Grundschutz++: Zeitplan und Zertifizierung.
Der BSI-Standard 300-1, die Methodik Grundschutz++, liegt seit Oktober 2026 vor und wurde am 27.10.2026 auf der it-sa in Nürnberg vorgestellt. Ab dem 01.01.2027 können Anträge auf eine ISO-27001-Zertifizierung auf Basis von Grundschutz++ gestellt werden. Die Zertifizierbarkeit nach IT-Grundschutz endet am 30.11.2031, fünf Jahre nach der Veröffentlichung von Grundschutz++ (nicht des IT-Grundschutzes).
- Veröffentlicht: was das BSI im BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 und in den ergänzenden Quellen herausgegeben hat
- Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt
Alle Meilensteine.
So steht es im Meilensteinplan des BSI, Stand Oktober 2026. Das BSI passt den Plan laufend an; vor einer Entscheidung lohnt der Blick in die Quelle.
- Leitfaden erscheintErste Fassung des Leitfadens zur Methodik Grundschutz++, erstellt von BSI und Stand-der-Technik-Community. Dieser Termin steht im Leitfaden selbst, nicht im Meilensteinplan.
- Pilotierung beginntDie Methodik liegt in einer anwendbaren Pilotierungsfassung vor; Pilotierungspartner aus öffentlicher Verwaltung und Wirtschaft erproben sie in der Praxis.
- Pilotierung endetErkenntnisse aus der Pilotierung fließen in die Weiterentwicklung der Methodik ein.
- BSI-Standard 300-1Der BSI-Standard 300-1 (Methodik Grundschutz++) wurde auf der it-sa 2026 in Nürnberg vorgestellt und der Community zur Anwendung bereitgestellt.
- SchulungskonzepteVeröffentlichung der neuen Schulungskonzepte für die Ausbildung zum GS++-Praktiker und GS++-Berater.
- AnwendungsbeispielVeröffentlichung eines Anwendungsbeispiels anhand der fiktiven Behörde „BDIT“.
- ZertifizierbarZertifizierungsanträge nach ISO 27001 auf Basis von Grundschutz++ können gestellt werden, ebenso für die Zertifizierung zum GS++-Berater und GS++-Auditteamleiter.
- Fortbildung zum GS++-Berater und -AuditteamleiterFür bereits zertifizierte IT-Grundschutz-Berater und Auditteamleiter gibt es eine gesonderte Fortbildung für die Zertifizierung zum GS++-Berater und GS++-Auditteamleiter.
- Start der Early-Adopter-PhaseDie Early-Adopter-Phase für die Anwendung des BSI-Standards 300-1 beginnt.
- LeistungsmessungDas Konzept zur Leistungsmessung für ein ISMS auf Basis von Grundschutz++ wird in die Methodik integriert.
- LeistungskennzahlenJede Anforderung der ISMS-Praktiken erhält Leistungskennzahlen.
- Ende der Early-Adopter-PhaseDie Early-Adopter-Phase für den BSI-Standard 300-1 endet.
- InternationalisierungAndere Managementsysteme sollen in Grundschutz++ integriert werden.
- Ende IT-GrundschutzDie Zertifizierbarkeit des IT-Grundschutzes endet, laut BSI fünf Jahre nach der Veröffentlichung von Grundschutz++.
Was das für die Vorbereitung heißt.
Bis 2031 ist Zeit, aber ein Umstieg dauert länger als ein Audit-Zyklus. Links, was bisher veröffentlicht ist, rechts, wie BlueProceedings ISMS damit umgeht.
- Der Katalog ändert sichSeite Grundschutz++, Bibliothek
- Veröffentlicht
Der Meilensteinplan wird laufend angepasst, und die Stand-der-Technik-Bibliothek erhält neue Stände. Bis Ende 2027 läuft die Early-Adopter-Phase für die Anwendung des BSI-Standards 300-1.
Auslegung in BlueProceedings ISMSJeder Informationsverbund arbeitet auf einem festen Katalogstand. Die Anwendung steuert und unterstützt die Migration auf einen neuen Stand: Vor dem Wechsel zeigt sie je Informationsverbund, welche Anforderungen neu, geändert oder entfallen sind und welche Parameter sich ändern. Nach dem Wechsel führt eine Liste der Migrationsänderungen durch die Neubewertung, sichtbar an der Institution, am Informationsverbund und am einzelnen Objekt. Wer übernimmt, begründet den Wechsel; eine Freigabe ist nötig.
