Grundschutz++ (auch IT-Grundschutz++ oder GS++) ist eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelte Neufassung des IT-Grundschutzes. Sie besteht aus der Methodik-Grundschutz++, dem Anwenderkatalog-Grundschutz++ und der Stand-der-Technik-Bibliothek und löst schrittweise das bisherige Vorgehen nach den BSI-Standards der Reihe 200-x und dem IT-Grundschutz-Kompendium ab.Bundesamt für Sicherheit in der Informationstechnik: Grundschutz++. bsi.bund.de, abgerufen am 11. August 2026. Die Anforderungen werden maschinenlesbar im Format OSCAL veröffentlicht; erklärte Ziele sind eine Vereinfachung für Anwender sowie geringere Kosten für Dokumentation und Nachweisführung.Grundschutz: Radikalster Umbau seit Bestehen. In: iX. Nr. 6, 2026.
Entstehung Mit der Umsetzung der NIS-2-Richtlinie in deutsches Recht wurde dem BSI die Aufgabe übertragen, einen Stand der Technik für sicherheitstechnische Anforderungen zu definieren (§ 3 Absatz 1 Nummer 27 BSIG).BSI: Leitfaden zur Methodik Grundschutz++. datenschutzticker.de, 27. April 2026. Die NIS2-Umsetzungsverordnung verpflichtet das BSI zur Festlegung dieses Stands der Technik, der für wichtige und besonders wichtige Einrichtungen maßgeblich ist. Der Grundschutz++ ist die Umsetzung dieser Verpflichtung.Christoph Puppe: BSI veröffentlicht ersten Leitfaden für den Grundschutz++. In: iX. Nr. 5, 2026, S. 29.
Der Anwenderkatalog-Grundschutz++ erschien zum 30. September 2025. Anfang April 2026 veröffentlichte das BSI die erste Version des Leitfadens zur Methodik-Grundschutz++ sowie einen Meilensteinplan zur weiteren Entwicklung.Dario Hoff, Kathrin Stollenwerk: Grundschutz++-Leitfaden – wie geht es weiter? ComConsult, 9. Juni 2026. Von April bis Ende September 2026 erprobten Pilotpartner aus öffentlicher Verwaltung und Wirtschaft die Anwendbarkeit der Methodik; die Veröffentlichung der Methodik wird im Oktober 2026 auf der it-sa in Nürnberg erfolgen. Die Veröffentlichung des Leitfadens ist ausdrücklich nicht für eine sofortige Migration bestehender Managementsysteme von der Edition 2023 vorgesehen, sondern zunächst für Pilotanwendungen; mehrere Aspekte, darunter Kennzahlen, Blaupausen, Auditierungsmodelle und Migrationspfade, waren zu diesem Zeitpunkt noch nicht ausgearbeitet.
Aufbau
Methodik-Grundschutz++ Die Methodik-Grundschutz++ beschreibt den organisatorischen und prozessualen Rahmen, in dem die Anforderungen des Grundschutz++ angewendet werden. Sie folgt dem PDCA-Zyklus und verbindet strategische Planung, Anforderungsanalyse, Umsetzung, Überwachung und kontinuierliche Verbesserung.BSI: Der neue Leitfaden „Methodik Grundschutz++“. QM-aktuell.de, 7. April 2026. Die Methodik definiert Mindestanforderungen, die zur vollständigen Umsetzung des Grundschutz++ zu erfüllen sind, und lässt den Anwendern darüber hinaus Gestaltungsspielraum in Abhängigkeit von Institutionsgröße und Komplexität des Informationsverbundes. Die normativen Aspekte der Methodik wurden in Anforderungen überführt, die Teil des Anwenderkatalogs sind. Sie sind dort in fünf sogenannte Praktiken gegliedert: Governance und Compliance, Strukturmodellierung, Umsetzung, Verbesserung sowie Monitoring-Evaluation.Bundesamt für Sicherheit in der Informationstechnik: Anwenderkatalog Grundschutz++ (Katalog-Build vom 29. Juli 2026). In: Stand-der-Technik-Bibliothek. github.com/BSI-Bund/Stand-der-Technik-Bibliothek, abgerufen am 11. August 2026.
