Grundschutz++ Checklisten: Der neue einfache Einstieg
Grundschutz++ bietet keine klassischen PDF-Checklisten. Erfahren Sie, wie Sie die neuen Praktiken und den Anwenderkatalog als Leitfaden für den Einstieg nutzen.
Mit dem neuen Grundschutz++ modernisiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) seinen Ansatz zur Informationssicherheit. Für einen einfachen Einstieg suchen viele Unternehmen nach Grundschutz++ Checklisten: Der neue einfache Einstieg ist hierbei ein häufiger Wunsch. Grundschutz++ setzt jedoch nicht mehr auf statische PDF-Checklisten, sondern auf einen flexiblen, prozessorientierten Ansatz.
Nutzen: Sie bauen ein Managementsystem für Informationssicherheit (ISMS) auf, das genau zu Ihrem Unternehmen passt. Die neue Methodik ist skalierbar und berücksichtigt Ihre individuellen Bedürfnisse besser als der bisherige IT-Grundschutz. Sie orientieren sich am aktuellen Stand der Technik und sichern Ihre zentralen Geschäftsprozesse gezielt ab.
Risiko: Wenn Sie sich weiterhin nur an veralteten Checklisten orientieren, verpassen Sie den Anschluss an moderne Sicherheitsarchitekturen und Bedrohungen. Ein nicht an Ihre Prozesse angepasstes Sicherheitskonzept schützt nur unzureichend.
Nächster Schritt: Machen Sie sich mit den neuen Grundschutz++ Praktiken vertraut. Beginnen Sie mit der Praktik «Governance und Compliance» (GC), um den Rahmen für Ihre Informationssicherheit festzulegen. Nutzen Sie die weiteren Praktiken als Leitfaden, um schrittweise ein für Sie passendes Sicherheitsniveau zu erreichen.
Grundschutz++ ist die Weiterentwicklung des bewährten IT-Grundschutzes durch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Mit dem neuen BSI-Standard 300-1 wurde im Oktober 2026 die Methodik veröffentlicht, die einen flexibleren und prozessorientierten Aufbau eines Informationssicherheitsmanagementsystems (ISMS) ermöglicht. bsi.bund.de An die Stelle der bisherigen Bausteine und PDF-Checklisten tritt ein moderner, digitaler Ansatz.
Von Bausteinen zu Praktiken: Die neue Struktur
Das Herzstück von Grundschutz++ sind die 20 Praktiken, die im «Anwenderkatalog Grundschutz++» zusammengefasst sind. Diese Praktiken ersetzen die bisherigen Bausteine des IT-Grundschutz-Kompendiums. Sie sind thematisch geordnet und beschreiben prozessorientiert, welche Aspekte der Informationssicherheit zu betrachten sind. it-grundschutz.net
Beispiele für zentrale Praktiken sind:
- GC (Governance und Compliance): Legt die Grundlagen wie Leitlinie, Geltungsbereich und Schutzbedarf fest.
- ARCH (Architektur): Definiert Anforderungen an Netzdesign, Firewall-Regeln und sichere Systemarchitekturen.
- KONF (Konfiguration): Behandelt die sichere Einrichtung von Systemen, Härtung und Schutz vor Schadcode.
- BER (Berechtigung): Umfasst die Verwaltung von Identitäten, Konten, Zugriffsrechten und Authentisierungsmethoden.
- NOT (Notfallplanung): Beschreibt die Vorsorge für den Ernstfall, inklusive Datensicherung und Wiederanlaufplänen.
Diese Struktur ermöglicht es Unternehmen, sich auf die für sie relevanten Prozesse zu konzentrieren, anstatt eine starre Liste von Maßnahmen für spezifische IT-Systeme abzuarbeiten.
Der Anwenderkatalog: Digital und maschinenlesbar
Eine wesentliche Neuerung ist, dass der Anwenderkatalog mit allen Anforderungen in einem maschinenlesbaren Format bereitgestellt wird. Er ist Teil der «Stand der Technik Bibliothek» des BSI. bsi.bund.de Dies hat zwei entscheidende Vorteile:
- Automatisierung: Anforderungen können direkt in ISMS-Werkzeuge importiert und dort verwaltet werden. Die Überprüfung der Umsetzung (Compliance-Check) lässt sich so teilweise automatisieren.
