Drei Stufen, drei verschiedene Belege
Laut BSI ermöglicht ein Curriculum für Schulungsanbieter „eine zweistufige Weiterbildung“: zuerst eine IT-Grundschutz-Basisschulung mit anschließender Prüfung zum IT-Grundschutz-Praktiker, danach die Zertifizierung zum IT-Grundschutz-Berater. Die Schulungen führen Schulungsanbieter durch. Die Inhalte aus dem Curriculum sind dabei „verbindlich umzusetzen“; das individuelle Schulungskonzept eines Anbieters nimmt das BSI aber nicht ab.
Für die Auswahl heißt das: Wer eine Schulung besucht, erhält eine Teilnahmebescheinigung. Wer zusätzlich die Prüfung zum Praktiker besteht, hat ein Prüfungsergebnis des Schulungsanbieters. Zertifiziert durch das BSI ist eine Person erst als IT-Grundschutz-Berater.
| Stufe | Wer sie durchführt | Was sie belegt | Fundstelle |
|---|---|---|---|
| Teilnahmebescheinigung einer Schulung | Schulungsanbieter | Teilnahme an einer Basisschulung (24 Unterrichtseinheiten) oder einer Aufbauschulung (16 Unterrichtseinheiten), eine Unterrichtseinheit sind 60 Minuten | BSI-Seite zu den Schulungen; Programm, Kap. 2.1.2.5 (Teilnahmebescheinigungen als Nachweis) |
| IT-Grundschutz-Praktiker | Prüfung durch den Schulungsanbieter, nach einheitlichen Prüfungsbedingungen des BSI; Teilnahme auch ohne vorherige Schulung möglich | bestandene Prüfung nach der Basisschulung oder nach Selbststudium | BSI-Seite zu den Schulungen; Programm, Kap. 2.1.2.4 |
| IT-Grundschutz-Berater | BSI: Antrag, Prüfung der Nachweise, Prüfung beim BSI, Personenzertifizierung | Zertifizierung durch das BSI für einen dreijährigen Zertifizierungszeitraum | BSI-Seite zum IT-Grundschutz-Berater; Programm, Kap. 2 und 3.3 |
Die BSI-Seite zu den Schulungen sagt dazu ausdrücklich: „Prüfungen zum IT-Grundschutz-Berater werden nur durch das BSI angeboten.“ Wer eine Schulung als „Berater-Schulung“ bucht, besucht also die Aufbauschulung; zertifiziert ist er danach noch nicht.
Der Weg zum IT-Grundschutz-Berater in sechs Schritten
- Basisschulung oder Selbststudium. Das Programm lässt beides zu (Kap. 2.1.2.4).
- Prüfung zum IT-Grundschutz-Praktiker bei einem Schulungsanbieter.
- Aufbauschulung zum IT-Grundschutz-Berater bei einem Schulungsanbieter.
- Antrag beim BSI mit allen Nachweisen der Zulassungsvoraussetzungen. Die BSI-Seite verlangt, die Nachweise „vollständig mit Antragstellung einzureichen“, zusammen mit einer Kostenübernahmeerklärung.
- Prüfung beim BSI. Die Fachkompetenz wird mit einem Multiple-Choice-Test bewertet. Wer nicht besteht, kann die Prüfung innerhalb von sechs Monaten einmal als Einzelprüfung wiederholen; eine zweite Wiederholung ist nicht möglich (Programm, Kap. 2.2).
- Personenzertifizierung, wenn alle Nachweise erbracht sind und die Prüfung bestanden ist.
Danach gelten Pflichten im laufenden Zertifizierungszeitraum: Vertraulichkeit, Orientierung am Stand der Technik und Auskunft über Ablauf und Inhalt der Beratung (Programm, Kap. 3.1 und 4). Das BSI kann die Tätigkeit stichprobenartig überwachen (Kap. 3.2). Wer zugleich als Auditteamleiter zertifiziert ist, darf eine Institution, die er zuvor beraten hat, nicht auditieren (Kap. 3.1).
