Umstieg auf Grundschutz++: Migration vorbereiten.
Für den Umstieg veröffentlicht das BSI maschinenlesbare Mappings. Sie zeigen Beziehungen zwischen alten und neuen Anforderungen, belegen aber keine Erfüllung. Grundschutz++ leitet Anforderungen über Geschäftsprozesse, Assets und Zielobjektkategorien ab, nicht über Bausteine. Für den Umstieg bedeutet das: Bisherige Unterlagen sind eine wertvolle Quelle, aber kein fertiges Grundschutz++-Ergebnis.
- Veröffentlicht: was das BSI im BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 und in den ergänzenden Quellen herausgegeben hat
- Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt
Drei unterschiedliche Vorgänge beim Umstieg.
Beim Methodikumstieg prüft ihr, wie das bestehende Sicherheitskonzept zur Methodik des BSI-Standards 300-1 passt. Prozesse, Verantwortlichkeiten und vorhandene Nachweise helfen dabei. Ihre Eignung für die neuen Anforderungen wird fachlich geprüft.
Die Datenübernahme aus einem anderen Werkzeug ist eine eigene Frage: Welche Objekte, Beziehungen, Dateien und Entscheidungsstände lassen sich übertragen? BlueProceedings ISMS bietet in der Pre-Alpha keinen pauschalen Import eines bestehenden IT-Grundschutz-Projekts. Ein Mapping ist keine Importzusage.
Der Katalogwechsel innerhalb der Anwendung betrifft einen neuen Stand der Anforderungen. Hier zeigt die Vorschau, welche Regeln und Parameter sich ändern und welche Folgen das für Blaupausen und Informationsverbünde hat. Die Vorschau selbst ändert den Bestand nicht. Das ist die Katalogmigration; sie ersetzt keinen vollständigen Methodikumstieg.
Was bisher dazu veröffentlicht ist.
Links, was das BSI zum Umstieg sagt, rechts, welche Schlüsse BlueProceedings ISMS daraus zieht.
- MappingsStand-der-Technik-Bibliothek
- Veröffentlicht
Die Bibliothek enthält maschinenlesbare Mappings, die Beziehungen zwischen Regelwerken beschreiben.
Auslegung in BlueProceedings ISMSEin Mapping zeigt, welche Anforderungen zusammenhängen. Es belegt nicht, dass eine alte Umsetzung die neue Anforderung erfüllt; das prüfen Menschen.
- ÜbergangszeitMeilensteinplan, Seite ISMS
- Veröffentlicht
Der IT-Grundschutz bleibt in der mehrjährigen Übergangszeit anwendbar. Die Zertifizierbarkeit nach IT-Grundschutz endet am 30.11.2031.
Auslegung in BlueProceedings ISMSEs gibt Zeit für einen sauberen Neuaufbau, ohne beide Welten in einem Datenbestand zu vermischen.
- Klein anfangenBSI-Standard 300-1, Kapitel 2.6 und 3.2
- Veröffentlicht
Die Geschäftsprozesse werden nach Schutzbedarf priorisiert. Die Assets des wichtigsten Prozesses stehen im ersten Durchlauf im Vordergrund.
Auslegung in BlueProceedings ISMSDer Neuaufbau beginnt mit einem Prozess und wächst mit jedem Zyklus, unterstützt von Vorlagen und einem Einrichtungsassistenten.
Was ihr mitnehmt und was ihr neu entscheidet.
Vier Unterlagen, die fast jedes ISMS hat, liefern eine Grundlage für den Umstieg. Ihre Zuordnung und Bewertung nach Grundschutz++ sind gesondert zu prüfen.
- Geltungsbereich und Strukturanalyse
Liefern Objektkandidaten, Verantwortliche und bekannte Abhängigkeiten. Neu zu entscheiden sind die Abgrenzung des Informationsverbunds, die Assets und ihre Zielobjektkategorien.
- Umsetzungsbeschreibungen
Zeigen die technische und organisatorische Ausgangslage. Neu zu entscheiden ist, welche Grundschutz++-Anforderung sie betreffen und welche Parameter gelten.
- Nachweise
Sind mögliche Nachweise. Ob sie taugen, hängt an Gegenstand, Zeitraum, Prüfumfang und Aussagekraft für die neue Anforderung.
- Risiken und Maßnahmen
Bringen bekannte Ursachen, Szenarien und Zuständigkeiten mit. Neu zu bewerten sind sie nach der aktuellen Methode und mit Bezug zu den neuen Assets.
