Was Grundschutz++ ist
Grundschutz++ besteht aus zwei Teilen. Der BSI-Standard 300-1 „Methodik Grundschutz++“ beschreibt auf 42 Seiten, wie eine Institution ein Informationssicherheitsmanagementsystem (ISMS) aufbaut und weiterentwickelt. Der Anwenderkatalog Grundschutz++ enthält die technischen und organisatorischen Anforderungen; auf seiner Themenseite schreibt das BSI: „Die normativen Aspekte der Methodik wurden in entsprechende Anforderungen überführt. Der Anwenderkatalog umfasst somit alle Grundschutz++ Anforderungen.“ Der Katalog ist Teil der Stand-der-Technik-Bibliothek, die laut BSI das IT-Grundschutz-Kompendium ablöst.
Die Methodik folgt dem PDCA-Zyklus und hat fünf Prozessschritte: Erhebung und Planung, Anforderungsanalyse, Realisierung, Überwachung und kontinuierliche Verbesserung. Sie beginnt bei den Geschäftsprozessen der Institution. Für jeden Geschäftsprozess wird der Schutzbedarf festgestellt, und zwar in nur noch zwei Kategorien, „normal“ und „hoch“. Bei der ersten Einführung empfiehlt der Standard, mit dem wichtigsten Geschäftsprozess der höchsten Schutzbedarfskategorie anzufangen und die übrigen Prozesse des Anwendungsbereichs danach schrittweise zu untersuchen.
Die Anforderungen liegen im Format OSCAL als JSON vor. Das BSI schreibt dazu: „Dadurch wird die Prüfung der Anforderungen automatisierbar.“ 300-1 lässt automatisierte Konfigurationsprüfungen und technische Scans als Verfahren zur Ermittlung des Umsetzungsstatus ausdrücklich zu; zu dokumentieren sind dann das eingesetzte Werkzeug, der Zeitpunkt der Prüfung und das Ergebnis (Kapitel 4.1 und 4.3).
Im Build vom 29.10.2026 zählen wir im Anwenderkatalog 1.000 Anforderungen in 20 Praktiken, davon 773 mit dem Sicherheitsniveau „normal-SdT“ und 227 mit „erhöht“ (eigene Auszählung über alle Verschachtelungsebenen am 01.11.2026). Der Katalog wird laufend neu gebaut; Zahlen gelten deshalb nur mit Build-Datum.
Die Version 1.0 des Standards richtet sich laut Einleitung in erster Linie an „Early Adopters“, also erfahrene Institutionen, die Grundschutz++ früh einführen wollen. Ihre Erfahrungen sollen in die weitere Entwicklung einfließen.
Was sich gegenüber dem klassischen IT-Grundschutz ändert
Wer mit dem klassischen IT-Grundschutz nach BSI-Standard 200-2 und dem Kompendium gearbeitet hat, findet vieles wieder: Informationsverbund, Schutzbedarf, Leitlinie, Rollen, elementare Gefährdungen. Geändert haben sich vor allem das Datenmodell, die Bewertungslogik und die Art der Nachweise. Die wichtigsten Punkte in Kurzform:
- Schutzbedarf: zwei Kategorien je Geschäftsprozess statt drei Kategorien („normal“, „hoch“, „sehr hoch“), die nach 200-2 von Geschäftsprozessen und Anwendungen auf IT-Systeme, Räume und Kommunikationsverbindungen vererbt werden.
- Modellierung: Assets werden 39 Zielobjektkategorien zugeordnet (Anhang 1 von 300-1), übergeordnete Kategorien gelten mit. Anforderungen ohne Zielobjektkategorie gehören immer ins Anforderungspaket.
- Bewertung: Umsetzungsstatus „erfüllt“, „nicht erfüllt“ oder „nicht anwendbar“ mit Begründung. Ein „teilweise“, wie es der IT-Grundschutz-Check nach 200-2 kennt, sieht 300-1 nicht vor.
- Modalverben: MUSS-Anforderungen lassen keine Ausnahmegenehmigung und keine Risikoakzeptanz zu. Nicht erfüllte SOLLTE-Anforderungen werden als temporär oder dauerhaft eingeordnet, Anforderungen mit „erhöht“ sind nach 300-1 KANN-Anforderungen und optional (Kap. 3.4.2); im Build vom 29.10.2026 haben drei von ihnen noch das Modalverb SOLLTE (BES.1.4, DET.4.12.1, REA.2.5).