- Einstieg mit einem ProzessBSI-Standard 300-1, Kapitel 2.6 und 3.2
- Veröffentlicht
Im ersten Durchlauf reicht es, die Assets für den wichtigsten Geschäftsprozess zu erfassen. Weitere Prozesse können in den nächsten Zyklen oder parallel folgen.
Auslegung in BlueProceedings ISMSEin Einrichtungsassistent leitet aus dem erfassten Bestand den nächsten Schritt ab, damit der erste Durchlauf überschaubar bleibt. Wer die Methodik erst lernen will, findet dazu den Lernmodus.
- Mappings für den UmstiegStand-der-Technik-Bibliothek
- Veröffentlicht
Das BSI veröffentlicht ein maschinenlesbares Mapping von IT-Grundschutz 2023 auf Grundschutz++. Es beschreibt Beziehungen zwischen alten und neuen Anforderungen, aber keine automatische Erfüllung.
Auslegung in BlueProceedings ISMSBlueProceedings ISMS nutzt Mappings als Orientierung und bewertet Zuordnung, Umsetzungsstatus und Nachweise im neuen Anforderungspaket neu. Mehr dazu auf der Seite zum Umstieg.
- Kennzahlen folgen 2027Meilensteinplan
- Veröffentlicht
Bis zum 31.03.2027 sollen alle Anforderungen der ISMS-Praktiken Leistungskennzahlen erhalten. Bis dahin sind Institutionen in der Leistungsbewertung frei (BSI-Standard 300-1, Kapitel 5.1).
Auslegung in BlueProceedings ISMSDie Pre-Alpha hat ein KPI-Register mit eingebauten, berechneten und manuell gemessenen Kennzahlen, Zielwert, Schwellen und Zeitreihe. Wie sie zu den Kennzahlen des BSI passen, prüfen wir, sobald diese veröffentlicht sind.
Fragen zum Zeitplan.
Ab wann ist Grundschutz++ zertifizierbar?
Laut Meilensteinplan des BSI können ab dem 01.01.2027 Anträge auf eine ISO-27001-Zertifizierung auf Basis von Grundschutz++ gestellt werden.
Wie lange gilt die Zertifizierung nach IT-Grundschutz noch?
Die Zertifizierbarkeit nach IT-Grundschutz endet laut BSI am 30.11.2031, fünf Jahre nach der Veröffentlichung von Grundschutz++.
Wann wurde der BSI-Standard 300-1 veröffentlicht?
Am 27.10.2026 auf der it-sa in Nürnberg, als Version 1.0 der Methodik Grundschutz++.
Was ist die Early-Adopter-Phase?
Ein Zeitraum für die Anwendung des BSI-Standards 300-1, der laut Meilensteinplan im ersten Quartal 2027 beginnt und am 31.12.2027 endet.
Muss ich jetzt schon umsteigen?
Nein. Der IT-Grundschutz bleibt in der Übergangszeit anwendbar. Ein Umstieg dauert aber länger als ein Auditzyklus; ein früher Einstieg mit dem wichtigsten Geschäftsprozess verteilt den Aufwand.
Keine Zertifizierungsaussage.
BlueProceedings ISMS unterstützt die Vorbereitung. Ob eine Institution zertifiziert wird, entscheidet die zuständige Stelle nach den dann geltenden Grundlagen. Die erste Version von BlueProceedings ISMS ist für Januar 2027 geplant.
Weiterlesen
Quellen
- BSI: Grundschutz++Meilensteinplan, Stand Oktober 2026, am 26.10.2026 geprüft
- BSI: Leitfaden zur Methodik Grundschutz++, Version März 2026PDF, Änderungshistorie der Pilotierungsfassung
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
Bereit sein, wenn Grundschutz++ zertifizierbar wird.
Ab dem 11.11.2026 testen bis zu elf Personen aus der ISMS-Praxis die Pre-Alpha. Die Startseite zeigt, was schon läuft.