Grundschutz++: Zeitplan und Zertifizierung.
Laut Meilensteinplan des BSI wird der BSI-Standard 300-1, die Methodik Grundschutz++, am 27.10.2026 auf der it-sa in Nürnberg veröffentlicht. Ab dem 01.01.2027 können Anträge auf eine ISO-27001-Zertifizierung auf Basis von Grundschutz++ gestellt werden. Die Zertifizierbarkeit nach IT-Grundschutz endet am 30.11.2031, fünf Jahre nach der Veröffentlichung von Grundschutz++ (nicht des IT-Grundschutzes).
- Veröffentlicht: was das BSI bisher herausgegeben hat, vor allem der Leitfaden zur Methodik Grundschutz++, Version März 2026; der BSI-Standard 300-1 folgt am 27.10.2026
- Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt
Alle Meilensteine.
So steht es im Meilensteinplan des BSI, Stand Oktober 2026. Das BSI passt den Plan laufend an; vor einer Entscheidung lohnt der Blick in die Quelle.
- Leitfaden erscheintErste Fassung des Leitfadens zur Methodik Grundschutz++, erstellt von BSI und Stand-der-Technik-Community. Dieser Termin steht im Leitfaden selbst, nicht im Meilensteinplan.
- Pilotierung beginntDie Methodik liegt in einer anwendbaren Pilotierungsfassung vor; Pilotierungspartner aus öffentlicher Verwaltung und Wirtschaft erproben sie in der Praxis.
- Pilotierung endetErkenntnisse aus der Pilotierung fließen in die Weiterentwicklung der Methodik ein.
- BSI-Standard 300-1Der BSI-Standard 300-1 (Methodik Grundschutz++) wird auf der it-sa 2026 in Nürnberg veröffentlicht und der Community zur Anwendung bereitgestellt.
- SchulungskonzepteVeröffentlichung der neuen Schulungskonzepte für die Ausbildung zum GS++-Praktiker und GS++-Berater.
- AnwendungsbeispielVeröffentlichung eines Anwendungsbeispiels anhand der fiktiven Behörde „BDIT“.
- ZertifizierbarZertifizierungsanträge nach ISO 27001 auf Basis von Grundschutz++ können gestellt werden, ebenso für die Zertifizierung zum GS++-Berater und GS++-Auditteamleiter.
- Fortbildung zum GS++-Berater und -AuditteamleiterFür bereits zertifizierte IT-Grundschutz-Berater und Auditteamleiter gibt es eine gesonderte Fortbildung für die Zertifizierung zum GS++-Berater und GS++-Auditteamleiter.
- Start der Early-Adopter-PhaseDie Early-Adopter-Phase für die Anwendung des BSI-Standards 300-1 beginnt.
- LeistungsmessungDas Konzept zur Leistungsmessung für ein ISMS auf Basis von Grundschutz++ wird in die Methodik integriert.
- LeistungskennzahlenJede Anforderung der ISMS-Praktiken erhält Leistungskennzahlen.
- Ende der Early-Adopter-PhaseDie Early-Adopter-Phase für den BSI-Standard 300-1 endet.
- InternationalisierungAndere Managementsysteme sollen in Grundschutz++ integriert werden.
- Ende IT-GrundschutzDie Zertifizierbarkeit des IT-Grundschutzes endet, laut BSI fünf Jahre nach der Veröffentlichung von Grundschutz++.
Was das für die Vorbereitung heißt.
Bis 2031 ist Zeit, aber ein Umstieg dauert länger als ein Audit-Zyklus. Links, was bisher veröffentlicht ist, rechts, wie BlueProceedings ISMS damit umgeht.
- Der Katalog ändert sichSeite Grundschutz++, Bibliothek
- Veröffentlicht
Der Meilensteinplan wird laufend angepasst, und die Stand-der-Technik-Bibliothek erhält neue Stände. Bis Ende 2027 läuft die Early-Adopter-Phase für die Anwendung des BSI-Standards 300-1.
Auslegung in BlueProceedings ISMSJeder Informationsverbund arbeitet auf einem festen Katalogstand. Die Anwendung steuert und unterstützt die Migration auf einen neuen Stand: Vor dem Wechsel zeigt sie je Informationsverbund, welche Anforderungen neu, geändert oder entfallen sind und welche Parameter sich ändern. Nach dem Wechsel führt eine Liste der Migrationsänderungen durch die Neubewertung, sichtbar an der Institution, am Informationsverbund und am einzelnen Objekt. Wer übernimmt, begründet den Wechsel; eine Freigabe ist nötig.
- Einstieg mit einem ProzessLeitfaden 3.4.1
- Veröffentlicht
Im ersten Durchlauf reicht es, die Assets für den wichtigsten Geschäftsprozess zu erfassen. Weitere Prozesse können in den nächsten Zyklen oder parallel folgen.
Auslegung in BlueProceedings ISMSEin Einrichtungsassistent leitet aus dem erfassten Bestand den nächsten Schritt ab, damit der erste Durchlauf überschaubar bleibt. Wer die Methodik erst lernen will, findet dazu den Lernmodus.
- Migrationsleitfäden kommen nochLeitfaden 1.3
- Veröffentlicht
Der Leitfaden kündigt ergänzende Dokumente an, darunter Migrationsleitfäden, ein Dokument zur Risikobetrachtung und ein Curriculum für Schulungen.
Auslegung in BlueProceedings ISMSBis dahin modellieren wir neu, statt alte Stände zu importieren. Mehr dazu auf der Seite zum Umstieg.
- Kennzahlen folgen 2027Meilensteinplan
- Veröffentlicht
Bis zum 31.03.2027 sollen alle Anforderungen der ISMS-Praktiken Leistungskennzahlen erhalten.
Auslegung in BlueProceedings ISMSKennzahlen gibt es in der Pre-Alpha schon. Wie sie zu den Kennzahlen des BSI passen, prüfen wir, sobald diese veröffentlicht sind.
Keine Zertifizierungsaussage.
BlueProceedings ISMS unterstützt die Vorbereitung. Ob eine Institution zertifiziert wird, entscheidet die zuständige Stelle nach den dann geltenden Grundlagen. Die erste Version von BlueProceedings ISMS ist für Januar 2027 geplant.
Weiterlesen
Quellen
- BSI: Grundschutz++Meilensteinplan, Stand Oktober 2026, am 26.10.2026 geprüft
- BSI: Leitfaden zur Methodik Grundschutz++, Version März 2026PDF, Änderungshistorie und angekündigte Dokumente
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 26.10.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
Bereit sein, wenn Grundschutz++ zertifizierbar wird.
Ab dem 11.11.2026 testen bis zu elf Personen aus der ISMS-Praxis die Pre-Alpha. Die Startseite zeigt, was schon läuft.