- Risiko: Bei normalem Schutzbedarf ist grundsätzlich keine eigene Risikobetrachtung nötig. Erforderlich ist sie bei hohem Schutzbedarf eines Geschäftsprozesses, bei Assets, die durch die Zielobjektkategorien nicht hinreichend abgedeckt sind, und bei dauerhaft nicht erfüllten SOLLTE-Anforderungen (Kap. 2.11). Die Methode ist frei, muss aber 35 Mindestkriterien erfüllen (Anhang 3).
Die vollständige Gegenüberstellung mit Folgen für Daten, Rollen, Dokumente und Nachweise steht im Vergleich IT-Grundschutz 2023 und Grundschutz++. Wie der Standard Kapitel für Kapitel zu lesen ist, zeigt die Seite zum BSI-Standard 300-1.
Drei Einstiegswege
Welcher Weg passt, hängt vor allem davon ab, was schon da ist. Die folgende Übersicht ordnet drei typische Ausgangslagen. Sie ersetzt keine Einzelfallentscheidung; die Entscheidungstabelle mit weiteren Ausgangslagen, etwa Bundesverwaltung, Dienstleister mit Auftraggebervorgabe oder NIS2-Einrichtung, steht unter Umstieg entscheiden.
| Weg | Ausgangslage | Was Grundschutz++ für Sie bedeutet | Erste Schritte |
|---|---|---|---|
| 1. Neuaufbau | Noch kein ISMS oder nur einzelne Richtlinien; ein Nachweis soll 2027 oder später entstehen. | Sie starten direkt nach 300-1. Wer nach dem klassischen Grundschutz neu aufbaut und auch nach dem 30.11.2031 ein Zertifikat braucht, muss vorher noch einmal umbauen (unsere Einschätzung). | Geschäftsprozesse erfassen (Anhang 2 von 300-1), Schutzbedarf je Prozess feststellen, mit dem wichtigsten Prozess der höchsten Kategorie beginnen, Anwendungsbereich und Ressourcen von der Leitung freigeben lassen. |
| 2. Umstieg aus dem klassischen Grundschutz | ISMS nach BSI-Standard 200-2 und Kompendium, mit oder ohne Zertifikat nach ISO 27001 auf Basis von IT-Grundschutz. | Kein Sofortzwang aus dem Meilensteinplan: Die Zertifizierbarkeit des klassischen Grundschutz endet am 30.11.2031. Vorhandene Asset-, Netz- und Raumdaten dürfen nach 300-1 genutzt werden (Kapitel 3.1 und 3.2). Schutzbedarf, Modellierung und Statuswerte sind nach der neuen Logik aufzusetzen, Leitlinie und Rollen gegen Kapitel 2.7 und 2.8 zu prüfen. | Umstiegszeitpunkt an Ihren Zertifizierungs- oder Überarbeitungsterminen ausrichten, Bestand gegen 300-1 abgleichen, Risikomethode gegen die 35 Mindestkriterien prüfen, die Zuordnungstabelle des BSI als Entwurf nutzen. |
| 3. Bestehendes ISO-ISMS | ISMS nach ISO/IEC 27001 ohne Grundschutz-Bezug; ein Auftraggeber oder die eigene Leitung fragt nach Grundschutz. | 300-1 ordnet seinen ersten Prozessschritt den Kapiteln 4 und 5 der Norm zu, die Methodik-Anforderungen bilden laut Standard die Kapitel 4 bis 10 ab. Die Managementsystem-Teile Ihres ISMS sind deshalb der Ausgangspunkt für den Abgleich. Hinzu kommen das Anforderungspaket aus Zielobjektkategorien, die Statuslogik und die Mindestkriterien für das Risikoverfahren. | Klären, welcher Nachweis verlangt wird, Geschäftsprozesse und Schutzbedarf nach 300-1 nachziehen, Assets den Zielobjektkategorien zuordnen, vorhandenes Risikoverfahren gegen Anhang 3 prüfen. |
Für Weg 2 beschreibt die Seite Migration nach Grundschutz++ die Arbeitspakete im Einzelnen. Welche Begriffe und Dokumente der klassische Grundschutz kennt, erklärt die Seite BSI IT-Grundschutz.
Was zeitlich feststeht
Das BSI führt einen Meilensteinplan, den es nach eigener Aussage laufend anpasst. Im Stand Oktober 2026 stehen dort unter anderem: Schulungskonzepte für GS++-Praktiker und GS++-Berater am 30.11.2026, ein Anwendungsbeispiel anhand der fiktiven Beispielbehörde „BDIT“ im Dezember 2026, Zertifizierbarkeit am 01.01.2027, ein Konzept zur Leistungsmessung am 26.02.2027, Leistungskennzahlen für jede Methodik-Anforderung am 31.03.2027, eine Early-Adopter-Phase vom ersten Quartal 2027 bis 31.12.2027 und das Ende der Zertifizierbarkeit des klassischen IT-Grundschutz am 30.11.2031.
