BSI IT-Grundschutz & Grundschutz++

BSI-Standard 200-1 definiert die allgemeinen Anforderungen an ein Managementsystem für Informationssicherheit (ISMS) und ist kompatibel zur ISO/IEC 27001. BSI-Standard 200-2 beschreibt die eigentliche IT-Grundschutz-Methodik mit den drei Vorgehensweisen Basis-, Standard- und Kern-Absicherung; BSI-Standard 200-3 bündelt alle risikobezogenen Arbeitsschritte der IT-Grundschutz-Umsetzung in einem vereinfachten Risikomanagement. Diese drei Standards erschienen 2017 als Nachfolger der 100er-Reihe. Ergänzend liefert BSI-Standard 200-4 (2023) eine praxisnahe Anleitung für den Aufbau eines Business Continuity Management Systems (BCMS) und löst als modernisierter Standard den früheren BSI-Standard 100-4 ab.

Das IT-Grundschutz-Kompendium übersetzt die Methodik in konkrete Anforderungen. Die aktuelle Edition 2023 (veröffentlicht am 1. Februar 2023) enthält 111 Bausteine – von ISMS- und Organisationsthemen über Anwendungen und IT-Systeme bis zu Netzen und Infrastruktur, darunter neu aufgenommene Bausteine wie OPS.1.1.1 (Allgemeiner IT-Betrieb) oder APP.5.4 (Unified Communications und Collaboration). Jeder Baustein beschreibt die Gefährdungslage seines Themas und formuliert abgestufte Anforderungen für die Basis-Absicherung, die Standard-Absicherung und den erhöhten Schutzbedarf. Während der Modernisierung zu Grundschutz++ bleibt der klassische IT-Grundschutz parallel anwendbar und zertifizierbar; das BSI hat dafür eine mehrjährige Übergangszeit vorgesehen.

BSI-Standard 200-2 sieht drei Vorgehensweisen vor. Die Standard-Absicherung ist das vollständige, klassische Vorgehen für den gesamten Informationsverbund. Die Basis-Absicherung ermöglicht eine breite Erst-Absicherung mit den wichtigsten Anforderungen und eignet sich als Einstieg – niederschwellig unterstützt durch das BSI-Angebot WiBA („Weg in die Basis-Absicherung“); die Kern-Absicherung konzentriert die Ressourcen zunächst auf die besonders schützenswerten Werte einer Institution. Basis- und Kern-Absicherung sind als Zwischenschritte konzipiert, aus denen sich die Standard-Absicherung schrittweise entwickeln lässt.

Mit dem Zertifikat „ISO 27001 auf Basis von IT-Grundschutz“ bestätigt das BSI als Zertifizierungsstelle, dass ein ISMS sowohl die Anforderungen der ISO/IEC 27001 als auch die deutlich konkreteren Anforderungen des IT-Grundschutzes erfüllt. Grundlage ist eine umgesetzte Standard- oder Kern-Absicherung; für die Basis-Absicherung ist ein Testat, aber kein Zertifikat vorgesehen. Das Audit führt ein vom BSI zertifizierter Auditor durch – mit Dokumentenprüfung, Vor-Ort-Prüfung und Auditbericht; über die Erteilung entscheidet das BSI. Das Zertifikat gilt drei Jahre und wird durch Überwachungsaudits im ersten und zweiten Jahr nach Erteilung bestätigt.

Mit Grundschutz++ entwickelt das BSI den IT-Grundschutz zu einem vollständig prozessorientierten, maschinenlesbaren Regelwerk weiter. Kernbestandteile sind die am PDCA-Zyklus ausgerichtete Methodik (Pilotierungsfassung vom 1. April 2026), der Anwenderkatalog mit den technischen und organisatorischen Anforderungen sowie die Stand-der-Technik-Bibliothek, über die das BSI seine Kataloge als maschinenlesbare OSCAL-Dokumente auf GitHub bereitstellt; die bisherigen 111 Bausteine des Kompendiums werden dabei in 19 Praktiken konsolidiert. Die bisherigen Absicherungsstufen werden durch flexible Leistungszahlen in Verbindung mit dynamischen Schwellwerten ersetzt. Der Fahrplan des BSI: Pilotierungsphase vom 1. April bis 30. September 2026, Vorstellung der Methodik auf der it-sa am 27. Oktober 2026, Start der Ausbildung zum GS++-Berater und GS++-Auditteamleiter für bereits zertifizierte Personen ab 1. November 2026 – und ab dem 1. Januar 2027 können Anträge auf Zertifizierung nach ISO 27001 auf Basis von Grundschutz++ gestellt werden.

Ein natives ISO/IEC-27001-Zertifikat einer akkreditierten Zertifizierungsstelle und ein BSI-Zertifikat auf IT-Grundschutz-Basis schließen sich nicht aus: Beide Nachweise lassen sich aus einem integrierten ISMS bedienen, da sich die Kontrollbereiche weitgehend überschneiden. Die ISO/IEC 27001 ist international anschlussfähig und risikobasiert-generisch formuliert; der IT-Grundschutz liefert die konkreten Umsetzungsanforderungen, die insbesondere Behörden, KRITIS-Betreiber und öffentliche Auftraggeber erwarten. Auch Grundschutz++ bleibt nach Angaben des BSI kompatibel zur ISO 27001, sodass bestehende ISO-Strukturen weiter nutzbar sind. Eine solche Dual-Compliance-Strategie vermeidet Doppelstrukturen, stärkt die Nachweisfähigkeit gegenüber Kunden und Aufsichtsbehörden und unterstützt die Vorbereitung auf europäische Vorgaben wie NIS-2.