Zulassungsvoraussetzungen nach dem Programm IT-Grundschutz-Berater 2.1
Das Programm in der Version 2.1 vom 01.02.2026 prüft vier Voraussetzungen anhand externer Nachweise; dazu gehören ein Lebenslauf mit Ausbildungs- und Arbeitshistorie und eine aktuelle Arbeitgeberbescheinigung mit Art und Umfang der Beschäftigung (Kap. 2.1.2). Die Tabelle fasst die Angaben zusammen; verbindlich ist das Programm selbst.
| Voraussetzung | Was das Programm verlangt | Nachweis | Kapitel |
|---|---|---|---|
| Bildungsabschluss | abgeschlossene Ausbildung mit grundlegenden Kenntnissen für die Tätigkeit, etwa im Bereich IT, oder ein Hochschulstudium; sonst vergleichbare berufsbegleitende Fortbildungen; ersatzweise mindestens acht Jahre einschlägige Berufserfahrung in der IT, davon mindestens fünf in der Informationssicherheit | Lebenslauf, Abschlusszeugnis, gegebenenfalls Fortbildungsbescheinigungen oder Bestätigung eines Dritten über die Berufserfahrung | 2.1.2.1 |
| Berufserfahrung | in den letzten acht Jahren mindestens fünf Jahre praktische Berufserfahrung in der IT, gerechnet auf Vollzeit, davon mindestens zwei Jahre in der Informationssicherheit; außerdem mindestens fünf Jahre Erfahrung bei der Umsetzung von IT-Grundschutzanforderungen | Zeugnis oder Bestätigung eines unabhängigen Dritten mit kurzer Tätigkeitsbeschreibung | 2.1.2.2 |
| Praxiserfahrung | in den drei Jahren vor dem Antrag leitende Mitwirkung als Berater oder Experte an externen Beratungsprojekten zur vollständigen Einführung eines ISMS nach BSI-Standard 200-2 oder zur Erstellung von Sicherheitskonzepten, Notfallkonzepten oder Risikodokumentation nach IT-Grundschutz, insgesamt mindestens 40 Personentage; IT-Grundschutz muss wesentlicher Bestandteil gewesen sein | vom Auftraggeber oder Arbeitgeber bestätigte Kurzberichte mit Zielen, Grundlagen, Rolle, Zeitraum und Umfang; anonymisiert möglich | 2.1.2.3 |
| Qualifikation | Basisschulung oder Selbststudium, bestandene Prüfung zum IT-Grundschutz-Praktiker, Teilnahme an der Aufbauschulung | Nachweis der erfolgreichen Teilnahme an einer mindestens dreitägigen Basisschulung und Besuch einer mindestens zweitägigen Aufbauschulung bei einem qualifizierten Schulungsanbieter | 2.1.2.4 |
Ein Punkt sollte vor dem Antrag geklärt sein: Das Programm nennt bei der Anforderung „Basisschulung oder Selbststudium“, beim Nachweis aber die Teilnahme an einer mindestens dreitägigen Basisschulung. Ob die bestandene Praktiker-Prüfung nach Selbststudium als Nachweis genügt, beantwortet die Personenzertifizierungsstelle des BSI; die Kontaktadresse steht auf der BSI-Seite zum IT-Grundschutz-Berater.
Die Anforderungen an die Fachkompetenz stehen in Kap. 2.1.3: vorausgesetzt werden unter anderem Kenntnisse der BSI-Standards 200-1 bis 200-4; in der Prüfung beim BSI nachzuweisen sind unter anderem die Normenreihe ISO 27000, das IT-Grundschutz-Kompendium, der IT-Grundschutz-Check und die Risikoanalyse nach BSI-Standard 200-3. BSI-Standard 300-1 und Grundschutz++ kommen in der Version 2.1 nicht vor.
Gültigkeit, Rezertifizierung und öffentliche Liste
Das Programm spricht vom „aktuellen 3-jährigen Zertifizierungszeitraum“ (Kap. 3.3). Für die Rezertifizierung sind rechtzeitig ein Antrag und vom Auftraggeber unterschriebene Tätigkeitsnachweise einzureichen. Verlangt wird eine federführende Mitwirkung an Beratungsprojekten im Umfang von 40 Personentagen aus dem laufenden Zeitraum, mit denselben Zielen wie bei der Erstzertifizierung. An den Terminen des BSI zum Erfahrungsaustausch sollte die Person teilgenommen haben, sofern solche angeboten werden.
