IT-Grundschutz.net einfach erklärt

Grundschutz++: der neue IT-Grundschutz im Überblick

Grundschutz++ erklärt8 Min. Lesezeit

Grundschutz++ im Überblick: Praktiken statt Bausteine, MUSS, SOLLTE, KANN, Sicherheitsniveaus, Zielobjektkategorien und der Weg zum Umstieg.

Grundschutz++ ist der neu aufgebaute IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI). Er löst das bisherige IT-Grundschutz-Kompendium ab. Statt eines umfangreichen Dokuments mit Bausteinen gibt es einen digitalen Katalog mit 1000 Anforderungen, den auch Software direkt auslesen kann.

Was neu ist

Die Anforderungen sind nicht mehr nach Geräten und Themen in Bausteine sortiert, sondern nach Tätigkeiten im Betrieb, zum Beispiel Beschaffung, Personal, Berechtigungen oder Notfallplanung. Diese Tätigkeitsbereiche heißen Praktiken, insgesamt sind es 20. Jede Anforderung sagt klar, ob sie verpflichtend ist (MUSS), in der Regel erfüllt werden soll (SOLLTE) oder nur bei Bedarf sinnvoll ist (KANN).

Was gleich bleibt

Das Grundprinzip ändert sich nicht. Die Geschäftsleitung trägt die Verantwortung, es gibt eine zuständige Person für Informationssicherheit, Sie wissen, welche Daten und Systeme wichtig sind, setzen Maßnahmen um und prüfen regelmäßig, ob sie wirken. Was Sie heute schon gut machen, bleibt wertvoll.

Wen es betrifft

Für Unternehmen ist der IT-Grundschutz freiwillig, er ist aber eine anerkannte Grundlage, etwa für ein Zertifikat nach ISO 27001 auf Basis von IT-Grundschutz. Laut Zeitplan des BSI sind Zertifizierungen auf Basis von Grundschutz++ ab dem 1. Januar 2027 möglich. Nach dem bisherigen IT-Grundschutz kann noch bis zum 30. November 2031 zertifiziert werden.

Der nächste Schritt

Es besteht kein Grund zur Eile. Planen Sie den Umstieg dann ein, wenn ohnehin eine Überarbeitung oder Rezertifizierung ansteht, und lassen Sie sich von Ihrer IT oder Ihrem Berater zeigen, welche Praktiken für Ihren Betrieb zuerst wichtig sind.

Grundschutz++ (kurz GS++) ist die Neuentwicklung des IT-Grundschutzes durch das BSI. Dieser Überblick beschreibt den Aufbau, die wichtigsten Unterschiede zum IT-Grundschutz-Kompendium Edition 2023 und den Weg zum Umstieg. Grundlage sind die Seiten des BSI, der Leitfaden zur Methodik und der Anwenderkatalog Grundschutz++ in der Stand-der-Technik-Bibliothek mit Katalogstand vom 22. Oktober 2026.

Aus welchen Teilen Grundschutz++ besteht

  • Methodik-Grundschutz++: ein Ordnungsrahmen für Aufbau und Weiterentwicklung eines ISMS entlang des PDCA-Zyklus. Er gliedert den Sicherheitsprozess in fünf Prozessschritte: Erhebung und Planung, Anforderungsanalyse, Realisierung, Überwachung und kontinuierliche Verbesserung. Laut Meilensteinplan des BSI (Stand Oktober 2026) ist die Vorstellung und Veröffentlichung der Methodik für den 27. Oktober 2026 auf der it-sa in Nürnberg vorgesehen.
  • Anwenderkatalog-Grundschutz++: die technischen und organisatorischen Anforderungen. Er ist Teil der Stand-der-Technik-Bibliothek, die laut BSI das IT-Grundschutz-Kompendium ablöst, und wird auf GitHub im maschinenlesbaren Format OSCAL veröffentlicht. Auch die normativen Aspekte der Methodik sind dort als Anforderungen enthalten.

Was sich gegenüber dem Kompendium Edition 2023 ändert

Praktiken statt Bausteine

Das Kompendium Edition 2023 ordnet seine Anforderungen in 111 Bausteine und Schichten wie ISMS, ORP, OPS, SYS oder NET. Grundschutz++ bündelt die Anforderungen dagegen in Praktiken. Laut Methodik fassen Praktiken Anforderungen nach Tätigkeiten zusammen, deren Zuständigkeit bestimmten Rollen zuordenbar ist, und jede Anforderung gehört zu genau einer Praktik. Die Methodik unterscheidet ISMS-Praktiken, organisatorische und technische Praktiken.

