Grundschutz++ Umsetzung: Umsetzungsplan, Fristen und Ausnahmen (UMS)
Grundschutz++ Umsetzung: was die Praktik UMS zu Umsetzungsstatus, Umsetzungsplan, Zuständigen, Fristen und Ausnahmen verlangt, mit Tipps für KMU.
Bei der Grundschutz++ Umsetzung geht es darum, aus einer Liste von Anforderungen tatsächlich gelebte Sicherheit zu machen. Die Praktik «Umsetzung» (Kürzel UMS) im neuen IT-Grundschutz des BSI regelt, wie Sie feststellen, was schon erledigt ist, und wie Sie den Rest planen, verteilen und nachhalten.
Warum das wichtig ist
Viele Sicherheitsprojekte scheitern nicht am Wissen, sondern an der Umsetzung: Aufgaben ohne Zuständige, Termine ohne Kontrolle, Ausnahmen ohne Begründung. Ein klarer Umsetzungsplan zeigt Ihnen jederzeit, wo Ihr Betrieb steht und welche Risiken noch offen sind.
Was verbindlich ist
Fast alle Anforderungen dieser Praktik sind Pflicht. Der Stand jeder Anforderung muss regelmäßig geprüft werden, und zwar streng: Eine Anforderung ist entweder umgesetzt oder nicht. Für offene Punkte legen Sie Maßnahmen, Prioritäten, Zuständige und realistische Termine fest. Wenn etwas bewusst nicht umgesetzt wird, muss eine zuständige Person die Ausnahme genehmigen, und die Begründung wird dokumentiert.
Der erste Schritt
Legen Sie eine einfache Tabelle an: Anforderung, umgesetzt ja oder nein, Maßnahme, zuständige Person, Zieldatum. Besprechen Sie diese Liste in festen Abständen, zum Beispiel einmal im Monat. Damit haben Sie bereits den Kern eines Umsetzungsplans.
Die Praktik «Umsetzung» (UMS) ist die dritte ISMS-Praktik im Anwenderkatalog Grundschutz++ und entspricht in der Methodik dem Prozessschritt 3 «Realisierung», der Do-Phase des PDCA-Zyklus. Dieser Artikel erklärt die Grundschutz++ Umsetzung anhand des Katalogstands vom 22. Oktober 2026.
Ziel der Praktik
Laut Katalog sorgt die Praktik für die systematische Planung, Implementierung und Dokumentation der Anforderungen bzw. Sicherheitsmaßnahmen, die aus Strukturmodellierung und Risikobewertung abgeleitet wurden. Dazu gehören die Planung von Maßnahmen, Verantwortlichkeiten, Zeitpläne, die Bereitstellung von Ressourcen und die Nachverfolgung. Während die Strukturmodellierung die Anforderungen identifiziert und Monitoring-Evaluation die Wirksamkeit prüft, konzentriert sich UMS auf die Realisierung.
Aufbau: sieben Gruppen, 11 Anforderungen
| Gruppe | Inhalt |
|---|---|
| UMS.1 Umsetzungsstatus | Status aller Anforderungen prüfen, Restrisiko festlegen |
| UMS.2 Umsetzungsplanung | Maßnahmen festlegen und priorisieren |
| UMS.3 Umsetzungszuständige | Zuständige eindeutig zuweisen |
| UMS.4 Umsetzungsfristen | realistisches Zieldatum festlegen |
| UMS.5 Ausnahmemanagement | Ausnahmen autorisieren und begründet dokumentieren |
| UMS.6 Umsetzungsfortschrittsverfolgung | Fortschritt nachverfolgen, Umsetzungsplan fortschreiben |
| UMS.7 Compliance-Management | Compliance im Umsetzungsprozess überprüfen |
Die MUSS-Anforderungen
Zehn der elf Anforderungen sind MUSS-Anforderungen.
Umsetzungsstatus
UMS.1.1 «Umsetzung MUSS den Umsetzungsstatus der Anforderungen im Anforderungspaket vollständig regelmäßig überprüfen.»
Die Erläuterung ist hier sehr klar: Der Status einer Anforderung kann nur «umgesetzt» («ja») oder «nicht umgesetzt» («nein») sein. Eine Anforderung gilt nur dann als umgesetzt, wenn sie selbst und alle in Abhängigkeit stehenden Anforderungen umgesetzt sind. Teilweise umgesetzt gibt es also nicht. Für nicht umgesetzte, aber relevante MUSS- und SOLLTE-Anforderungen sieht die Methodik eine Risikobetrachtung vor.
Planung, Priorität, Zuständige, Fristen
UMS.2.1 «Umsetzung MUSS Maßnahmen für die Umsetzung der bisher nicht umgesetzten Anforderungen des Anforderungspakets gemäß einer strukturierten Vorgehensweise festlegen.»
UMS.2.2 «Umsetzung MUSS eine Priorisierung der festgelegten Maßnahmen auf Basis der Risikobewertung, Abhängigkeiten und Ressourcenverfügbarkeit festlegen.»
UMS.3.1 «Umsetzung MUSS Zuständige für die Umsetzung der bisher nicht erfüllten Anforderungen eindeutig zuweisen.»
UMS.4.1 «Umsetzung MUSS ein realistisches Zieldatum für die Umsetzung der bisher nicht umgesetzten Anforderungen festlegen.»
Bei der Priorisierung können laut Erläuterung gesetzliche Verpflichtungen und Compliance, der Umsetzungsaufwand und die Risikominderung helfen. Die Methodik nennt zusätzlich Quick-Wins mit hoher Sichtbarkeit und Akzeptanz. Hilfreich ist dabei die Aufwandsstufe von 0 bis 5, die der Katalog zu jeder Anforderung angibt. Die Einhaltung der Fristen muss nachgehalten werden.
