Grundschutz++ – Stand: 27.10.2026
- BSI-Standard 300-1 „Methodik Grundschutz++“, veröffentlicht am 26.10.2026
- Prozessorientiert: Schutzbedarf je Geschäftsprozess, „normal“ oder „hoch“
- Fünf Prozessschritte entlang PDCA, kompatibel mit ISO/IEC 27001
- Anforderungen maschinenlesbar im Anwenderkatalog der Stand-der-Technik-Bibliothek
- Zertifizierungsanträge ab 01.01.2027 · klassischer IT-Grundschutz zertifizierbar bis 30.11.2031
Grundschutz-Methode erklärt, was der neue Standard für Ihr ISMS bedeutet. Wir lesen ihn aus Sicht des Audits: Was wird geprüft, wo liegen die Spielräume, und wann lohnt sich der Umstieg? Hinter der Seite steht ATM Consulting – als Auditor nach IT-Grundschutz, als Berater beim Aufbau von ISMS und als Schulungsanbieter nach BSI-Curriculum.
Themen
Methode
Stand der Technik
Frameworks und Querschnitt
Der Weg zu einem angemessenen Schutzniveau
„Förderschwelle?“ auf der Grundschutz++-Linie ist unser Vorschlag für ein Äquivalent zur Basis-Absicherung, keine Vorgabe des BSI.
Aktuelles
- Community prüft Anwenderkatalog gegen den neuen StandardCommunity
In der Stand-der-Technik-Bibliothek listet ein Issue Abweichungen zwischen Anwenderkatalog (Build 22.10.2026) und BSI-Standard 300-1 auf, etwa zu Statuswerten, Anforderungen ohne Zielobjektkategorie und zur Verankerung der 35 Mindestkriterien. Eine Antwort des BSI steht aus.
- BSI veröffentlicht BSI-Standard 300-1BSI
Das BSI veröffentlicht die Methodik zum Grundschutz++ als BSI-Standard 300-1 (Version 1.0 vom 20.10.2026). Zielgruppe der ersten Version sind Early Adopters. Zertifizierung ab 2027.
- Cloud-Publikations-Map des BSIBSI
Das BSI ordnet 18 Cloud-Publikationen in einer Übersicht ein und bittet um Feedback. Grundschutz++ ist darin noch nicht berücksichtigt; Ausgangspunkt für sichere Cloud-Nutzung bleibt der Baustein OPS.2.2 aus der Edition 2023.
Die Methodik in fünf Schritten
Der BSI-Standard 300-1 gliedert den Sicherheitsprozess in fünf Prozessschritte. Jeder Schritt ist ein eigenes Kapitel des Standards.
- Erhebung und PlanungKontext, Anwendungsbereich, Geschäftsprozesse, Schutzbedarf, Leitlinie, Rollen
- AnforderungsanalyseInformationsverbund, Assets, Zielobjektkategorien, Blaupausen, Anforderungspaket
- RealisierungUmsetzungsstatus, Risikobetrachtung, Umsetzungsplanung, Fortschritt
- ÜberwachungLeistungsbewertung, internes Audit, Managementbewertung, Monitoring
- Kontinuierliche VerbesserungNicht-Konformitäten, Verbesserungspotenziale
Drei Wege zu Grundschutz++
Bestehendes Zertifikat nach IT-Grundschutz
Ihr Zertifikat bleibt gültig, Überwachungs- und Re-Zertifizierungsaudits laufen weiter. Planen Sie den Wechsel in einen Re-Zertifizierungszyklus vor dem 30.11.2031.
ISMS nach ISO 27001 nativ
Grundschutz++ bildet die Kapitel 4 bis 10 der ISO/IEC 27001 in seinen Methodik-Anforderungen ab. Der Anwenderkatalog kann Ihr Maßnahmenwerk für den Stand der Technik liefern.
Neuaufbau
Wer jetzt neu beginnt, startet sinnvoll direkt mit der Geschäftsprozessanalyse nach 300-1 und prüft die Early-Adopter-Phase 2027.
Häufige Fragen
Was ist der BSI-Standard 300-1?
Der BSI-Standard 300-1 „Methodik Grundschutz++“ beschreibt, wie eine Institution nach Grundschutz++ ein Informationssicherheitsmanagementsystem (ISMS) aufbaut und betreibt. Das BSI hat ihn am 26.10.2026 veröffentlicht (Version 1.0 vom 20.10.2026). Er führt in fünf Prozessschritten entlang des PDCA-Zyklus zu einem ISMS, das mit ISO/IEC 27001 kompatibel ist.
Was ist neu gegenüber dem bisherigen IT-Grundschutz?
Grundschutz++ setzt an den Geschäftsprozessen an statt an einzelnen Zielobjekten. Der Schutzbedarf wird je Geschäftsprozess als „normal“ oder „hoch“ festgelegt, Basis-, Kern- und Standard-Absicherung entfallen. Anforderungen kommen aus dem maschinenlesbaren Anwenderkatalog der Stand-der-Technik-Bibliothek, und die Methode der Risikobetrachtung ist frei wählbar, solange 35 Mindestkriterien erfüllt sind.
Ab wann kann nach Grundschutz++ zertifiziert werden?