Anforderungen mit klarem Modalverb

Jede Anforderung ist als ein Satz formuliert: Praktik, Modalverb, Ergebnis, Handlungswort. Ein Beispiel:

GC.1.1 «Governance und Compliance MUSS Verfahren und Regelungen zur Errichtung und Aufrechterhaltung eines ISMS nach BSI Grundschutz++ verankern.»

Die Stand-der-Technik-Bibliothek definiert die drei Modalverben: MUSS steht für eine Anforderung, «die unbedingt erfüllt werden muss (uneingeschränkte Anforderung)». SOLLTE bedeutet, dass eine Anforderung «normalerweise erfüllt werden muss, es aber Gründe geben kann, dies doch nicht zu tun». KANN beschreibt eine Maßnahme, die «je nach Situation (d.h. nach Risikoanalyse) sinnvoll sein kann».

Zwei Sicherheitsniveaus statt drei Anforderungsstufen

Im Kompendium sind die Anforderungen eines Bausteins in Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf gegliedert. Im Anwenderkatalog trägt jede Anforderung stattdessen eines von zwei Sicherheitsniveaus: normal (Stand der Technik), im Katalog «normal-SdT», oder erhöht. Nach der Methodik wirkt sich eine Erhöhung von normal auf erhöht nur auf die Reihenfolge der Umsetzung aus. Wer dagegen das voreingestellte Niveau einer Anforderung von erhöht auf normal absenkt, muss das mit einer Risikobetrachtung begründen. Das BSI kündigt außerdem an, die Absicherungsstufen durch flexible Leistungszahlen mit dynamischen Schwellwerten zu ersetzen. Laut Meilensteinplan sollen bis zum 31. März 2027 alle Anforderungen der ISMS-Praktiken Leistungskennzahlen erhalten.

Zielobjektkategorien und Vererbung

Statt Bausteine einzelnen Zielobjekten zuzuordnen, ordnen Sie Ihre Assets Zielobjektkategorien zu. Die Bibliothek definiert 39 Kategorien in einer Hierarchie mit sieben Wurzeln: Anwendungen, Einkäufe, Informationen, IT-Systeme, Netze, Nutzende und Standorte. Darunter liegen etwa Webserver, Cloud-Dienste, Mobile Endgeräte oder Serverräume. Anforderungen übergeordneter Kategorien werden vererbt: Ein Cloud-Dienst erhält auch die Anforderungen für Outsourcing, Dienstleistungen und Einkäufe. Anforderungen ohne Zielobjektkategorie werden einmal je Geltungsbereich modelliert und den Geschäftsprozessen zugeordnet.

Maschinenlesbar statt PDF

Jede Anforderung hat neben dem Text strukturierte Angaben: Sicherheitsniveau, eine Aufwandsstufe von 0 bis 5, ein erwartetes Ergebnis, eine typische Dokumentation und bei den meisten Anforderungen Bezüge zu Schutzzielen und elementaren Gefährdungen. Manche Anforderungen enthalten Parameter, die Sie mit eigenen Werten belegen, etwa Rollen oder Prüfintervalle. Werkzeuge können den Katalog so direkt einlesen und filtern.

Thema Kompendium Edition 2023 Grundschutz++
Gliederung Bausteine in Schichten 20 Praktiken mit Gruppen
Verbindlichkeit Basis, Standard, erhöhter Schutzbedarf MUSS, SOLLTE, KANN je Anforderung
Niveau Schutzbedarf normal, hoch, sehr hoch Sicherheitsniveau normal (SdT) oder erhöht, Schutzbedarf normal oder hoch
Zuordnung Bausteine auf Zielobjekte Assets auf Zielobjektkategorien mit Vererbung
Format Dokumente, unter anderem PDF OSCAL (JSON) auf GitHub

Der Anwenderkatalog in Zahlen

Der Katalogstand vom 22. Oktober 2026 enthält 1000 Anforderungen in 20 Praktiken und 140 Gruppen darunter. Im OSCAL-Format sind das zusammen 160 Gruppen. 149 Anforderungen sind MUSS, 627 SOLLTE und 224 KANN. 773 Anforderungen gehören zum Sicherheitsniveau normal (SdT), 227 zu erhöht. Auffällig: Alle KANN-Anforderungen gehören zum Niveau erhöht, alle MUSS-Anforderungen zum Niveau normal. Jede organisatorische und technische Praktik beginnt mit einer Gruppe Grundlagen, deren MUSS-Anforderungen das Verfahren selbst betreffen: verankern, dokumentieren, Aufgaben zuweisen, bekannt geben und regelmäßig überprüfen.

