Grundschutz++ · geprüft am 01.11.2026

Was ist Grundschutz++? Ein Überblick.

Grundschutz++ ist die neue Methodik des BSI für ein Informationssicherheitsmanagementsystem (ISMS). Sie liegt als BSI-Standard 300-1 vor und löst nach einer mehrjährigen Übergangszeit den IT-Grundschutz ab. Neu ist vor allem die Form: Das BSI veröffentlicht jede Anforderung als maschinenlesbaren Eintrag im OSCAL-Format, und der Ablauf folgt in fünf Prozessschritten dem PDCA-Zyklus. Diese Seite ordnet ein; die Methodik mit allen Kapiteln erklärt die Seite zum BSI-Standard 300-1, den Einstieg die Seite Grundschutz++ umsetzen.

Veröffentlicht: was das BSI im BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 und in den ergänzenden Quellen herausgegeben hat
Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt

Was sich gegenüber dem IT-Grundschutz ändert.

Vier Unterschiede, die im Alltag am meisten auffallen. Links steht, was das BSI veröffentlicht hat, rechts, wie wir es in BlueProceedings ISMS auslegen.

Anforderungen sind DatenBSI-Standard 300-1, Kapitel 3.4; Stand-der-Technik-Bibliothek: Veröffentlicht
Das BSI erfasst jede Anforderung als Regel in einem standardisierten Format. Der Anforderungskatalog liegt in der Stand-der-Technik-Bibliothek auf GitHub und soll sich in strukturierter Form nutzen lassen.
Auslegung in BlueProceedings ISMS
Wir lesen den Katalog direkt ein, mit Version und Herkunft, statt Anforderungen abzutippen. Wir gehen davon aus, dass das BSI im Lauf der Zeit mehrere Katalogstände veröffentlicht. Deshalb ist die Migration auf einen neuen Stand ein eigenes Feature: Ein neuer Stand gilt erst nach einem ausdrücklichen Wechsel, nicht still im laufenden Informationsverbund.
Der Geschäftsprozess steht am AnfangBSI-Standard 300-1, Kapitel 2.6 und 3.2: Veröffentlicht
Nach dem Geltungsbereich werden die relevanten Geschäftsprozesse ermittelt und nach Kritikalität priorisiert. Im ersten Durchlauf reicht es, die Assets des wichtigsten Prozesses zu erfassen; weitere folgen in den nächsten Zyklen.
Auslegung in BlueProceedings ISMS
Assets bauen auf den Zielobjektkategorien des Katalogs auf: Jedes Objekt wird einer oder mehreren Kategorien zugeordnet, daraus ergeben sich seine Anforderungen. Prozesse, Informationen, Komponenten, Dienstleister und Standorte sind die Objektarten, die wir dafür als eigene, verknüpfte Objekte führen; die Kategorien des Katalogs sind feiner, und weitere Objektarten sind möglich. Dieselben Objekte nutzen wir auch für Risiken, Notfallvorsorge und Berichte.
Ein Paket je InformationsverbundBSI-Standard 300-1, Kapitel 3.4: Veröffentlicht
Assets werden Zielobjektkategorien zugeordnet. Zusammen mit den verbundweiten ISMS-Anforderungen, eigenen Verpflichtungen und dem Ergebnis der Risikobetrachtung entsteht das Anforderungspaket.
Auslegung in BlueProceedings ISMS
Jede Anforderung hängt am Objekt, für das sie gilt, und zeigt, woher sie kommt. Ausschließen lässt sie sich nur mit Begründung.
Wirksamkeit gehört zum AblaufBSI-Standard 300-1, Kapitel 5 und 6: Veröffentlicht
Überwachung und kontinuierliche Verbesserung sind eigene Prozessschritte. Sie prüfen, ob die umgesetzten Anforderungen wirksam sind, und leiten Korrekturen ab.
Auslegung in BlueProceedings ISMS
Eine Maßnahme ist bei uns erst abgeschlossen, wenn vorab festgelegte Kriterien geprüft sind, ein gültiger Nachweis vorliegt und eine zweite Person freigibt.

Fünf Prozessschritte, ein Kreislauf.

So beschreibt der BSI-Standard 300-1 den Sicherheitsprozess (Kapitel 1, Abbildung 1). Alle Teilschritte mit Kapitelangaben stehen auf der Seite zum BSI-Standard 300-1.

Erhebung und PlanungPlan · Governance und Compliance. Kontext, interessierte Parteien, Geltungsbereich, Leitlinie, Rollen, Risikomanagement.
AnforderungsanalysePlan · Strukturmodellierung. Informationsverbund abgrenzen, Assets erfassen und zuordnen, Anforderungspaket bilden.
RealisierungDo · Umsetzung. Umsetzungsstand erheben, Maßnahmen planen, Zuständigkeiten, Fristen, Ausnahmen.
ÜberwachungCheck · Monitoring und Evaluation. Leistungsbewertung, Audits, Managementbewertung.
Kontinuierliche VerbesserungAct · Verbesserung. Abweichungen behandeln, Korrekturen planen, Wirkung bewerten.

Wie wir es auslegen: BlueProceedings ISMS führt die fünf Schritte als eine Kette über denselben Datenstand. Ändert sich ein Glied, etwa ein Asset oder ein Katalogstand, zeigt die Anwendung, was neu zu bewerten sein könnte. Die Entscheidungen bleiben bei der Institutionsleitung und den zuständigen Rollen.

Fünf Begriffe, die überall vorkommen.

Die Begriffe, wie sie der BSI-Standard 300-1 verwendet.

