{"id":34816,"date":"2026-08-31T17:29:42","date_gmt":"2026-08-31T15:29:42","guid":{"rendered":"https:\/\/sits.com\/?p=34816"},"modified":"2026-08-31T17:29:44","modified_gmt":"2026-08-31T15:29:44","slug":"grundschutz-plus-plus-bsi-it-grundschutz","status":"publish","type":"post","link":"https:\/\/sits.com\/ch\/blog\/grundschutz-plus-plus-bsi-it-grundschutz\/","title":{"rendered":"Grundschutz++ erkl\u00e4rt"},"content":{"rendered":"

[vc_row][vc_column][vc_column_text]Wo stehen wir heute?\u00a0Grundschutz++<\/strong> ist im Juli 2026 noch kein fertig ausgerollter Nachfolger des bisherigen IT-Grundschutzes, sondern eine anwendbare Pilotfassung<\/strong>, die das BSI gemeinsam mit Pilotpartnern erprobt.<\/p>\n

Relevant bleibt das Thema trotzdem, denn die Richtung steht fest: Der IT-Grundschutz wird digitaler, st\u00e4rker an Prozessen ausgerichtet und so strukturiert, dass Werkzeuge seine Inhalte direkt verarbeiten k\u00f6nnen. F\u00fcr Unternehmen und Beh\u00f6rden beginnt deshalb jetzt die Zeit der Vorbereitung und Weichenstellung<\/strong>, um Fehlinvestitionen, Mehrfachaufw\u00e4nde und Ressourcenengp\u00e4sse zu vermeiden.[\/vc_column_text]

<\/div>\n

Grundschutz++ im \u00dcberblick: OSCAL, Anforderungen und Zeitplan<\/h2>[vc_column_text]Grundschutz++ ist die umfassende Modernisierung des BSI IT-Grundschutzes.<\/strong>\u00a0Die Anforderungen werden in der Stand-der-Technik-Bibliothek als maschinenlesbare OSCAL-Daten im JSON-Format bereitgestellt. Der aktuelle BSI-Stand nennt 19 Praktiken und 921 Anforderungen. Die Pilotierungsphase l\u00e4uft bis zum 30. September 2026; die Ver\u00f6ffentlichung der Methodik ist f\u00fcr die it-sa 2026<\/a> vom 27. bis 29. Oktober vorgesehen. Zertifizierungsantr\u00e4ge nach ISO 27001 auf Basis von Grundschutz++ sollen ab dem 1. Januar 2027 m\u00f6glich sein.[\/vc_column_text]
<\/div>\n

Was ist Grundschutz++?<\/h2>[vc_column_text]Grundschutz++ ist weder ein neues Gesetz noch ein zus\u00e4tzliches Compliance-Framework, das Unternehmen und Beh\u00f6rden neben ISO 27001, NIS2 und DORA<\/a> \u201eauch noch\u201c einf\u00fchren m\u00fcssen. Es ist die Reform der BSI-Vorgehensweise<\/strong>, mit der Organisationen ein Informationssicherheits-Managementsystem aufbauen, betreiben und nachweisen k\u00f6nnen.<\/p>\n

Der bisherige IT-Grundschutz ist stark durch umfangreiche Norm- und Methodikdokumente, Anforderungskataloge, Umsetzungshinweise und periodische Editionen gepr\u00e4gt. Grundschutz++ verschiebt den Schwerpunkt auf eine prozessorientierte Methodik und eine strukturierte Datenbasis. Das Ziel des BSI: Inhalte modernisieren und den Aufwand im ISMS<\/a> reduzieren, insbesondere dort, wo sich Prozesse automatisieren oder Daten mehrfach nutzen lassen.[1]<\/a>[2]<\/a>[\/vc_column_text]

<\/div>\n[vc_single_image image=\"34758\"]
<\/div>\n[vc_column_text]Der entscheidende Begriff lautet deshalb nicht \u201eweniger Kontrollen\u201c, sondern\u00a0besser verarbeitbare Kontrollen<\/strong>. Dieser stammt aus dem OSCAL-Datenmodell<\/strong>, in dem einzelne Anforderungen als\u00a0Controls<\/em>\u00a0gef\u00fchrt werden; gemeint sind die bekannten Grundschutz-Anforderungen, keine zus\u00e4tzliche Kontrollebene. Anforderungen sollen eindeutig strukturiert, versionierbar, filterbar und in Werkzeugen weiterverwendbar sein.<\/p>\n

Das er\u00f6ffnet Spielraum f\u00fcr eine st\u00e4rker datengetriebene Sicherheitssteuerung, zum Beispiel durch Dashboards zum Umsetzungsstand, Hinweise bei Katalog\u00e4nderungen oder Kennzahlen aus verkn\u00fcpften Nachweisen. Es nimmt der Organisation aber nicht die Verantwortung f\u00fcr Entscheidungen, Risiken, Ma\u00dfnahmenumsetzung oder Wirksamkeitskontrolle ab.<\/p>\n

