Grundschutz++ umsetzen: der erste Durchlauf, Schritt für Schritt.
Der häufigste Fehler beim Einstieg ist, alles auf einmal erfassen zu wollen. Der BSI-Standard 300-1 empfiehlt das Gegenteil: mit dem wichtigsten Geschäftsprozess der höchsten Schutzbedarfskategorie beginnen und die übrigen schrittweise folgen lassen (Kapitel 2.6). Diese Seite beschreibt einen ersten Durchlauf in zehn Schritten, mit den Kapiteln, auf die sich jeder stützt.
- Veröffentlicht: was das BSI im BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 und in den ergänzenden Quellen herausgegeben hat
- Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt
Der erste Durchlauf in zehn Schritten.
Unser Vorschlag für die Reihenfolge. Die Kapitelangaben beziehen sich auf den BSI-Standard 300-1.
- 1Auftrag der Leitung
Die Verantwortung für das ISMS liegt bei der Leitung und ist nicht delegierbar. Ohne ihren Auftrag und Ressourcen beginnt kein Durchlauf (Kapitel 2.10).
- 2Kontext und Compliance
Einflussfaktoren knapp festhalten, gesetzliche und vertragliche Verpflichtungen zusammenstellen, Compliance-Stellen anhören (Kapitel 2.1, 2.2).
- 3Anwendungsbereich und Stakeholder
Abgrenzen, wofür das ISMS gilt, und die Erwartungen interessierter Parteien mit Priorität dokumentieren (Kapitel 2.3, 2.4).
- 4Prozesse und Schutzbedarf
Geschäftsprozesse identifizieren, Schutzbedarf normal oder hoch festlegen und den ersten Prozess wählen (Kapitel 2.5, 2.6).
- 5Leitlinie, Rollen, Dokumente
Leitlinie freigeben und kommunizieren, Rollen ohne Interessenkonflikte besetzen, Dokumentenlenkung einrichten (Kapitel 2.7 bis 2.9).
- 6Risikorahmen autorisieren
Risikoappetit, Akzeptanzkriterien, Verfahren und Rollen festlegen und von der Leitung autorisieren lassen (Kapitel 2.11, Anhang 3, Kriterien 1 bis 10).
- 7Informationsverbund und Assets
Für den gewählten Prozess Assets und Abhängigkeiten erfassen, Schnittstellen und Auslagerungen dokumentieren (Kapitel 3.1, 3.2).
- 8Anforderungspaket bilden
Blaupausen wählen, Zielobjektkategorien zuordnen, Ergänzungen aufnehmen, Parameter konkretisieren (Kapitel 3.3 bis 3.5).
- 9Umsetzen und planen
Umsetzungsstatus je Anforderung erheben, Lücken nach Modalverb bewerten, Risiken betrachten, Maßnahmen mit Zuständigkeit und Frist planen (Kapitel 4).
- 10Überwachen und verbessern
Fortschritt verfolgen, interne Audits und Managementbewertung vorbereiten, Wirksamkeit prüfen, nächsten Prozess beginnen (Kapitel 5, 6).
Prozessschritt 1 im Detail.
Die Funktionsseite zur Erhebung und Planung zeigt die elf Teilschritte in der Anwendung. Diese Ergebnisse sollten am Ende von Prozessschritt 1 vorliegen.
- Rahmen
Eine knappe Notiz zu internen und externen Einflussfaktoren und ein Verzeichnis der Compliance-Verpflichtungen mit Quelle (Kapitel 2.1, 2.2).
- Anwendungsbereich
Ein von der Leitung festgelegter Anwendungsbereich mit Prozessen, Einheiten, Standorten, Anwendungen, IT-Systemen und berücksichtigten Dienstleistern, Ausschlüsse benannt (Kapitel 2.3).
- Stakeholder
Interne und externe interessierte Parteien mit Erwartungen und Priorität, dazu die Entscheidung, welche als verbindliche Anforderungen ins ISMS eingehen (Kapitel 2.4).
- Prozesse und Schutzbedarf
Eine Liste der Geschäftsprozesse mit Zweck, Schutzbedarf je Grundwert und der freigegebenen Reihenfolge der Bearbeitung (Kapitel 2.5, 2.6, 2.10).
- Organisation
Eine freigegebene und kommunizierte Leitlinie, besetzte Rollen und Verfahren für Kommunikation und Dokumentenlenkung (Kapitel 2.7 bis 2.9).
- Risikorahmen
Ein autorisierter Rahmen aus Risikoappetit, Akzeptanzkriterien, Verfahren, Kriterien und Rollen (Kapitel 2.11).
Wer was entscheidet.
Ein ISMS scheitert selten an der Methodik, öfter an unklaren Zuständigkeiten. So verteilt der Standard die wichtigsten Entscheidungen.