Grundschutz++: die 20 Praktiken im Überblick

Kürzel Praktik Schwerpunkt Worum es geht
GC Governance und Compliance Methodik Strategischer Rahmen: Leitlinie, Ziele, Geltungsbereich, Sicherheitsorganisation und die Pflichten aus Gesetzen und Verträgen.
STM Strukturmodellierung Methodik Aus Informationsverbund, Assets und Zielobjektkategorien entsteht das individuelle Anforderungspaket.
UMS Umsetzung Methodik Umsetzungsstatus prüfen, Maßnahmen planen und priorisieren, Zuständige und Fristen festlegen, Ausnahmen genehmigen.
VRB Verbesserung Methodik Nicht-Konformitäten auswerten, Korrekturen und Verbesserungen planen und ihre Wirksamkeit prüfen.
PERF Monitoring-Evaluation Methodik Leistung des ISMS messen, Audits planen und durchführen, Managementbericht an die Leitung.
RISK Risikomanagement Methodik Einheitliche Methode, Risikoeigentümer und Freigaben für die Behandlung von Risiken.
ASST Informationen und Assets Organisatorisch Inventare für Informationen, Systeme und Anwendungen, Regeln für Gebrauch und Transfer, Wartung, Löschen und Vernichten.
PERS Personal Organisatorisch Sicherheit über den Beschäftigungszyklus: Rollen, Einstellung, Einarbeitung, Weiterbildung und Weggang.
BES Beschaffungsmanagement Organisatorisch Sicherheitsanforderungen von der Bedarfserfassung über Lieferantenauswahl und Vertrag bis zur Abnahme.
DLS Dienstleistersteuerung Organisatorisch Laufende Kontrolle von Dienstleistern und geordnete Beendigung von Dienstleistungsverträgen.
TEST Änderungen und Tests Organisatorisch Änderungen an Informationssystemen geplant vorbereiten, testen, freigeben und ausrollen.
GEB Gebäudemanagement Organisatorisch Physische Sicherheit in und um das Gebäude, etwa Zutritt, Sicherheitsbereiche, Versorgung und Elementarschäden.
SENS Sensibilisierung Organisatorisch Mitarbeitende kennen Leitlinie, Regeln und Bedrohungen und verhalten sich im Alltag sicherheitsbewusst.
ARCH Architektur Technisch Grundstruktur und Sicherheitsprinzipien der IT, etwa Netzdesign, WLAN, Perimeterschutz und Ausfallsicherheit.
BER Berechtigung Technisch Identitäten, Zugangskonten, Berechtigungen, Authentisierungsmittel, Passwörter und Schlüssel verwalten.
NOT Notfallplanung Organisatorisch Reaktion auf schwere Störungen und Krisen sowie Datensicherung, damit kritische Geschäftsprozesse weiterlaufen.
DET Detektion Technisch Sicherheitsrelevante Ereignisse rechtzeitig erkennen, unter anderem durch Protokollierung und Schwachstellenmanagement.
REA Sicherheitsvorfallsbehandlung Technisch Sicherheitsvorfälle melden, analysieren, beheben und nachbereiten.
KONF Konfiguration Technisch IT-Komponenten nach den Sicherheitsvorgaben einrichten und pflegen, mit der umfangreichsten Anforderungsliste des Katalogs.
DEV Entwicklung Technisch Sicherheit von Beginn an in die Entwicklung von Software und Systemen einbauen.

Die fünf Praktiken GC, STM, UMS, PERF und VRB bilden laut Methodik die ISMS-Praktiken. Sie bilden den PDCA-Zyklus ab und gelten ohne weitere Auswahl einmal für den gesamten Informationsverbund. Die Praktik Risikomanagement ist in der Bibliothek ebenfalls dem Schwerpunkt Methodik zugeordnet.