Das BSI führt eine öffentliche Liste der zertifizierten IT-Grundschutz-Berater mit Zertifikatsnummer, Name, Anschrift und dem Datum, bis zu dem das Zertifikat gültig ist. Nach Kap. 3.4 des Programms erfolgt die Veröffentlichung, „sofern“ die zertifizierte Person es wünscht. Ein Eintrag in der Liste belegt also die Zertifizierung; ein fehlender Eintrag belegt allein nicht das Gegenteil. Im Zweifel fragen Sie nach der Zertifikatsnummer und dem Gültigkeitsdatum und gleichen beides mit der Liste ab, oder Sie wenden sich an die Personenzertifizierungsstelle.
Zum Antrag gehört eine Kostenübernahmeerklärung; für die Kostenabrechnung verweist das BSI auf die BMIBGebV. Beträge nennen wir hier nicht; es gelten die Angaben des BSI.
Was mit Grundschutz++ kommt
Der Meilensteinplan des BSI (Stand Oktober 2026) kündigt für die Personenqualifikation drei Schritte an:
| Termin laut BSI | Angekündigt | Status am 01.11.2026 |
|---|---|---|
| 30. November 2026 | Veröffentlichung von Schulungskonzepten für die Ausbildung zum GS++-Praktiker und GS++-Berater | angekündigt |
| 1. Januar 2027 | Anträge auf Zertifizierung nach ISO 27001 auf Basis von Grundschutz++ möglich, „ebenso für die Zertifizierung zum GS++-Berater und GS++-Auditteamleiter“ | angekündigt |
| 1. Quartal 2027 | gesonderte Fortbildung für bereits zertifizierte IT-Grundschutz-Berater und Auditteamleiter zur Zertifizierung als GS++-Berater und GS++-Auditteamleiter | angekündigt |
Zulassungsvoraussetzungen für den GS++-Berater hat das BSI in den hier ausgewerteten Quellen noch nicht veröffentlicht. Bis die Schulungskonzepte vorliegen, sagt eine Schulung mit dem Etikett „Grundschutz++“ nichts darüber, ob sie auf eine künftige Prüfung vorbereitet. Fragen Sie beim Anbieter nach, auf welches Curriculum sich der Kurs stützt. Was sich methodisch ändert, steht auf der Seite BSI-Standard 300-1, alle Termine mit Quelle im Zeitplan zu Grundschutz++.
Arbeitsergebnis: Auswahlcheckliste
Teil A: eine Schulung auswählen
| Prüffrage | Woran Sie es erkennen | Quelle für den Abgleich |
|---|---|---|
| Ist der Anbieter in der Übersicht des BSI aufgeführt? | Das BSI veröffentlicht einen Link auf das Angebot, nachdem der Anbieter eine Selbsterklärung abgegeben hat. Prüfen Sie, ob der Link für die gewünschte Stufe gesetzt ist (Praktiker, Berater). Die Aufnahme heißt nicht, dass das BSI das Schulungskonzept abgenommen hat. | BSI-Seite zu den Schulungen, Liste der Schulungsanbieter |
| Welche Stufe bucht man? | Basisschulung zum Praktiker mit 24 Unterrichtseinheiten oder Aufbauschulung zum Berater mit 16 Unterrichtseinheiten | BSI-Seite zu den Schulungen |
| Ist die Praktiker-Prüfung enthalten? | Die Prüfung kann der Anbieter anbieten; ob er es tut, zeigt die Spalte „Link zur Prüfung“ in der Übersicht des BSI | BSI-Seite zu den Schulungen |
| Was steht auf der Bescheinigung? | Teilnahme, bestandene Prüfung oder beides; für den späteren Antrag braucht es den Nachweis der erfolgreichen Teilnahme an der Basisschulung und den Besuch der Aufbauschulung | Programm, Kap. 2.1.2.4 |
| Wie lang ist die Schulung? | Für den Antrag mindestens drei Tage Basisschulung und mindestens zwei Tage Aufbauschulung | Programm, Kap. 2.1.2.4 |
| Auf welchen Stand stützt sich der Inhalt? | Curriculum des BSI (Stand 16.09.2024); bei Kursen zu Grundschutz++ nachfragen, ob schon das angekündigte Schulungskonzept zugrunde liegt | BSI-Seite zu den Schulungen (Curriculum), Meilensteinplan |
