Grundschutz++ ab 2027: Zertifizierbar, aber wie ausgereift?

Grundschutz++ ist ab dem 1. Januar 2027 zertifizierbar, das hat das BSI offiziell festgelegt. Die Methodik bricht bewusst mit dem präskriptiven Bausteinkatalog des klassischen IT-Grundschutz und rückt näher an internationale Standards. Zentrale Bausteine wie die Risikobewertung werden dabei noch weiterentwickelt.

Was ist Grundschutz++ und ab wann wird es zertifizierbar?

Grundschutz++ ist die vom BSI neu entwickelte, vollständig prozessorientierte ISMS-Methodik entlang des PDCA-Zyklus. Sie wird von April bis September 2026 pilotiert, am 27. Oktober 2026 auf der it-sa in Nürnberg veröffentlicht und ist ab dem 1. Januar 2027 zertifizierbar (ISO 27001 auf Basis von Grundschutz++). Aktuell befindet sie sich in der "Einführungs- und Erprobungsphase" (Stand Methodik-Leitfaden, März 2026).

Laut dem BSI-eigenen "Leitfaden zur Methodik Grundschutz++" (Version März 2026) ist Grundschutz++ "ein konsequenter Schritt in der Evolution des IT-Grundschutzes des BSI als Reaktion auf die sich wandelnde Informationssicherheitslandschaft". Entwickelt wurde die Methodik basierend auf "umfangreichen praktischen Erfahrungen und dem Feedback zahlreicher Anwenderinnen und Anwender".

Der Sicherheitsprozess läuft in fünf Prozessschritten entlang des PDCA-Zyklus:

• Erhebung und Planung (Plan)
• Anforderungsanalyse (Plan)
• Realisierung (Do)
• Überwachung (Check)
• Kontinuierliche Verbesserung (Act)

Jeder Prozessschritt ist einer von drei Praktiken-Gruppen zugeordnet: ISMS-Praktiken, organisatorische Praktiken und technische Praktiken, insgesamt 19 Praktiken, im BSI-Leitfaden als Praktiken-Rad dargestellt.

Die Zeitleiste ist auf der offiziellen BSI-Seite zu Grundschutz++ festgelegt: Die Pilotierungsphase läuft vom 1. April bis 30. September 2026 mit "Pilotierungspartnern aus der öffentlichen Verwaltung und aus der freien Wirtschaft". Die Veröffentlichung folgt am 27. Oktober 2026 auf der it-sa in Nürnberg. Zertifizierbar ist die Methodik ab dem 1. Januar 2027. Wörtlich hält das BSI fest: "Der GS++ ist zertifizierbar." Ab diesem Datum gilt: "Für eine Zertifizierung nach ISO 27001 auf Basis von GS++ können Zertifizierungsanträge gestellt werden."

Gegenüber dem bisherigen IT-Grundschutz-Kompendium fällt Grundschutz++ deutlich schlanker aus: Laut mehreren übereinstimmenden Fachbeiträgen sinkt die Zahl von 6.567 Teilanforderungen auf 985 Anforderungen, eine Reduktion um rund 85 Prozent, strukturiert in den 19 prozessorientierten Praktiken. Diese Zahlen stammen aus der Fachpresse, nicht von der BSI-Seite selbst.

Für den Übergang gilt nach aktueller Brancheneinordnung: Der bisherige IT-Grundschutz bleibt bis Ende 2028 gültig, bestehende Zertifizierungen können bis 2029 auf Grundschutz++ umgestellt werden.

Was ändert sich methodisch gegenüber dem klassischen IT-Grundschutz?

Grundschutz++ ersetzt die drei starren Absicherungspfade (Basis-, Standard-, Kern-Absicherung) durch eine einheitliche, prozessorientierte Vorgehensweise entlang der fünf PDCA-Prozessschritte. Statt vorgegebene Bausteine 1:1 zu übernehmen, modelliert die Institution Anforderungen selbst über Zielobjektkategorien auf ihre Assets. Das verschiebt Verantwortung von der Vorgabe zur Eigenleistung der Institution.

Der klassische IT-Grundschutz stützt sich auf vier BSI-Standards (200-1 bis 200-4) und rund 110 Bausteine in zehn Schichten der 6. Edition von 2023. Institutionen wählten daraus einen von drei Absicherungspfaden: Basis-, Standard- oder Kern-Absicherung, je nach Schutzbedarf und Ressourcen. Ein Teil dieser Bausteine deckt bereits heute auch Anforderungen aus dem NIS2-Umfeld ab.