Ausnahmen
UMS.5.1 «Umsetzung MUSS Ausnahmegenehmigungen für Verpflichtungen durch eine zuständige Person oder Rolle autorisieren.»
UMS.5.2 «Umsetzung MUSS Ausnahmegenehmigungen mit Begründung dokumentieren.»
Die Dokumentation muss nicht in einem separaten Register stehen. Der Katalog empfiehlt sogar, Entscheidungen dort festzuhalten, wo ohnehin gearbeitet wird, etwa in CMDBs, Aktenverzeichnissen, Commit-Messages oder Ticketsystemen.
Fortschritt und Compliance
UMS.6.1 «Umsetzung MUSS ein Verfahren für die Nachverfolgung der Umsetzung von Maßnahmen verankern.»
UMS.6.2 «Umsetzung MUSS ein Verfahren zur Fortschreibung des Umsetzungsplans verankern.»
UMS.7.1 «Umsetzung MUSS ein Verfahren zur Überprüfung von Compliance im Umsetzungsprozess verankern.»
SOLLTE-Anforderung
UMS.1.2 «Umsetzung SOLLTE das bestehende Restrisiko durch die nicht umgesetzten Anforderungen festlegen.»
Laut Erläuterung können die Risiken der Nichtumsetzung konsolidiert werden, um sie für die Institutionsleitung nachvollziehbarer zu machen.
Normale und erhöhte Sicherheitsstufe
Alle elf Anforderungen gehören zum Sicherheitsniveau normal (Stand der Technik). Sie gelten als ISMS-Anforderungen ohne Auswahl für den gesamten Informationsverbund. Das Sicherheitsniveau der übrigen Anforderungen beeinflusst die Umsetzung trotzdem: Nach der Methodik wirkt sich die Erhöhung eines Niveaus auf die Reihenfolge der Umsetzung aus.
Typische Nachweise
Zentrales Dokument ist der Umsetzungsplan, den sechs Anforderungen als Dokumentation nennen. Dazu kommen die freigegebene Ausnahmegenehmigung (UMS.5.2) und die Compliance-Verpflichtungen (UMS.7.1). Was ein Umsetzungsplan enthält, beschreibt der Katalog bei der Praktik Risikomanagement (RISK.1.10): unter anderem Anforderungsbeschreibung, Zielobjekt, verantwortliche Stelle, Start- und Zieldatum, Prioritäten, Status, Risiken mit Begründung, Ressourcenplanung, Abhängigkeiten sowie Datum der Freigabe und Unterschrift des Risikoeigentümers.
Betroffene Zielobjekte
Keine Anforderung der Praktik ist einer Zielobjektkategorie zugeordnet. Die Praktik steuert die Umsetzung aller Anforderungen im Anforderungspaket, unabhängig vom Zielobjekt.
Vergleich mit dem Kompendium Edition 2023
Im bisherigen IT-Grundschutz entsprach dem der IT-Grundschutz-Check mit anschließender Realisierungsplanung. Neu ist vor allem die strenge Statuslogik: Statt «teilweise» gibt es nur ja oder nein, und eine Anforderung gilt erst mit allen abhängigen Anforderungen als umgesetzt. Außerdem muss der Risikoeigentümer die Umsetzungsplanung freigeben (RISK.1.10).
Umsetzungstipps für kleine und mittlere Unternehmen
- Ein Plan für alles: Führen Sie Maßnahmen aus Modellierung, Audits und Verbesserungen in einem einzigen Umsetzungsplan. Die Methodik sieht vor, dass auch Korrekturen und Verbesserungen dort einfließen.
- Ticketsystem nutzen: Wenn Sie bereits ein Ticketsystem oder Aufgabenwerkzeug einsetzen, können Zuständige, Fristen und Ausnahmen dort dokumentiert werden.
- Synergien suchen: Eine Maßnahme wie eine zentrale Geräteverwaltung kann mehrere Anforderungen zugleich erfüllen. Die Erläuterung zu UMS.2.1 empfiehlt genau diese Prüfung.
- Ehrlich bewerten: Die Ja-Nein-Logik macht Lücken sichtbar. Das ist gewollt und hilft der Geschäftsleitung bei Entscheidungen.
- Regelmäßig besprechen: Ein fester Termin, an dem Status, Verzug und neue Ausnahmen kurz durchgegangen werden, erfüllt den Kern der Fortschrittsverfolgung.
Häufige Fragen
Gibt es in Grundschutz++ den Status «teilweise umgesetzt»?
Nein. Laut Erläuterung zu UMS.1.1 ist eine Anforderung entweder umgesetzt oder nicht umgesetzt. Sie gilt nur dann als umgesetzt, wenn sie selbst und alle abhängigen Anforderungen umgesetzt sind.
Wer genehmigt Ausnahmen?
Nach UMS.5.1 eine zuständige Person oder Rolle. Die Ausnahme muss nach UMS.5.2 mit Begründung dokumentiert werden. Ob eine Risikobetrachtung nötig ist, ist im Einzelfall zu prüfen.
Wie oft muss der Umsetzungsstatus geprüft werden?
UMS.1.1 verlangt eine vollständige und regelmäßige Überprüfung. Das Intervall ist im Katalog als Parameter hinterlegt, den Sie für Ihre Institution festlegen.
Brauche ich ein spezielles Werkzeug für den Umsetzungsplan?
Nein. Der Katalog erlaubt ausdrücklich, Entscheidungen in vorhandenen Systemen wie Ticketsystemen zu dokumentieren. Bei vielen Anforderungen erleichtert ein ISMS-Werkzeug allerdings die Pflege.