| Reicht die eigene Praxis für den späteren Antrag? | fünf Jahre Umsetzung von IT-Grundschutzanforderungen und leitende Projektmitwirkung im geforderten Umfang aus den letzten drei Jahren, belegbar durch bestätigte Kurzberichte | Programm, Kap. 2.1.2.2 und 2.1.2.3 |
Teil B: die Qualifikation einer Person einordnen
| Prüffrage | Was ein belastbarer Beleg ist | Was allein nicht genügt |
|---|---|---|
| Welche Qualifikation verlangt Ihr Vorhaben? | die konkrete Anforderung aus Vergabeunterlagen oder Vertrag, etwa Zertifikat als IT-Grundschutz-Berater, bestandene Praktiker-Prüfung oder Projekterfahrung mit einer bestimmten Grundlage | die Forderung nach einer „BSI-Zertifizierung“ ohne Angabe, welche gemeint ist |
| Ist ein Zertifikat als IT-Grundschutz-Berater verlangt: liegt es vor? | Zertifikatsnummer und Gültigkeitsdatum, abgeglichen mit der Liste des BSI oder bestätigt durch die Personenzertifizierungsstelle | die Bezeichnung „Grundschutz-Berater“ im Profil; eine Teilnahmebescheinigung der Aufbauschulung |
| Ist das Zertifikat noch gültig? | Datum in der Spalte „gültig bis“ der BSI-Liste | ein Zertifikat ohne Gültigkeitsangabe |
| Hat die Person die Praktiker-Prüfung bestanden? | Prüfungsnachweis des Schulungsanbieters | Teilnahme an der Basisschulung ohne Prüfungsnachweis |
| Passt die Erfahrung zu Ihrem Vorhaben? | Projektberichte mit Ziel, Grundlage (zum Beispiel 200-2), Rolle und Zeitraum; die Programmvorgaben zeigen, welche Angaben sich belegen lassen | allgemeine Angaben zu „Grundschutz-Erfahrung“ ohne Rolle und Gegenstand |
| Gibt es einen Rollenkonflikt? | klare Trennung: Wer Ihr ISMS beraten hat, auditiert es nicht als Auditteamleiter | eine Zusage ohne Benennung der Personen für Beratung und Audit |
| Bezieht sich die Qualifikation auf Grundschutz++? | ab 2027 eine Zertifizierung als GS++-Berater, sobald das BSI sie erteilt | vor diesem Zeitpunkt jede Angabe, man sei für Grundschutz++ zertifiziert |
Die Checkliste ersetzt keine Eignungsprüfung. Ob ein Zertifikat für eine Ausschreibung oder einen Vertrag gefordert ist, steht in Ihren Vergabeunterlagen; ob es rechtlich erforderlich ist, prüft Ihre Rechtsabteilung.
Personenzertifizierung und Zertifizierung der Institution
Die Personenzertifizierung betrifft Personen; Ihr ISMS wird in einem eigenen Verfahren zertifiziert. Wie die Zertifizierung einer Institution nach ISO 27001 auf Basis von IT-Grundschutz abläuft, ab 2027 auch auf Basis von Grundschutz++, beschreibt die Seite Zertifizierung. Wer die Methodik selbst lernen will, ohne eine Schulung zu buchen, beginnt mit der Seite IT-Grundschutz verstehen und dem BSI-Standard 300-1.
Blackfort Technology bietet keine Schulungen und keine Prüfungen zu den hier beschriebenen Qualifikationen an. Diese Seite ordnet die öffentlichen Angaben des BSI ein; verbindlich sind das Programm und die Seiten des BSI in der jeweils aktuellen Fassung.
Rechtehinweis: Kurze Zitate von den BSI-Seiten zur Zertifizierung als IT-Grundschutz-Berater, zu den Schulungen und zu Grundschutz++ sowie aus dem Programm IT-Grundschutz-Berater, Version 2.1 vom 01.02.2026, © Bundesamt für Sicherheit in der Informationstechnik, Quelle: BSI-Seite zum IT-Grundschutz-Berater.