Wen Grundschutz++ betrifft

Die Methodik richtet sich an Institutionsleitungen, Informationssicherheitsbeauftragte und IT-Verantwortliche in öffentlicher Verwaltung und Wirtschaft, von kleinen bis zu großen Institutionen. Für Einrichtungen des Bundes legen Mindeststandards, die in der Stand-der-Technik-Bibliothek mit Grundschutz++ verzahnt werden, verbindliche Sicherheitsanforderungen fest. Für Unternehmen ist die Anwendung freiwillig. Relevant wird Grundschutz++ vor allem für Organisationen, die nach ISO 27001 auf Basis von IT-Grundschutz zertifiziert sind oder es werden wollen. Laut Meilensteinplan können ab dem 1. Januar 2027 Zertifizierungsanträge auf Basis von Grundschutz++ gestellt werden, die Zertifizierbarkeit des bisherigen IT-Grundschutzes endet am 30. November 2031.

Für kleine Institutionen hebt das BSI die WiBA-Checklisten hervor: Sie werden fester Bestandteil von Grundschutz++ und sollen künftig automatisiert aus dem Anwenderkatalog erzeugt werden können.

Umstieg: so gehen Sie vor

  1. Bestand sichern: Leitlinie, Geltungsbereich, Strukturanalyse, Schutzbedarf und umgesetzte Maßnahmen bleiben nutzbar. Die Methodik verlangt dieselben Grundlagen.
  2. Mappings nutzen: Die Bibliothek enthält eine Zuordnung von Anforderungen des IT-Grundschutzes 2023 zu Grundschutz++ (Stand: Entwurf) und eine Zuordnung von ISO 27001 Anhang A zu Grundschutz++.
  3. Assets neu zuordnen: Ordnen Sie Ihre Zielobjekte den Zielobjektkategorien zu und erstellen Sie daraus das Anforderungspaket.
  4. Mit dem wichtigsten Geschäftsprozess beginnen: Laut Methodik genügt es im ersten Durchlauf, die Assets des wichtigsten Geschäftsprozesses zu erfassen.
  5. Werkzeug klären: Fragen Sie den Anbieter Ihres ISMS-Werkzeugs, wann und wie er den OSCAL-Katalog unterstützt.
  6. Zeitpunkt wählen: Legen Sie den Wechsel mit Berater und Zertifizierungsstelle fest, idealerweise zu einer ohnehin anstehenden Rezertifizierung.

Was noch offen ist

Die Methodik verweist auf ergänzende Dokumente, die noch folgen, darunter ein Dokument zur Risikobetrachtung, Schulungscurricula und Migrationsleitfäden. Laut Meilensteinplan folgen Schulungskonzepte für GS++-Praktiker und -Berater am 30. November 2026 und ein Anwendungsbeispiel im Dezember 2026. Der Katalog wird laufend fortgeschrieben, maßgeblich ist immer der aktuelle Stand in der Bibliothek.

Häufige Fragen

Ist Grundschutz++ ein neues Kompendium?

Nein. An die Stelle des IT-Grundschutz-Kompendiums tritt die Stand-der-Technik-Bibliothek mit dem Anwenderkatalog Grundschutz++. Dazu kommt der Leitfaden zur Methodik, der den Sicherheitsprozess beschreibt.

Gibt es in Grundschutz++ noch Bausteine?

Nein. Die Anforderungen sind in 20 Praktiken gebündelt, etwa Personal, Beschaffungsmanagement oder Berechtigung. Statt Bausteinen ordnen Sie Ihre Assets Zielobjektkategorien zu.

Bis wann kann ich nach dem bisherigen IT-Grundschutz zertifizieren?

Laut Meilensteinplan des BSI (Stand Oktober 2026) endet die Zertifizierbarkeit des bisherigen IT-Grundschutzes am 30. November 2031. Anträge auf Basis von Grundschutz++ sind ab dem 1. Januar 2027 möglich.

Was bedeutet normal-SdT?

Das ist das Standard-Sicherheitsniveau einer Anforderung, also normal nach Stand der Technik. Daneben gibt es das Niveau erhöht. Das Niveau ist im Katalog für jede Anforderung festgelegt.

Muss ein kleiner Betrieb jetzt umsteigen?

Nein. Für Unternehmen ist der IT-Grundschutz freiwillig. Wer noch kein ISMS hat, kann mit den WiBA-Checklisten beginnen, die laut BSI fester Bestandteil von Grundschutz++ werden.

Quellen