Grundschutz++ Migration: ein bestehendes Grundschutz-ISMS geordnet überführen

BSI-Standard 300-1 enthält keine Übergangsregeln. Er erwähnt weder die BSI-Standards 200-1 bis 200-3 noch das IT-Grundschutz-Kompendium. Die Version 1.0 vom 20.10.2026 richtet sich nach ihrer Einleitung (Kap. 1) „in erster Linie“ an „‚Early Adopters‘, also erfahrene Institutionen, die den Grundschutz++ zu einem frühen Zeitpunkt implementieren möchten“. Eine Migration ist deshalb Projektarbeit: Sie legen selbst fest, welche Unterlagen Sie übernehmen, welche Sie anpassen und welche Sie neu erstellen, und halten das nachvollziehbar fest.

Den zeitlichen Rahmen setzt der Meilensteinplan des BSI (Stand Oktober 2026). Ab dem 01.01.2027 können Zertifizierungsanträge für ISO 27001 auf Basis von Grundschutz++ gestellt werden. Die Zertifizierbarkeit des klassischen IT-Grundschutz endet am 30.11.2031. Der Termin betrifft die Zertifizierung; eine gesetzliche Frist folgt daraus nicht. Für Dezember 2026 kündigt das BSI ein Anwendungsbeispiel anhand der fiktiven Beispielbehörde „BDIT“ an.

Auch der Katalog ist in Bewegung. Im Anwenderkatalog vom 29.10.2026 beschreibt die Erläuterung zu UMS.1.1 noch einen zweiwertigen Umsetzungsstatus („umgesetzt“, „nicht umgesetzt“), der Standard kennt drei Werte. Die Erläuterung zu STM.2.1.5 sieht vor, nicht relevante Anforderungen ohne Zielobjektkategorie aus dem Paket zu streichen, der Standard verlangt ihre Aufnahme. Wer jetzt migriert, sollte sich am Standard orientieren und den Katalog-Build bei jedem Arbeitspaket mit Datum festhalten.

Die Tabelle geht die typischen Unterlagen eines Grundschutz-ISMS durch. „Übernehmen“ heißt: Inhalt bleibt, wird gegen 300-1 geprüft und bei Lücken ergänzt. „Neu“ heißt: Das Ergebnis entsteht nach der neuen Methodik, der Bestand dient als Datenquelle.

Die Arbeitspakete folgen den fünf Prozessschritten von 300-1. Jedes hat Eingaben aus dem Bestand, ein prüfbares Ergebnis und einen Abnahmepunkt. Wo 300-1 eine Freigabe durch die Institutionsleitung verlangt, ist sie als Abnahme eingetragen; die übrigen Abnahmen sind unser Vorschlag. AP 2 bis 4 lassen sich teilweise parallel bearbeiten, AP 5 setzt den freigegebenen Schutzbedarf voraus.

Den alten IT-Grundschutz-Check können Sie nicht eins zu eins übertragen. Er bezieht sich auf Baustein-Anforderungen, das neue Paket auf Grundschutz++-Anforderungen. Außerdem passen die Statuswerte nicht zusammen. 200-2 kennt „entbehrlich“, „ja“, „teilweise“ und „nein“. 300-1 kennt in Kapitel 4.1.1 nur „erfüllt“, „nicht erfüllt“ und „nicht anwendbar“, und für jede Anforderung muss der Status vollständig überprüft werden.