Grundschutz++ löst diese Wahlmöglichkeit auf. An ihre Stelle tritt ein durchgängiger Sicherheitsprozess in fünf Schritten: Erhebung und Planung, Anforderungsanalyse, Realisierung, Überwachung sowie kontinuierliche Verbesserung, organisiert im PDCA-Zyklus. Ein Wählen zwischen Absicherungsarten entfällt.

Der zentrale methodische Bruch liegt in der Zuordnung von Anforderungen. Statt vorgefertigte Bausteine pauschal zu übernehmen, verlangt Grundschutz++ eine Asset-Modellierung auf Basis von Zielobjektkategorien: 31 Zielobjektkategorien, gegliedert in 6 Wurzelknoten und 4 Hierarchie-Ebenen, wie das BSI-Methodik-PDF in Abbildung 6 darstellt. Anforderungen werden entlang dieser Hierarchie vererbt und nicht mehr rein technisch zugeordnet.

Das Methodik-PDF formuliert das so: "Die Zuordnung erfolgt funktionsorientiert, nicht nur nach technischen Merkmalen. Entscheidend ist, wie das Asset im Geschäftsprozess wirkt."

Damit einher geht mehr Methodenfreiheit innerhalb eines vorgegebenen Rahmens. Bei der Risikobetrachtung heißt es: "Innerhalb dieses Rahmens kann die Methode zur Risikobetrachtung frei gewählt werden, sofern diese die Vorgaben des separaten Dokuments zur Risikobetrachtung erfüllt." Der klassische Grundschutz gab über BSI-Standard 200-3 eine feste Risikoanalyse-Methodik vor, dieser Zwang entfällt.

Das ordnet sich als bewusste Bewegung Richtung internationaler Normen ein: Die Prozessschritte gelten als ISO-27001-kompatibel, gehen in ihrer Detailtiefe und Prozessorientierung aber bewusst darüber hinaus. Ob sich damit auch die bekannte Passung zu NIS2 fortsetzt, die beim klassischen Grundschutz bereits rund 80 Prozent der Anforderungen aus § 30 BSIG abdeckt, ist aus den BSI-Primärquellen zu Grundschutz++ nicht belegt. Angesichts der stärkeren ISO-27001-Nähe liegt es jedoch nahe, dass dieser Effekt sich fortsetzen könnte.

Wo ist Grundschutz++ noch nicht ausgereift, vor allem bei der Risikobewertung?

Der Methodik-Leitfaden verweist für die Risikobewertung auf ein separates Dokument zur Risikobetrachtung, das verbindliche Vorgaben an die Risikomethodik machen soll. Dieses Dokument existiert zum Stand März 2026 aber noch nicht, es ist im Leitfaden bislang nur als künftige Referenz angelegt. Als Institution wissen Sie aktuell nicht, an welchem konkreten Risikomodell Sie sich orientieren sollen.

Der Leitfaden selbst benennt den Rahmen klar. In Kapitel 2.10 "Initiierung des Risikomanagements" heißt es: "In einem separaten Dokument zur Risikobetrachtung werden verbindliche Vorgaben an die Risikomethodik vorgeschrieben. Die Vorgaben sind entsprechend gängiger Risikomanagement-Prozesse strukturiert."

Und weiter: "Innerhalb dieses Rahmens kann die Methode zur Risikobetrachtung frei gewählt werden, sofern diese die Vorgaben des separaten Dokuments zur Risikobetrachtung erfüllt."

Ähnlich hält Kapitel 3.8 "Durchführung der Risikobetrachtung" fest: "An dieser Stelle sieht die Methodik-GS++ den Übergang in eine separate Risikobetrachtung vor, sofern diese in den entsprechenden Absätzen dieses Dokumentes explizit gefordert wurde. Die Risikobetrachtung nutzt die festgelegten Informationen und erfolgt nach den Vorgaben des separaten Dokuments zur Risikobetrachtung."

An mehreren Stellen wird also ein separates Dokument zur Risikobetrachtung als verbindliche Referenz angekündigt, dieses Dokument existiert zum jetzigen Stand aber noch nicht und wird an keiner Stelle im PDF inhaltlich konkretisiert. Für Ihre Planung heute heißt das: Der Rahmen für die Risikomethodik ist konzeptionell angelegt, das konkrete "Woran orientiere ich mich" liegt aber noch nicht vor.

Das passt zur generellen Frühphase, in der sich Grundschutz++ laut eigener Aussage befindet: Der Leitfaden bezeichnet die Methodik selbst als in der "Einführungs- und Erprobungsphase" befindlich. Als Zielrahmen wird in der Fachpresse erst "bis 2028" ein "belastbarer, praxisgerechter und zertifizierbarer Rahmen" benannt.

