsbereich und den wichtigsten Geschäftsprozessen. Daraus entsteht schrittweise ein Informationsverbund, dessen Anforderungen umgesetzt, überwacht und verbessert werden.
- Veröffentlicht: was das BSI im BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 und in den ergänzenden Quellen herausgegeben hat
- Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt
Die fünf Prozessschritte in der Praxis.
- 1Erhebung und Planung
Kontext, interessierte Parteien, Verpflichtungen, Geltungsbereich, Sicherheitsziele, Rollen und Risikomethodik festlegen. Die Institution entscheidet, BlueProceedings hält Stand und Freigaben zusammen.
- 2Anforderungsanalyse
Den wichtigsten Geschäftsprozess mit Informationen, Komponenten, Dienstleistern und Standorten modellieren. Zielobjektkategorien und Blaupause leiten das Anforderungspaket ab.
- 3Realisierung
Umsetzungsstände erheben, Lücken begründen, Maßnahmen mit Verantwortlichen, Budget, Frist und Abhängigkeiten planen und Nachweise zuordnen.
- 4Überwachung
Kennzahlen, Auditprogramm, Nachweisprüfung und Managementbewertung zeigen, ob der erfasste Stand noch trägt und Maßnahmen wirksam sind.
- 5Kontinuierliche Verbesserung
Vorfälle, Findings, abgelaufene Nachweise, neue Anforderungen und Änderungen erzeugen Folgearbeit. Abschluss bedeutet geprüft wirksam, nicht nur erledigt.
Ein sinnvoller erster Durchlauf.
- Klein anfangen
Mit einem priorisierten Geschäftsprozess und einem klar abgegrenzten Informationsverbund beginnen, statt den gesamten Bestand gleichzeitig zu modellieren.
- Entscheidungen sichtbar machen
Schon beim ersten Durchlauf Rollen, Begründungen und Freigaben mitführen. Späteres Nachtragen kostet mehr und verliert Kontext.
- Nachweise nicht sammeln, sondern prüfen
Für jeden Nachweis Gültigkeit, Bezug und Prüfstatus festhalten. Eine Datei allein belegt noch keine wirksame Umsetzung.
- Den nächsten Zyklus vorbereiten
Reviewtermine und Änderungsanlässe von Anfang an planen. Ein ISMS wird nicht durch die erste Freigabe fertig.
Fragen zur Einführung.
Wie beginne ich mit Grundschutz++?
Mit dem institutionellen Kontext, dem Geltungsbereich und einem priorisierten Geschäftsprozess. Danach werden dessen Assets modelliert und die relevanten Anforderungen abgeleitet.
Muss ich sofort die ganze Institution erfassen?
Nein. Der Ansatz erlaubt einen schrittweisen Einstieg. Der gewählte Geltungsbereich und die Priorisierung müssen jedoch nachvollziehbar entschieden sein.
Was kann eine Software bei der Umsetzung abnehmen?
Sie kann Kataloge einlesen, Anforderungen ableiten, Vererbung rechnen, Fristen überwachen und Zusammenhänge anzeigen. Bewertung, Umsetzung, Wirksamkeitsprüfung und Leitungsentscheidungen bleiben fachliche Aufgaben.
Weiterlesen
Quellen
- BSI-Standard 300-1 „Methodik Grundschutz++“Fachliche Grundlage der beschriebenen Grundschutz++-Arbeitsabläufe
- BSI: Grundschutz++Überblick, Veröffentlichungsstand und Meilensteine
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 27.10.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
Den ersten Durchlauf überschaubar halten.
Der Einrichtungsassistent und der Lern-Modus führen durch die Reihenfolge, ohne fachliche Entscheidungen vorwegzunehmen.