Ein Umstieg in sieben Schritten.
Unser Vorschlag entlang der Prozessschritte des BSI-Standards 300-1. Er beginnt beim gesicherten Altstand und endet bei neu betrachteten Risiken und auf Wirksamkeit geprüften Maßnahmen.
- 1Altstand sichern
Geltungsbereich, Inventare, Umsetzungen, Risiken und Nachweise mit Datum archivieren. Sie sind Eingabe, kein Ergebnis.
- 2Rahmen neu festlegen
Kontext, Verpflichtungen, Ziele, Rollen und Risikomethodik nach Prozessschritt 1 beurteilen. Alte Freigaben gelten nicht weiter. Wie die Anwendung die elf Teilschritte abbildet.
- 3Wichtigsten Prozess modellieren
Für den priorisierten Geschäftsprozess die Assets erfassen und Zielobjektkategorien zuordnen. Weitere Prozesse folgen.
- 4Paket ableiten
Aktueller Katalog, passende Blaupause und Parameter ergeben das Anforderungspaket. Mappings geben Orientierung.
- 5Umsetzung neu bewerten
Umsetzungen und Nachweise der neuen Anforderung zuordnen und prüfen. Lücken bleiben als offene Anforderungen sichtbar.
- 6Risikoanalyse neu durchführen
Risiken nach dem BSI-Standard 300-1 betrachten, mit Bezug zu Geschäftsprozessen, kritischen Assets und offenen Anforderungen. BlueProceedings ISMS führt von Risikokandidaten über Bewertung und Behandlung bis zu Restrisiko, Akzeptanz und Überprüfung. Alte Risikobewertungen sind Eingabe, kein Ergebnis.
- 7Maßnahmen bewerten
Maßnahmen aus Lücken und Risiken planen und nach der Umsetzung auf Wirksamkeit prüfen (Prozessschritte 4 und 5). Erst die Wirksamkeitsprüfung zeigt, ob eine Maßnahme das Risiko wirklich senkt.
Ein Pilot macht die offenen Fragen greifbar.
Wählt einen priorisierten Prozess und prüft daran alte Umsetzungsbeschreibungen und Nachweise gegen das neue Anforderungspaket. Haltet fest, was weiter nutzbar ist, was ergänzt werden muss und wer darüber entscheidet. So wird der nächste Durchlauf planbar. Das ist unser Vorschlag für die Vorbereitung, keine zusätzliche Vorgabe des BSI.
Fragen zum Umstieg.
Kann ich meine IT-Grundschutz-Modellierung nach Grundschutz++ übernehmen?
Nicht direkt. Grundschutz++ leitet Anforderungen über Geschäftsprozesse, Assets und Zielobjektkategorien ab, nicht über Bausteine. Die bisherige Strukturanalyse liefert Objektkandidaten und Abhängigkeiten, die Zuordnung wird neu entschieden.
Was zeigen die Mappings des BSI?
Beziehungen zwischen Anforderungen von IT-Grundschutz 2023 und Grundschutz++. Sie belegen nicht, dass eine alte Umsetzung die neue Anforderung erfüllt; das prüfen Menschen.
Gelten alte Freigaben der Leitung weiter?
In unserem Vorschlag nicht. Anwendungsbereich, Schutzbedarf, Leitlinie und Risikorahmen werden nach Prozessschritt 1 des BSI-Standards 300-1 neu beurteilt und freigegeben; die alten Unterlagen sind Eingabe.
Womit fange ich an?
Mit dem Rahmen aus Prozessschritt 1 und dem wichtigsten Geschäftsprozess aus der höchsten Schutzbedarfskategorie (BSI-Standard 300-1, Kapitel 2.6). Weitere Prozesse folgen in den nächsten Zyklen.
Weiterlesen
Quellen
- BSI: BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0Methodik, Prozessschritte 1 bis 5 und Risikobetrachtung
- BSI: Grundschutz++Meilensteinplan und Ende der Zertifizierbarkeit nach IT-Grundschutz, am 27.10.2026 geprüft
- Stand-der-Technik-Bibliothek: MappingsBeziehungen zwischen Regelwerken als OSCAL-Dateien
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
Den Umstieg einmal sauber machen.
Wenn ihr gerade einen Umstieg plant, erzählt uns, wo es hakt. Rückmeldungen aus der Praxis fließen in die Planung der ersten Version ein.