Zum Vergleich: BSI-Standard 200-3, das Risikoanalyse-Verfahren des klassischen Grundschutz, arbeitet seit Jahren mit ausformulierten elementaren Gefährdungen und ist entsprechend eingeübt. Diese Textur fehlt der Risikobetrachtung von Grundschutz++ zum jetzigen Stand noch, weil sie bewusst in ein noch nicht vorliegendes Dokument ausgelagert wurde.

Wenn Sie bereits klassisch zertifiziert sind und auf Grundschutz++ umsteigen wollen, betrifft Sie eine ähnliche Lücke: Das Methodik-PDF kündigt für die Zukunft "Migrationsleitfäden" an, ähnlich wie beim Dokument zur Risikobetrachtung liegen diese aber noch nicht vor. Ob eine bestehende Zertifizierung dabei angerechnet wird oder eine vollständige Neubewertung nach der Grundschutz++-Logik nötig ist, lässt sich aus den verfügbaren Quellen aktuell nicht beantworten, das bleibt eine offene Frage bis zur Veröffentlichung dieser Leitfäden.

Was bedeutet der maschinenlesbare Unterbau von Grundschutz++ konkret?

Grundschutz++ nutzt für seine technische Erweiterung OSCAL (Open Security Controls Assessment Language), ein offenes, maschinenlesbares Format für Sicherheitsanforderungen. Der Anforderungskatalog von Grundschutz++ wird zusätzlich über das GitHub-Repository "Stand-der-Technik-Bibliothek" versioniert bereitgestellt, statt nur als PDF zu erscheinen. Damit wird aus einem starren Dokument eine strukturierte, maschinell auswertbare Datenbasis für Tools und Automatisierung.

Im Methodik-Leitfaden des BSI selbst taucht diese Formatfrage nur an einer einzigen Stelle konkret auf. Kapitel 1.3 "Konzeptstruktur" hält fest, dass "der Technik-Layer konkrete Informationen zum Umgang mit Anforderungspaketen auf Basis der in OSCAL vorhandenen Techniken erläutern" wird. Alles andere im Leitfaden bleibt bei der Beschreibung von Prozessen und Strukturen, ohne ein Datenformat zu benennen.

Externe Fachbeiträge bestätigen den OSCAL-Bezug unabhängig von der BSI-Quelle: Der Einsatz von OSCAL transformiert starre Dokumente in verarbeitbare Datenstrukturen und ermöglicht so Automatisierung und Tool-Unterstützung, statt auf statische Textdokumente angewiesen zu sein. Als Primärformat wird dabei JSON genannt, bereitgestellt über das GitHub-Repository "Stand-der-Technik-Bibliothek", das auch im Methodik-PDF selbst als Bezugspunkt auftaucht.

OSCAL ist kein BSI-eigenes Format, sondern ein offener, international genutzter Standard des US National Institute of Standards and Technology (NIST) zur maschinenlesbaren Abbildung von Sicherheitskatalogen, Kontrollen und Bewertungsergebnissen. Das BSI baut die Anforderungen von Grundschutz++ darauf auf, statt ein eigenes proprietäres Format zu entwickeln, ein Schritt hin zu internationalen, community-getragenen Standards.

Das macht sich auch praktisch bemerkbar: Weil die Anforderungen strukturiert statt nur als Fließtext vorliegen, lässt sich Grundschutz++ nahtlos in externe Tools integrieren, etwa in KaitoSec.

Warum ist die Technik nicht der eigentliche Kern der Neuerung?

OSCAL ist nur die Technologieumsetzung. Der eigentliche Wandel ist ein Layer-Modell, bei dem die Basisversion um zusätzliche, community-getragene Layer wie einen Technik-Layer, einen Beispiel-Layer und einen geplanten Audit-Layer ergänzt wird. Tools und Fachcommunity sollen auf dieser zweiten Ebene direkt andocken können, statt Grundschutz nur zu konsumieren.

Das BSI beschreibt dieses Konzept im Methodik-PDF in Kapitel 1.3 "Konzeptstruktur" so: "Dieses Basisdokument kann in Kombination mit weiteren Layern [...], welche als eine Ergänzung einzelner Teilaspekte der Basisversion zu sehen sind, verwendet werden. Jeder Layer betrachtet dabei einen ganz spezifischen Aspekt der Erweiterung."

Konkret genannt werden der Technik-Layer mit OSCAL-Techniken und Blaupausen für die Anwendung sowie der Beispiel-Layer, der laut Methodik-PDF einzelne Passagen der Basisversion mit Erläuterungen und Beispielen hinterlegt. Als geplant, aber noch nicht ausgearbeitet, nennt das Dokument ausdrücklich: "Zusätzlich sind weiter Layer z.B. ein Audit-Layer angedacht."