Das Datum 30.11.2031 ist ein Termin des BSI für sein Zertifizierungsverfahren. Eine gesetzliche Frist ist es nicht. Alle Termine mit Status, Quelle und Folge für die eigene Planung stehen im Zeitplan zu Grundschutz++.
Muss ich Grundschutz++ anwenden?
Für Einrichtungen der Bundesverwaltung verweist § 44 Abs. 1 BSIG auf Mindestanforderungen aus den BSI-Standards, dem Grundschutzkompendium (IT-Grundschutz) und den Mindeststandards des Bundes „in den jeweils geltenden Fassungen“, die das BSI auf seiner Internetseite veröffentlicht. Ab wann Grundschutz++ in diesem Sinn gilt, legen die Themenseite des BSI und 300-1 nicht ausdrücklich fest; das prüft die zuständige Stelle Ihrer Einrichtung. Für besonders wichtige und wichtige Einrichtungen nach § 30 BSIG gilt: Die Maßnahmen sollen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen. Ein bestimmtes Rahmenwerk schreibt § 30 nicht vor. Grundschutz++ ist dort einer von mehreren Wegen.
Häufig entsteht der Bedarf aus Verträgen, etwa wenn ein öffentlicher Auftraggeber einen Grundschutz-Nachweis verlangt. Ob und in welcher Form eine Pflicht für Ihre Institution besteht, ist eine Rechtsfrage zur Prüfung durch Ihre Rechtsabteilung. Wir liefern dazu die technische Einschätzung, was der jeweilige Weg fachlich verlangt.
Was noch offen ist
Grundschutz++ ist anwendbar, aber nicht in allen Teilen fertig. Stand 01.11.2026:
- Leistungsbewertung und Kennzahlen: 300-1 schreibt in Kapitel 5.1, dass einheitliche Vorgaben noch ausstehen und die Institutionen bis dahin frei in der Ausgestaltung sind. Konzept und Kennzahlen kündigt das BSI für Februar und März 2027 an.
- Katalog und Standard: Der Anwenderkatalog ist noch nicht in allen Punkten an 300-1 angeglichen. Im Build vom 29.10.2026 beschreibt die Erläuterung zu UMS.1.1 weiterhin nur die Statuswerte „umgesetzt“ und „nicht umgesetzt“, der Standard kennt drei Werte.
- Zuordnung 2023 zu Grundschutz++: Die Zuordnungstabelle des BSI vom IT-Grundschutz-Kompendium 2023 auf Grundschutz++ hat den Status „draft“ (Stand 21.07.2026). Jede daraus abgeleitete Zuordnung ist ein Entwurf.
- Blaupausen: 300-1 sieht vor, dass es für bestimmte Institutionen verpflichtende Blaupausen geben kann. Welche das sind, ist noch nicht festgelegt.
- Andere BSI-Standards: 300-1 erwähnt die Standards 200-1 bis 200-3 nicht und sagt nichts dazu, ob sie formal zurückgezogen werden. Der BSI-Standard 200-4 zum Business Continuity Management wird durch 300-1 nicht abgelöst. Für 2027 und später kündigt das BSI an, andere Managementsysteme in Grundschutz++ zu integrieren; was das für 200-4 bedeutet, ist offen.
Was Sie auf dieser Website finden
Die Seiten sind nach Aufgaben geordnet. Jede Seite hat ein Arbeitsergebnis, das Sie direkt verwenden können: eine Tabelle, eine Checkliste oder ein durchgerechnetes Beispiel.
- Grundschutz++ verstehen: BSI-Standard 300-1, Vergleich mit IT-Grundschutz 2023, Zeitplan, klassischer IT-Grundschutz.
- Umstieg entscheiden: Entscheidungstabelle je Ausgangslage, Migration.
- Methodik anwenden: Informationsverbund, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Abweichungen, Risikoanalyse, Risiko-Mindestkriterien, Sicherheitskonzept.
- Katalog und Nachweise: Anwenderkatalog, Nachweisplan, Zertifizierung.
- Beratung: Beratung zu IT-Grundschutz und Grundschutz++, Bestandsbewertung und Migrationskonzept.
Beraten wird im Team von Blackfort Technology. Themen außerhalb von Grundschutz, etwa ISMS-Beratung nach ISO 27001, externer Informationssicherheitsbeauftragter, BSI C5 oder NIS2-Umsetzung, finden Sie auf https://www.blackfort-tec.de.