Drei Regeln helfen beim Übertrag. Ein altes „teilweise“ wird zu „nicht erfüllt“, solange nicht die ganze Anforderung erfüllt ist; die fehlenden Anteile gehören in den Umsetzungsplan. Für temporär nicht erfüllte SOLLTE-Anforderungen ist 300-1 nicht eindeutig. Kapitel 2.11 sagt: „Für SOLLTE-Anforderungen, die in der Umsetzungsplanung enthalten, aber noch nicht erfüllt sind, muss eine Restrisikobetrachtung durchgeführt werden.“ Kapitel 4.1.2 sagt: „Eine temporäre Nichterfüllung löst keine Risikobetrachtung aus.“ Wie beide Stellen zusammenpassen, ist eine offene Auslegungsfrage. Ein altes „entbehrlich“ wird nur dann zu „nicht anwendbar“, wenn eine der beiden Bedingungen aus Kapitel 4.1.1 zutrifft, also „wenn die Anforderung funktional nicht erfüllt werden kann oder die zugrunde liegende Komponente nicht im Informationsverbund existiert“. Ein altes „ja“ dient nur als Hinweis: Prüfen Sie, ob der damalige Nachweis die neue Anforderung abdeckt.

Nachweise lassen sich oft weiterverwenden. 300-1 verlangt in Kapitel 4.3, dass Nachweise der jeweiligen Maßnahme eindeutig zugeordnet werden. Bei automatisierter Prüfung sind das eingesetzte Werkzeug, der Prüfzeitpunkt und das Ergebnis zu dokumentieren. Wer bisher Nachweise in Ordnern je Baustein gesammelt hat, ordnet sie jetzt Maßnahmen und Anforderungen zu.

300-1 lässt die Methode der Risikobetrachtung offen, solange die verbindlichen Mindestkriterien aus Anhang 3 erfüllt sind (Kapitel 2.11). Die Erläuterung zur Katalog-Anforderung GC.7.2 nennt ISO 27005, ISO 31000 und BSI-Standard 200-3 als gängige Grundlagen. Eine Methode nach 200-3 ist damit nicht verbraucht. Sie muss aber gegen die Mindestkriterien geprüft werden; der Rahmen mit Risikoappetit, Akzeptanzkriterien und Rollen wird von der Leitung autorisiert.

Neu sind die Anlässe. Kapitel 2.11 nennt drei Fälle für eine explizite Risikobetrachtung: hoher Schutzbedarf eines Geschäftsprozesses in mindestens einem Schutzziel, ein Asset, das keine Zielobjektkategorie hinreichend abdeckt, und eine SOLLTE-Anforderung, die auf Dauer nicht erfüllt wird. Bei normalem Schutzbedarf ist keine eigene Risikobetrachtung nötig, solange keiner der beiden anderen Anlässe vorliegt, weil dem Anwenderkatalog eine allgemeine Risikobetrachtung des BSI zugrunde liegt. Alte Risikoanalysen für Zielobjekte mit hohem Schutzbedarf liefern Material. Nach Kapitel 4.2.1 werden Risiken aber vorrangig auf Ebene der Geschäftsprozesse identifiziert; kritische Assets kommen hinzu, soweit erforderlich.

In der Stand-der-Technik-Bibliothek liegt eine maschinenlesbare Zuordnung von Anforderungen der IT-Grundschutz-Edition 2023 auf Grundschutz++. Nach unserer Zählung enthält sie 1.185 Zuordnungen, davon 1.013 auf technische und organisatorische Anforderungen und 172 auf Methodik-Anforderungen. Sie steht auf dem Status „draft“, also Entwurf, und ist auf den 21.07.2026 datiert. Die Zuordnungen sind als Beziehungen typisiert, etwa Teilmenge, Obermenge, Überschneidung oder Gleichwertigkeit.

Für die Migration ist die Tabelle eine Prüfhilfe in AP 6 und AP 7: Sie zeigt, welche alten Anforderungen und damit welche alten Nachweise für eine neue Anforderung in Frage kommen. Sie ersetzt weder die Modellierung noch die Statusprüfung, und solange sie Entwurf ist, ist jede Zuordnung als Entwurf zu kennzeichnen. Eine eigene Seite zur fachlichen Prüfung der Zuordnungen folgt.

Blackfort Technology unterstützt Migrationen von der Bestandsbewertung und dem Migrationskonzept bis zur Umsetzung der Arbeitspakete.