Zertifizierungsanträge für ISO 27001 auf Basis von Grundschutz++ sind laut Meilensteinplan des BSI ab dem 01.01.2027 möglich. Ein Prüf- und Zertifizierungsschema für Grundschutz++ war am 26.10.2026 noch nicht veröffentlicht.
Wie lange gilt der klassische IT-Grundschutz?
Der klassische IT-Grundschutz nach den BSI-Standards 200-1 bis 200-3 und dem IT-Grundschutz-Kompendium bleibt bis zum 30.11.2031 zertifizierbar. Ein sofortiger Umstieg ist nicht erforderlich.
Muss bei Grundschutz++ immer eine Risikoanalyse gemacht werden?
Nein. Bei normalem Schutzbedarf hat das BSI die Risikobetrachtung im Anwenderkatalog vorweggenommen. Eine eigene Risikobetrachtung ist nötig bei hohem Schutzbedarf, bei Assets, die keine Zielobjektkategorie abdeckt, und bei dauerhaft nicht erfüllten SOLLTE-Anforderungen.
Kann eine MUSS-Anforderung per Risikoakzeptanz entfallen?
Nein. Nach Kapitel 4.1.2 des BSI-Standards 300-1 sind MUSS-Anforderungen verpflichtend. Eine Risikobetrachtung ersetzt ihre Erfüllung nicht, Ausnahmegenehmigung und Risikoakzeptanz sind ausgeschlossen.
Was ist OSCAL und warum ist es für Grundschutz++ wichtig?
OSCAL (Open Security Controls Assessment Language) ist ein vom NIST entwickeltes, maschinenlesbares Format für Sicherheitsanforderungen. Das BSI stellt die Anforderungen von Grundschutz++ im Anwenderkatalog der Stand-der-Technik-Bibliothek in OSCAL bereit. ISMS-Werkzeuge können den Katalog dadurch direkt einlesen, und Nachweise lassen sich jeder Anforderung eindeutig zuordnen.
Was wird aus WiBA und dem Testat nach Basis-Absicherung?
Grundschutz++ kennt die Basis-Absicherung als Vorgehensweise nicht mehr. Der BSI-Standard 300-1 regelt keine Testate; wie es mit dem Testat unterhalb der Zertifizierung weitergeht, ist offen. Der klassische IT-Grundschutz bleibt bis 30.11.2031 zertifizierbar. Das BSI hatte angekündigt, die WiBA-Checklisten in Grundschutz++ aufzunehmen. Für Förderprogramme, die ein Testat Basis-Absicherung verlangen, bleibt es vorerst der maßgebliche Nachweis.
Wird der BSI-Standard 200-3 durch einen Standard 300-3 ersetzt?
Ein eigener Nachfolgestandard für die Risikoanalyse ist bislang nicht angekündigt (Stand 27.10.2026). Grundschutz++ regelt die Risikobetrachtung im BSI-Standard 300-1 selbst: Bei normalem Schutzbedarf ist keine eigene Risikobetrachtung nötig, darüber hinaus ist die Methode frei wählbar, etwa nach ISO/IEC 27005 oder ISO 31000. Verbindlich sind die Mindestkriterien in Anhang 3. Für den klassischen IT-Grundschutz bleibt der BSI-Standard 200-3 bis zum 30.11.2031 maßgeblich.
Gibt es schon ein Auditierungs- und Zertifizierungsschema für Grundschutz++?
Noch nicht (Stand 27.10.2026). Das BSI nimmt ab dem 01.01.2027 Zertifizierungsanträge für ISO 27001 auf Basis von Grundschutz++ an und bietet ab dem ersten Quartal 2027 Fortbildungen für GS++-Berater und GS++-Auditteamleiter an. Das bestehende Auditierungsschema bezieht sich auf das IT-Grundschutz-Kompendium. Ein Schema für Grundschutz++ und Aussagen zum Testat stehen aus.
Ersetzt ein ISMS nach Grundschutz++ die Pflichten aus dem Cyber Resilience Act?
Nein. Der Cyber Resilience Act regelt die Sicherheit von Produkten mit digitalen Elementen, Grundschutz++ die Informationssicherheit der Organisation. Prozesse für Schwachstellen, Vorfälle und Lieferanten lassen sich aber gemeinsam nutzen. Die Meldepflichten des CRA gelten seit dem 11.09.2026, die übrigen Pflichten ab dem 11.12.2027.
Wie hängen Grundschutz++ und die TOM nach DSGVO zusammen?
Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik. Das Anforderungspaket nach Grundschutz++ mit seinem Umsetzungsstatus kann als Grundlage der TOM-Dokumentation und der TOM-Anlage zum Auftragsverarbeitungsvertrag dienen. Die Datenschutz-Folgenabschätzung bleibt eine eigene Prüfung aus Sicht der betroffenen Personen.
Was wird aus dem BSI-Standard 200-4?
Der BSI-Standard 200-4 zum Business Continuity Management wird durch 300-1 nicht ersetzt. Kapitel 2.5 des neuen Standards nennt bestehende Managementsysteme wie ein BCMS ausdrücklich als Quelle für die Identifizierung der Geschäftsprozesse. Eine Business-Impact-Analyse nach 200-4 ist damit ein guter Startpunkt für Grundschutz++.