Grundschutz++

Grundschutz++ ist die modernisierte Methode des Bundesamts für Sicherheit in der Informationstechnik (BSI) für den Aufbau eines Informationssicherheitsmanagementsystems (ISMS). Sie ist flexibler, prozessorientierter und soll durch maschinenlesbare Anforderungen den Aufwand für Dokumentation und Prüfung senken.

Genauer erklärt

Grundschutz++ ist die Weiterentwicklung des BSI IT-Grundschutzes und löst schrittweise die BSI-Standards der 200er-Reihe sowie das IT-Grundschutz-Kompendium ab. Die neue Methodik ist im BSI-Standard 300-1 beschrieben und folgt einem prozessorientierten Ansatz entlang des PDCA-Zyklus (Plan-Do-Check-Act).

Anstelle der bisherigen Bausteine gliedern sich die Anforderungen in 20 Praktiken, die im «Anwenderkatalog-Grundschutz++» zusammengefasst sind. Eine wesentliche Neuerung ist die Bereitstellung aller Anforderungen in einem maschinenlesbaren Format (OSCAL) innerhalb der «Stand-der-Technik-Bibliothek». Dies ermöglicht eine stärkere Automatisierung von Sicherheitsprozessen und der Nachweisführung, was den Aufwand für Anwender reduzieren soll. Die Methodik bietet mehr Flexibilität, beispielsweise bei der Wahl des Vorgehens zur Risikoanalyse. Ein nach Grundschutz++ aufgebautes ISMS ist zur ISO/IEC 27001 kompatibel; eine Zertifizierung ist laut BSI ab 2027 möglich (Stand: 28. Oktober 2026).

Artikel zum Begriff

• Grundschutz++ Architektur: die Praktik ARCH erklärtGrundschutz++ Architektur: was die Praktik ARCH zu Netzsegmenten, Netzplan, Firewall, WLAN und Ausfallsicherheit verlangt und wie kleine Netze sinnvoll starten.
• Was ist IT-Grundschutz?Der IT-Grundschutz des BSI im Überblick: woraus er besteht, für wen er gedacht ist und wie Sie als kleiner Betrieb einsteigen, ohne sich zu verzetteln.
• Grundschutz++ Notfallplanung: Vorsorge, Wiederanlauf und Datensicherung (NOT)Grundschutz++ Notfallplanung: was die Praktik NOT zu Notfallorganisation, Wiederanlaufplan und Datensicherung verlangt und wie kleine Betriebe vorsorgen.
• Grundschutz++ Entwicklung: sichere Software von Anfang an (DEV)Grundschutz++ Entwicklung: was die Praktik DEV zu Security by Design, sicherem Code, SBOM, Updates und Freigabe verlangt und was das für Auftraggeber bedeutet.
• Firewall im UnternehmenFirewall im Unternehmen: was sie leistet, was der BSI-Baustein NET.3.2 verlangt und worauf kleine Betriebe bei Auswahl, Regeln und Betrieb achten sollten.
• WLAN sicher betreibenWLAN-Sicherheit für kleine Betriebe: getrennte Netze für Mitarbeitende und Gäste, sichere Verschlüsselung, Access Points richtig einrichten nach BSI NET.2.1.