Anwenderkatalog-Grundschutz++ Der Anwenderkatalog-Grundschutz++ ergänzt die Methodik und enthält die technischen und organisatorischen Anforderungen. Er wird als OSCAL-Katalog veröffentlicht; im Build vom Juli 2026 umfasste er rund 1.000 Anforderungen in 20 Themengruppen, neben den fünf Methodik-Praktiken unter anderem zu Berechtigungsmanagement, Detektion, Konfiguration, Notfallplanung, Beschaffung und Entwicklung. Die Verbindlichkeit der Anforderungen wird über die Modalverben MUSS und SOLLTE ausgedrückt; jede Anforderung trägt zusätzlich Metadaten, darunter eine Aufwandsstufe von 0 bis 5, die eine Priorisierung der Umsetzung unterstützen soll.Bundesamt für Sicherheit in der Informationstechnik: Namespace-Dokumentation (u. a. modal_verbs, effort_level). In: Stand-der-Technik-Bibliothek, Verzeichnis documentation/namespaces, abgerufen am 11. August 2026.
Stand-der-Technik-Bibliothek In der Stand-der-Technik-Bibliothek führt das BSI die Methodik, den Anwenderkatalog und die BSI-Mindeststandards zusammen. Mindeststandards definieren für Einrichtungen des Bundes verbindliche Sicherheitsanforderungen und Vorgaben für die Umsetzung von Anforderungen des Grundschutz++; sie können dem Stand der Technik entsprechen oder in begründeten Fällen davon abweichen. Die Bibliothek wird als öffentliches Repositorium auf GitHub gepflegt. Sie enthält neben dem Anwenderkatalog weitere Kataloge (etwa zum Risikomanagement, zu WLAN und zum Mindeststandard TLS), Zuordnungstabellen (Mappings) zwischen dem Grundschutz++ und dem Anhang A der ISO/IEC 27001 sowie den Anforderungen der Kompendium-Edition 2023 und eine Implementierungsebene mit Beispielkomponenten.
Methodische Unterschiede zum bisherigen IT-Grundschutz Die 2023 veröffentlichte Edition des IT-Grundschutz-Kompendiums ist die letzte Ausgabe in diesem Format. Der Grundschutz++ unterscheidet sich vom bisherigen Vorgehen nach BSI-Standard 200-2 in mehreren Punkten:
Schutzbedarf: Die Schutzbedarfsfeststellung (im Grundschutz++ als Informationssicherheitseinstufung bezeichnet) unterscheidet nur noch zwei Stufen, „normal“ und „hoch“; der BSI-Standard 200-2 sah drei Kategorien vor. Modellierung: Die aus dem Kompendium bekannten Bausteine entfallen. Stattdessen wird für den Informationsverbund ein Anforderungspaket modelliert, dessen Anforderungen über Zielobjektkategorien zugeordnet werden und das bei Bedarf um individuelle Anforderungen ergänzt werden kann. Umsetzungsstatus: Der Umsetzungsstatus einer Anforderung ist binär, „umgesetzt“ oder „nicht umgesetzt“; die bisherigen Status „teilweise umgesetzt“ und „entbehrlich“ existieren nicht mehr. Eine Anforderung gilt nur dann als umgesetzt, wenn auch alle von ihr abhängigen Anforderungen umgesetzt sind. Risikomanagement: Die Methodik für das Informationssicherheitsrisikomanagement kann frei gewählt werden; die Risikoanalyse nach BSI-Standard 200-3 ist damit eine Option unter mehreren. Maschinenlesbarkeit: Anforderungen, Profile und Nachweisdokumente werden im OSCAL-Format abgebildet, um die Weiterverarbeitung und Automatisierung von Compliance-Prozessen zu ermöglichen.