- Aktualität: Änderungen und neue Anforderungen können vom BSI zentral eingepflegt und von den Anwendern einfacher übernommen werden.
Dieser digitale Ansatz löst die bisherigen statischen Dokumente wie das IT-Grundschutz-Kompendium und die zugehörigen Checklisten ab.
Grundschutz++ Checklisten: Der neue einfache Einstieg in der Praxis
Auch wenn es keine offiziellen PDF-Checklisten für Grundschutz++ gibt, können Sie die neue Struktur als Leitfaden für einen geordneten Einstieg nutzen. Gehen Sie die Praktiken wie eine Checkliste durch, um systematisch Ihre Informationssicherheit aufzubauen:
- Start mit Governance (Praktik GC): Definieren Sie Ihre Sicherheitsziele, den Geltungsbereich Ihres ISMS und die grundlegende Organisation (z. B. die Rolle eines Informationssicherheitsbeauftragten, ISB).
- Bestandsaufnahme (Praktik ASST): Erfassen Sie Ihre Werte (Assets), also wichtige Informationen, Geschäftsprozesse und die dafür benötigte IT.
- Grundlagen schaffen (Praktiken ARCH, KONF, BER): Sorgen Sie für eine sichere Netzarchitektur, härten Sie Ihre Systeme und etablieren Sie ein sauberes Berechtigungsmanagement.
- Mitarbeitende einbeziehen (Praktik PERS, SENS): Regeln Sie die Sicherheitsprozesse von der Einstellung bis zum Austritt und schulen Sie Ihr Personal regelmäßig.
- Vorsorge treffen (Praktik NOT): Erstellen Sie ein Datensicherungskonzept und einen Plan für den Wiederanlauf nach einem IT-Notfall.
Indem Sie diese und weitere Praktiken schrittweise bearbeiten, decken Sie alle relevanten Bereiche ab und bauen ein solides Fundament für Ihre Informationssicherheit auf.
Wichtige Abgrenzung: Alte Checklisten nicht für Grundschutz++ nutzen
Das BSI bietet weiterhin Checklisten zum Download an. Diese beziehen sich jedoch auf das IT-Grundschutz-Kompendium in der Edition 2023 und damit auf die alte Methodik nach BSI-Standard 200-2. bsi.bund.de Sie sind nützlich für Anwender des bisherigen IT-Grundschutzes, aber nicht für den Aufbau eines ISMS nach der neuen Grundschutz++ Methodik (BSI-Standard 300-1) geeignet.
Häufige Fragen
Gibt es offizielle Grundschutz++ Checklisten vom BSI als PDF?
Nein, für Grundschutz++ gibt es keine offiziellen PDF-Checklisten mehr. Die Anforderungen sind im digitalen, maschinenlesbaren Anwenderkatalog zusammengefasst. Die Struktur der 20 Praktiken kann jedoch als Leitfaden für den Einstieg genutzt werden.
Was ersetzt die alten IT-Grundschutz-Bausteine?
Die Bausteine des IT-Grundschutz-Kompendiums werden durch 20 prozessorientierte Praktiken ersetzt. Diese beschreiben die Anforderungen thematisch und sind flexibler anwendbar.
Wo fange ich mit Grundschutz++ als kleines Unternehmen an?
Ein guter Startpunkt ist die Praktik GC (Governance und Compliance), um den Rahmen festzulegen. Danach sollten Sie sich auf grundlegende technische und organisatorische Praktiken wie ARCH (Architektur), KONF (Konfiguration), BER (Berechtigung) und NOT (Notfallplanung) konzentrieren.
Ist Grundschutz++ für kleine und mittlere Unternehmen (KMU) geeignet?
Ja, die neue Methodik ist durch ihre Flexibilität und Skalierbarkeit ausdrücklich auch für KMU konzipiert. Unternehmen können ein Sicherheitsniveau umsetzen, das ihrem individuellen Schutzbedarf und ihren Ressourcen entspricht.