Institutionsleitung
- Anwendungsbereich, Schutzbedarf, Reihenfolge der Prozesse, Ressourcen, Leitlinie (2.10)
- Rahmen der Risikobetrachtung autorisieren (2.11, Kriterium 9)
- Restrisiken und Ausnahmen autorisieren (Kriterien 27, 30)
- Zuständigkeiten und Fristen freigeben (4.4), Managementbewertung (5.3)
Sicherheitsorganisation
- Rollen mit Qualifikation, ohne Interessenkonflikte (2.8)
- ISB wird in sicherheitsrelevante Projekte eingebunden (2.8)
- Fortschritt verfolgen, getrennt von der Umsetzung (4.5)
Prozess- und Risikoeigentümer
- Geschäftsprozesseigentümer ist Risikoeigentümer, sofern nichts anderes festgelegt ist (4.2.1)
- Umsetzungsplanung für Risikomaßnahmen autorisieren (Kriterium 31)
Prüfende
- Internes Audit mit unparteiischem Auditteam (5.2.2)
- Wirksamkeit nach Abschluss der Umsetzung prüfen (6.4)
Typische Stolpersteine.
- Zu fein modellieren
Anhang 2 warnt vor einer zu feinen Aufgliederung der Geschäftsprozesse. Einzelne Tätigkeiten sind keine Prozesse; die Beschreibung soll so einfach wie möglich und so genau wie nötig sein.
- Methodik-Anforderungen vergessen
Neben den Anforderungen für Assets gelten die Methodik-Anforderungen für jeden Informationsverbund verpflichtend (Kapitel 3.4.1). Sie decken die Managementsystem-Seite ab.
- Entscheidungen nachtragen
Rollen, Begründungen und Freigaben schon im ersten Durchlauf mitführen. Späteres Nachtragen kostet mehr und verliert den Zusammenhang.
- Nachweise sammeln statt prüfen
Für jeden Nachweis Bezug, Gültigkeit und Prüfstatus festhalten. Eine Datei allein zeigt noch keine wirksame Umsetzung.
- SOLLTE-Lücken als erledigt ansehen
Eine temporäre Lücke braucht eine stichhaltige Begründung, eine dauerhafte eine Risikobetrachtung (Kapitel 4.1.2). Bei MUSS hilft beides nicht.
- Den nächsten Zyklus vergessen
Die Risikobetrachtung ist mindestens jährlich und bei wesentlichen Änderungen zu überprüfen (Anhang 3, Kriterium 35). Ein ISMS wird mit der ersten Freigabe nicht fertig.
Was ein Werkzeug dabei abnehmen kann.
- ReihenfolgeKapitel 2 bis 4
- Veröffentlicht
Der Standard beschreibt die Schritte, nicht, wann ihr wo weitermacht.
Auslegung in BlueProceedings ISMSEin Einrichtungsassistent leitet aus dem erfassten Bestand den nächsten sinnvollen Schritt ab; der Lern-Modus erklärt Abläufe in einer getrennten Übungsumgebung.
- Überblick über Prozessschritt 1Kapitel 2.1 bis 2.11
- Veröffentlicht
Elf Teilschritte mit Ergebnissen und Freigaben der Leitung.
Auslegung in BlueProceedings ISMSEine Übersicht zeigt je Teilschritt den Stand und führt zur Stelle, an der weitergearbeitet wird. Eine Leitungsmappe zeigt je Thema, was freigegeben ist, wann und von welcher Rolle.
- Vererbung und PaketKapitel 3.4
- Veröffentlicht
Anforderungen ergeben sich aus der Zuordnung von Assets zu Zielobjektkategorien.
Auslegung in BlueProceedings ISMSDie Anwendung rechnet die Vererbung und hält Herkunft und Parameter jeder Anforderung fest. Die Zuordnung bleibt eine begründete Entscheidung.
Fragen zur Einführung.
Wie beginnt man mit Grundschutz++?
Mit dem Auftrag der Leitung, dem Kontext, dem Anwendungsbereich und einem priorisierten Geschäftsprozess. Der BSI-Standard 300-1 empfiehlt, mit dem wichtigsten Prozess der höchsten Schutzbedarfskategorie zu beginnen.
Muss die ganze Institution sofort erfasst werden?
Nein. Der Anwendungsbereich kann die ganze Institution oder einen Teil umfassen, und die Geschäftsprozesse werden nacheinander bearbeitet. Sukzessive sind aber alle Prozesse im Anwendungsbereich zu untersuchen.
Welche Entscheidungen trifft die Leitung?
Mindestens Anwendungsbereich, Schutzbedarf, Reihenfolge der Prozesse, Ressourcen und Leitlinie (Kapitel 2.10), dazu den Rahmen der Risikobetrachtung und die Restrisiken (Anhang 3).
Was kann eine Software bei der Umsetzung abnehmen?
Sie kann Kataloge einlesen, Anforderungen ableiten, Vererbung rechnen, Fristen überwachen und Zusammenhänge anzeigen. Bewertung, Umsetzung, Wirksamkeitsprüfung und Leitungsentscheidungen bleiben fachliche Aufgaben.
Weiterlesen
Quellen
- BSI: BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0Grundlage aller Kapitel- und Kriterienangaben auf dieser Seite
- BSI: Grundschutz++Meilensteinplan, Stand Oktober 2026, am 01.11.2026 geprüft
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
Den ersten Durchlauf überschaubar halten.
Der Einrichtungsassistent und der Lern-Modus führen durch die Reihenfolge, ohne fachliche Entscheidungen vorwegzunehmen.