BSI-Standard 300-1: Die Methodik Grundschutz++ liegt jetzt als BSI-Standard 300-1, Version 1.0, vor. Sie richtet sich zunächst an Early Adopters und wurde gemeinsam mit der Grundschutz-Community sowie ausgewählten Pilotierungsinstitutionen entwickelt.
Praktik: Ein Tätigkeitsbereich, nach dem der Anwenderkatalog die Anforderungen gliedert, etwa „Informationen und Assets“. Fünf ISMS-Praktiken bilden die fünf Prozessschritte ab.
Zielobjektkategorie: Eine standardisierte Klasse, für die Anforderungen beschrieben sind, etwa Daten. Anforderungen einer übergeordneten Kategorie werden auf die Kategorien darunter vererbt (Abschnitt 3.5.1).
Anforderungspaket: Alle Anforderungen, die für einen Informationsverbund gelten. Es ist auf genau diesen Verbund zugeschnitten und bildet die Basis der Umsetzung (Abschnitt 3).
Blaupause: Eine Auswahl von Anforderungen für einen wiederkehrenden Kontext. Die Stand-der-Technik-Bibliothek veröffentlicht für Grundschutz++ Quellkataloge, ein OSCAL-Profil und den daraus aufgelösten Anwenderkatalog.

Was ein Werkzeug dabei leisten kann.

Mit oder ohne WerkzeugBSI-Standard 300-1, Kapitel 3.2 bis 3.5: Veröffentlicht
Assets, Blaupausen, Anforderungen und Parameter werden nachvollziehbar dokumentiert. Das Anforderungspaket bildet die Grundlage für die Realisierung.
Auslegung in BlueProceedings ISMS
BlueProceedings ISMS automatisiert, was sich aus den Daten ableiten lässt: Anforderungen je Objekt, Vererbung, Fristen, Hinweise auf veraltete Berichte. Was sich nicht ableiten lässt, fragt es ab.
Was automatisiert werden darfBSI-Standard 300-1, Kapitel 3 und 3.4: Veröffentlicht
Die Assets werden Zielobjektkategorien zugeordnet. Aus diesen Zuordnungen ergeben sich die zutreffenden Anforderungen; die Hierarchie der Zielobjektkategorien ist dabei zu berücksichtigen.
Auslegung in BlueProceedings ISMS
Die Zuordnung eines Assets zu Kategorien treffen und begründen Menschen. Die Vererbung entlang der Hierarchie rechnet die Anwendung selbst.
Was beim Menschen bleibtBSI-Standard 300-1, Kapitel 2.10 und 4.1.2: Veröffentlicht
Die Institutionsleitung trägt die Verantwortung für das ISMS und gibt die wesentlichen Entscheidungen frei. MUSS-Anforderungen erlauben keine Ausnahme oder Risikoakzeptanz; eine dauerhaft nicht erfüllte SOLLTE-Anforderung erfordert eine Risikobetrachtung und die Freigabe des Restrisikos.
Auslegung in BlueProceedings ISMS
BlueProceedings ISMS trennt diese Wege technisch: Bei MUSS sperrt es Ausnahme, Herabstufung und Risikoakzeptanz; vorübergehende MUSS- und SOLLTE-Lücken verlangen Begründung und Frist. Dauerhafte SOLLTE-Lücken werden zu Risikokandidaten; erforderliche Leitungsentscheidungen laufen als formaler Akzeptanzantrag, im regulären Betrieb mit erzwungener Vier-Augen-Trennung. Die fachliche Entscheidung bleibt bei der Institutionsleitung und den zuständigen Rollen.

Wo Grundschutz++ gerade steht.

Die wichtigsten Termine aus dem Meilensteinplan des BSI. Alle Termine stehen im Zeitplan.

27.10.2026BSI-Standard 300-1Das BSI stellt den BSI-Standard 300-1 (Methodik Grundschutz++) auf der it-sa in Nürnberg vor und stellt ihn der Community zur Anwendung bereit.
01.01.2027ZertifizierbarAnträge auf eine ISO-27001-Zertifizierung auf Basis von Grundschutz++ sind möglich, ebenso auf die Zertifizierung zum GS++-Berater und GS++-Auditteamleiter.
2027Early-Adopter-PhaseVom ersten Quartal bis zum 31.12.2027 für die Anwendung des BSI-Standards 300-1.
30.11.2031Ende IT-GrundschutzDie Zertifizierbarkeit nach IT-Grundschutz endet, laut BSI fünf Jahre nach der Veröffentlichung von Grundschutz++.

Weiterlesen

BSI-Standard 300-1 (BSI 300-1): die Methodik Grundschutz++ erklärtBSI-Standard 300-1 (BSI 300-1) erklärt: Aufbau, fünf Prozessschritte mit Kapiteln, Teilschritte 2.1 bis 2.11 und die 35 Mindestkriterien der Risikobetrachtung.Grundschutz++ umsetzen: der erste Durchlauf, Schritt für SchrittGrundschutz++ umsetzen: der erste Durchlauf in zehn Schritten nach BSI-Standard 300-1, mit Kapiteln, Entscheidungen der Leitung und typischen Stolpersteinen.Umstieg auf Grundschutz++: Migration vorbereitenVon IT-Grundschutz zu Grundschutz++: Was sich übernehmen lässt, was neu entschieden werden muss und warum BlueProceedings ISMS neu modelliert.

Quellen

BSI: BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0Methodik und Grundlage der Kapitelangaben auf dieser Seite
BSI: Grundschutz++Überblick und Meilensteinplan (Stand Oktober 2026)
Stand-der-Technik-Bibliothek: Grundschutz++Anwenderkatalog und Methodik als OSCAL-Dateien auf GitHub

Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.

Grundschutz++ nicht in Tabellen nachbauen.

BlueProceedings ISMS setzt die fünf Prozessschritte als verbundene Arbeitskette um. Die Startseite zeigt, wie das in der Pre-Alpha aussieht.

So sieht es aus Interesse melden