Strategisch gewinnt Grundschutz++ zus\u00e4tzlich durch NIS2<\/a> an Gewicht. Wichtige und besonders wichtige Einrichtungen m\u00fcssen angemessene Ma\u00dfnahmen unter Ber\u00fccksichtigung des Stands der Technik treffen. Die Stand-der-Technik-Bibliothek macht BSI-Sicherheitsanforderungen maschinenlesbar zug\u00e4nglich und bietet damit eine wichtige fachliche Orientierung. Ob ein Unternehmen betroffen ist<\/a> und welche Ma\u00dfnahmen im konkreten Kontext angemessen sind, bleibt eigenst\u00e4ndig zu pr\u00fcfen.[3]<\/a>[6]<\/a>[7]<\/a>[\/vc_column_text]

<\/div>\n[vc_single_image image=\"34763\"]
<\/div>\n

OSCAL und Grundschutz++: So werden BSI-Anforderungen maschinenlesbar<\/h2>[vc_column_text]OSCAL steht f\u00fcr\u00a0Open Security Controls Assessment Language<\/em>. Das offene Datenmodell beschreibt Sicherheitsanforderungen und zugeh\u00f6rige Informationen in maschinenlesbarer Form. Das BSI stellt seine digital strukturierten Sicherheitsanforderungen in der Stand-der-Technik-Bibliothek bereit; der Grundschutz++-Anwenderkatalog liegt dort als JSON-Datei vor.[2]<\/a>[3]<\/a>[\/vc_column_text]
<\/div>\n[vc_single_image image=\"34768\"]
<\/div>\n[vc_column_text]F\u00fcr die Praxis sind vor allem f\u00fcnf Effekte relevant:<\/p>\n
    \n
  1. \u00c4nderungen werden technisch vergleichbar:<\/strong>\u00a0Statt zwei PDF-Ausgaben manuell gegeneinander zu lesen, k\u00f6nnen Werkzeuge Versionen und Deltas auswerten.<\/li>\n
  2. Inhalte lassen sich kontinuierlich pflegen:<\/strong>\u00a0\u00c4nderungen bleiben einer konkreten Katalogversion zugeordnet und damit nachvollziehbar.<\/li>\n
  3. Kataloge kommen als offizielle Datenquelle in die Werkzeuge:<\/strong>\u00a0Unterst\u00fctzte ISMS<\/a>- und GRC-Werkzeuge k\u00f6nnen den versionierten Originalkatalog einlesen, statt Inhalte jeweils propriet\u00e4r zu \u00fcbertragen.<\/li>\n
  4. Profile lassen sich zielgerichteter zusammenstellen:<\/strong>\u00a0Ein Profil ist ein gefiltertes, organisationsspezifisches Anforderungspaket: Die Organisation \u00fcbernimmt die f\u00fcr ihren Kontext relevanten Inhalte und verarbeitet sie weiter.<\/li>\n
  5. Nachweise lassen sich systematischer anbinden:<\/strong>\u00a0Ein Ticket kann die Umsetzung einer Anforderung dokumentieren, ein Messwert ihre Wirksamkeit belegen und eine Richtlinie den organisatorischen Rahmen nachweisen. In integrierten Werkzeugen kann die Bewertung dadurch weitgehend aus verkn\u00fcpften Quellen unterst\u00fctzt werden.<\/li>\n<\/ol>\n

    Das ist die Grundlage f\u00fcr \u201eCompliance as Code\u201c \u2013 sofern Prozesse, Daten und Nachweise sauber integriert sind. Eine JSON-Datei allein macht noch keine Organisation compliant.[\/vc_column_text]

    <\/div>\n[vc_single_image image=\"34773\"]
    <\/div>\n[vc_single_image image=\"34778\"]
    <\/div>\n[\/vc_column][\/vc_row][vc_row][vc_column]

    Die 19 Praktiken von Grundschutz++ im \u00dcberblick<\/h2>[vc_column_text]Der aktuelle Pilotkatalog organisiert die Inhalte in 19 Praktiken. Das BSI unterscheidet organisatorische, technische und \u00fcbergreifende ISMS-Praktiken. Die Methodik folgt damit st\u00e4rker den Aufgaben, die eine Organisation dauerhaft beherrschen muss: von Governance<\/a> und Strukturmodellierung bis zu Detektion, Reaktion und kontinuierlicher Verbesserung<\/a> in einer Bedrohungslandschaft, die sich durch den Einsatz von KI in der Cyberkriminalit\u00e4t<\/a> weiter ver\u00e4ndert. [4]<\/a>[\/vc_column_text]
    <\/div>\n[vc_single_image image=\"34783\"]
    <\/div>\n[vc_column_text]Die f\u00fcnf ISMS<\/a>-Praktiken bilden den Steuerungskreislauf:<\/p>\n