Was sich ändert
| Thema | IT-Grundschutz (200-x) | Grundschutz++ (300-1) |
|---|---|---|
| Ausgangspunkt | Zielobjekte, Modellierung mit Bausteinen | Geschäftsprozesse und ihre Assets |
| Schutzbedarf | normal, hoch, sehr hoch | normal oder hoch, je Geschäftsprozess |
| Vorgehensweise | Basis-, Kern- oder Standard-Absicherung | entfällt; Sicherheitsniveau normal-SdT oder erhöht |
| Anforderungen | IT-Grundschutz-Kompendium (Edition 2023) | Anwenderkatalog der Stand-der-Technik-Bibliothek, OSCAL |
| Risikoanalyse | BSI-Standard 200-3 | Methode frei wählbar, 35 Mindestkriterien (Anhang 3) |
| Gruppenbildung | geregelt in 200-2, Kap. 8.1.1 | kein direktes Gegenstück, Modellierung je Asset |
| Zertifizierung | bis 30.11.2031 | Anträge ab 01.01.2027 |
Fahrplan nach Re-Zertifizierungszyklus
Re-Zertifizierung 2027 oder 2028
Sie können beim klassischen IT-Grundschutz bleiben und den Wechsel im folgenden Zyklus planen. Oder Sie steigen als Early Adopter ein. Das lohnt sich vor allem, wenn Ihre Geschäftsprozesse bereits sauber dokumentiert sind.
Re-Zertifizierung 2029 bis 2031
Nutzen Sie die Zeit bis dahin für Prozesslandkarte, Asset-Erfassung und Risikomethode. Die letzte Re-Zertifizierung nach klassischem IT-Grundschutz muss so liegen, dass der Wechsel vor dem 30.11.2031 gelingt.
Ohne Zertifikat
Für ISMS ohne Zertifizierungsdruck gilt: Neue Teile direkt nach 300-1 aufbauen, Bestehendes schrittweise überführen.
Die Brücke über das Notfallmanagement
Kapitel 2.5 des BSI-Standards 300-1 nennt bestehende Managementsysteme, ausdrücklich das BCMS, als Quelle für die Identifizierung der Geschäftsprozesse. Wer nach BSI-Standard 200-4 eine Business-Impact-Analyse durchgeführt hat, kennt seine zeitkritischen Prozesse und deren Abhängigkeiten bereits.
Der BSI-Standard 200-4 wird durch 300-1 nicht ersetzt. Beide setzen am Geschäftsprozess an: Grundschutz++ für den Schutzbedarf, 200-4 für die BIA. Führen Sie BIA und Prozesslandkarte zusammen: Das ist der kürzeste Weg vom klassischen IT-Grundschutz zu Grundschutz++. Überlappungen im Detail →
Fünf Fragen für Betreiber
- Zyklus: Wann steht Ihre nächste Re-Zertifizierung an, und wann muss der Wechsel spätestens erfolgen?
- Prozesse: Sind die Geschäftsprozesse im Anwendungsbereich dokumentiert, mit Bezug zu den Institutionszielen?
- Assets: Können Sie jedes relevante Asset einem Geschäftsprozess und einer Zielobjektkategorie zuordnen?
- Risikomethode: Erfüllt Ihre heutige Methode die 35 Mindestkriterien aus Anhang 3?
- Werkzeug: Kann Ihr ISMS-Tool den Anwenderkatalog im Format OSCAL verarbeiten?