Wie sich der IT-Grundschutz weiterentwickelt

Stand des Kompendiums

Die aktuelle Fassung ist das IT-Grundschutz-Kompendium Edition 2023, verfügbar seit dem 1. Februar 2023. Eine Edition 2024 oder 2025 ist nicht erschienen. Stattdessen hat das BSI angekündigt, den IT-Grundschutz zum Grundschutz++ (GS++) weiterzuentwickeln. Laut BSI bleibt die bisherige Version während einer mehrjährigen Übergangszeit anwendbar und wird weiter gepflegt; Errata und Drafts einzelner Bausteine können weiterhin erscheinen.

Was der Grundschutz++ ändert

Nach den Angaben des BSI auf seinen Seiten zum IT-Grundschutz und zum Grundschutz++:

• Prozessorientierung: Der GS++ ist vollständig prozessorientiert. Die Anforderungen beschreiben lösungsunabhängige Prozesse; ihre Umsetzung soll dem Stand der Technik entsprechen.
• Maschinenlesbare Regeln: Jede Anforderung wird als maschinenlesbare Regel erfasst. Das BSI spricht von einem digitalen Regelwerk in Form einer JSON-Datei.
• Stand-der-Technik-Bibliothek: Anforderungen und Maßnahmen werden zentral in einer Bibliothek bereitgestellt, die das IT-Grundschutz-Kompendium ablöst. Sie wird auf GitHub veröffentlicht und befindet sich laut BSI in der Pilotphase. Mindeststandards des Bundes sind eng mit ihr verzahnt.
• Leistungszahlen statt Stufen: Die Absicherungsstufen Basis, Standard und erhöhter Schutzbedarf werden durch flexible Leistungszahlen mit dynamischen Schwellwerten ersetzt.
• WiBA als fester Bestandteil: Die im WiBA-Weg erprobten Checklisten werden integriert und sollen sich automatisiert an den Anwendungsfall anpassen lassen.

Methodik-GS++ und Anwenderkatalog

Der GS++ besteht aus zwei Teilen: der Methodik-GS++ als Ordnungsrahmen für Aufbau und Weiterentwicklung eines ISMS nach dem PDCA-Zyklus und dem Anwenderkatalog-GS++ mit technischen und organisatorischen Anforderungen, der Teil der Stand-der-Technik-Bibliothek ist. Das BSI hat einen Leitfaden zur Methodik veröffentlicht.

Meilensteinplan des BSI

Das BSI nennt folgende Meilensteine (Stand Oktober 2026):

Das Ende der Zertifizierbarkeit liegt laut BSI fünf Jahre nach der Veröffentlichung des GS++. Termine können sich verschieben; maßgeblich ist der jeweils aktuelle Plan auf der Seite des BSI.

Was das für bestehende Anwender bedeutet

Laufende ISMS nach IT-Grundschutz

Bestehende Sicherheitskonzepte bleiben gültig und können bis zum Ende der Übergangszeit weiter nach Edition 2023 gepflegt und zertifiziert werden. Sinnvoll ist, die Entwicklung zu verfolgen und den Umstieg bei einer ohnehin anstehenden Überarbeitung oder Rezertifizierung einzuplanen.

Neueinsteiger

Wer jetzt beginnt, muss nicht warten. Die Grundlagen bleiben in beiden Modellen gleich: Leitungsverantwortung, Geltungsbereich, Bestandsaufnahme, Schutzbedarf, Soll-Ist-Vergleich, Umsetzung und kontinuierliche Verbesserung. Für kleine Betriebe sind die WiBA-Checklisten ein Einstieg, der ausdrücklich in den GS++ übernommen werden soll.

Zertifizierungsvorhaben

Vor einem Zertifizierungsprojekt sollte mit Auditor und Berater geklärt werden, ob nach dem bisherigen IT-Grundschutz oder nach GS++ zertifiziert werden soll. Eine Zertifizierung nach bisherigem Modell ist nach dem Meilensteinplan noch bis Ende November 2031 möglich; für GS++ startet 2027 eine Early-Adopter-Phase, deren Bedingungen beim BSI zu prüfen sind.

Werkzeuge

Anbieter von ISMS-Tools müssen die maschinenlesbare Struktur übernehmen. Bei Neuanschaffungen lohnt die Frage nach einem Migrationsweg und nach Exportmöglichkeiten.

Was sich für die tägliche Arbeit voraussichtlich ändert

Aus den bisherigen Veröffentlichungen des BSI lassen sich einige Konsequenzen ableiten, deren Details mit der finalen Methodik zu prüfen sind:

• Die Modellierung über Bausteine und Zielobjekte wird durch eine prozessorientierte Zuordnung ersetzt.
• Statt der festen Stufen MUSS, SOLLTE und erhöhter Schutzbedarf steuern Leistungszahlen, welche Anforderungen greifen.
• Werkzeuge können Anforderungen direkt aus der Bibliothek beziehen; manuelle Übertragungen aus PDF-Dokumenten entfallen.
• Kleine Organisationen erhalten passende Checklisten, die aus dem Regelwerk erzeugt werden.

Einordnung

Die Modernisierung reagiert auf häufige Kritik am bisherigen Kompendium: großer Umfang, Textform, hoher Dokumentationsaufwand und schwierige Automatisierung. Ob der GS++ diese Ziele für kleine Betriebe erreicht, wird sich in der Praxis zeigen. Für die tägliche Arbeit gilt: Gute Sicherheitsmaßnahmen werden durch ein neues Regelwerk nicht schlechter, und eine saubere Bestandsaufnahme ist in jedem Modell die Grundlage.