Werkzeuge Durch die Verwendung des offenen OSCAL-Formats lassen sich die Kataloge des Grundschutz++ mit generischen OSCAL-Werkzeugen verarbeiten; das BSI empfiehlt für die Arbeit mit den bereitgestellten JSON-Dateien die Nutzung spezialisierter OSCAL-Werkzeuge.Bundesamt für Sicherheit in der Informationstechnik: Anwenderkatalog Grundschutz++ – Anleitung. In: Stand-der-Technik-Bibliothek, github.com/BSI-Bund, abgerufen am 11. August 2026. Quelloffene Werkzeuge mit Bezug zum Grundschutz++ sind unter anderem:
verinice: Der Hersteller des quelloffenen ISMS-Werkzeugs verinice (SerNet) stellte auf der it-sa 2025, parallel zur Vorstellung der Alphaversion der Methodik durch das BSI, einen Prototyp einer Grundschutz++-Domäne vor.verinice präsentiert Prototyp für den Grundschutz++ auf der it-sa 2025. SerNet GmbH, verinice.com, Oktober 2025. Grundschutz++ Navigator: eine Webanwendung, die die OSCAL-Daten direkt aus dem BSI-Repositorium lädt und den Anwenderkatalog durchsuch- und filterbar darstellt.Grundschutz++ Navigator. grundschutz-navigator.de, abgerufen am 11. August 2026. grundschutz-oscal-viewer: ein lokal ausführbarer Offline-Viewer für den Anwenderkatalog mit Volltextsuche und Zuordnungstabellen zu weiteren Regelwerken, verfügbar als Rust-Paket.grundschutz-oscal-viewer. lib.rs, abgerufen am 11. August 2026. Grundschutz-Plus-Plus-Tools (NTT DATA Deutschland): eine Sammlung quelloffener Browser-Werkzeuge, die den Arbeitsablauf von der Profilerstellung über Systemsicherheitspläne, Prüfpläne und Prüfberichte bis zu Maßnahmenplänen (POA&M) im OSCAL-Format abdecken, ergänzt um ein KI-gestütztes Werkzeug zur Erzeugung von Komponentendefinitionen, Beispielkataloge, Zielobjektkategorien und ein frei verfügbares Handbuch.Grundschutz-Plus-Plus-Tools. NTT DATA Deutschland SE, github.com/NTT-Data-Deutschland-SE, abgerufen am 11. August 2026.Tools supporting OSCAL. oscal.io, abgerufen am 11. August 2026. BSI-GS-Benutzerdefinierte-Edition23-OSCAL (NTT DATA DACH): eine Konvertierungspipeline, die die Baustein-PDFs der Kompendium-Edition 2023 in einen OSCAL-konformen Katalog überführt und die Anforderungen um Metadaten wie Reifegrade und ISMS-Phasen anreichert; darauf aufbauende Komponentendefinitionen dienen als Migrationspfad von der Edition 2023 in den Grundschutz++.BSI-GS-Benutzerdefinierte-Edition23-OSCAL. NTT DATA DACH, github.com/NTTDATA-DACH, abgerufen am 11. August 2026. Generische OSCAL-Werkzeuge: Für das OSCAL-Format existiert ein Ökosystem quelloffener Werkzeuge, darunter die unter dem Dach der Cloud Native Computing Foundation entwickelten Projekte OSCAL Compass und compliance-trestle sowie Referenzwerkzeuge und Bibliotheken des NIST.
Übergang Die bisherige Fassung des IT-Grundschutzes gilt bis Ende 2031 fort. Ein Prüf- und Zertifizierungsschema für den Grundschutz++ lag zum Zeitpunkt der Pilotierung noch nicht vor; die bestehenden Schemata der ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz prüfen weiterhin gegen den BSI-Standard 200-2 und das Kompendium.
Rezeption In der Fachpresse wurde die Umstellung als der radikalste Umbau des IT-Grundschutzes seit dessen Bestehen bezeichnet. Kritisch angemerkt wurde, dass die neue Struktur zwar Bürokratie reduziere, mangels Spezifizierung konkreter Maßnahmen die technische Ausgestaltung der Anforderungen jedoch vollständig in die Verantwortung der Anwender verlagere. Beobachter wiesen zudem auf die zurückhaltende Kommunikation des BSI bei der Veröffentlichung des Methodik-Leitfadens sowie auf den knappen Zeitraum zwischen dem Ende der Pilotierungsphase und der geplanten Veröffentlichung hin.
Siehe auch IT-Grundschutz IT-Grundschutz-Kompendium BSI-Standard NIS-2-Richtlinie
Literatur BSI veröffentlicht ersten Leitfaden für den Grundschutz++. In: iX. Nr. 5, 2026, S. 29 (heise.de). Grundschutz: Radikalster Umbau seit Bestehen. In: iX. Nr. 6, 2026 (heise.de).
Weblinks Grundschutz++ auf der Website des BSI Stand-der-Technik-Bibliothek des BSI auf GitHub BSI Community für Stand der Technik mit Grundschutz++
Einzelnachweise
Kategorie:Informationstechnik (Deutschland) Kategorie:IT-Sicherheit