Auch das ist ein Hinweis auf den Reifegrad der Methodik: Ähnlich wie bei der Risikobetrachtung ist der Audit-Layer bislang nur angekündigt, nicht ausgearbeitet, ein Zeichen dafür, dass Grundschutz++ trotz der Zertifizierbarkeit ab 2027 an einzelnen Stellen noch in aktiver Weiterentwicklung ist.

Dass dieses Modell kein rein technisches Detail ist, zeigt bereits die Urheberschaft des Basisdokuments selbst. Die Änderungshistorie des Methodik-PDF weist nicht das BSI allein als Autor aus, sondern BSI und SdT-Community (Stand-der-Technik-Community). Diese Ausrichtung wird auch in unabhängigen Fachbeiträgen bestätigt, dort werden geplante thematische Layer (beispielsweise zu Technik, Audits und Risikobetrachtung) sowie eine enge Einbindung von Pilotprojekten und der Fachcommunity beschrieben. Der Hinweis auf einen möglichen Risikobetrachtungs-Layer deutet darauf hin, dass die Risikomethodik einer der Bereiche ist, die im Layer-Modell erst noch entstehen sollen.

Wie die praktische Mitarbeit organisiert ist, zeigt der Verweis auf ein GitHub-Repository namens Stand-der-Technik-Bibliothek: Die Weiterentwicklung erfolgt agil über GitHub, mit Issues, Pull Requests und Diskussionen.

OSCAL macht die Anforderungen technisch lesbar, das Layer-Modell macht sie organisatorisch erweiterbar. Erst die Kombination erlaubt es, dass Tool-Anbieter, Berater und einzelne Institutionen eigene Layer beisteuern oder nutzen können, ohne die Basisversion selbst zu verändern. Das ist der strukturelle Bruch gegenüber dem bisherigen, allein vom BSI herausgegebenen Grundschutz-Kompendium.

Was heißt das jetzt für Institutionen, die sich vorbereiten wollen?

Wenn Sie bereits klassischen IT-Grundschutz nutzen, können Sie bis Ende 2028 darauf aufbauen und die Pilotphase 2026 beobachten, statt sofort umzusteigen. Starten Sie neu, sollten Sie die fünf Prozessschritte und das Asset-Modellierungsprinzip von Grundschutz++ als Zielbild einplanen, aber die Risikomethodik vorerst konservativ nach BSI-Standard 200-3 oder ISO 27005 ausrichten, bis das separate Risikobetrachtungs-Dokument vorliegt.

Diese Einordnung stammt von der Redaktion, nicht vom BSI selbst, und ist ein Ausgangspunkt für die eigene Planung.

Konkret bedeutet das für unterschiedliche Ausgangslagen:

• Wenn Sie bereits klassischen Grundschutz nutzen: Sie haben Zeit bis Ende 2028, bevor der alte Standard ausläuft, und bis 2029 für den Zertifizierungsübergang. Nutzen Sie diesen Vorlauf, statt überstürzt zu wechseln, und beobachten Sie parallel die Pilotphase.
• Wenn Sie noch kein ISMS haben: Die Prozessstruktur von Grundschutz++ mit ihren fünf Schritten, dem PDCA-Zyklus und der Asset-Modellierung statt Bausteinkatalog lohnt sich für Sie schon jetzt als Blaupause, sie liegt näher an ISO 27001 als der klassische Grundschutz und ist damit doppelt nutzbar. Einen Überblick über BSI Grundschutz als Rahmenwerk bietet die Framework-Übersicht.
• Für die Risikobewertung konkret: Bis das separate Dokument zur Risikobetrachtung vorliegt, verweist das Methodik-PDF nur auf "gängige Risikomanagement-Prozesse" als Strukturvorgabe. Nutzen Sie in der Praxis bewährte Methoden wie BSI-Standard 200-3 oder ISO/IEC 27005 als Zwischenlösung und achten Sie auf die Aktualisierung durch das BSI.
• Beobachtungspunkt Pilotphase: Die Pilotierungsphase vom 1. April bis 30. September 2026 mit Partnern aus Verwaltung und Wirtschaft ist der nächste konkrete Meilenstein. An ihr zeigt sich, ob offene Punkte, allen voran die Risikobetrachtung, bis zur geplanten Veröffentlichung im Oktober 2026 geschlossen werden.

KaitoSec bildet BSI Grundschutz++ bereits als eines von mehreren Cross-Mapping-Frameworks neben ISO 27001, NIS2, DORA und DSGVO ab, gemeinsam mit ISMS, BCMS und weiteren Managementsystemen auf einem relationalen Datenmodell. Tragen Sie parallel zu Grundschutz++ auch ISO-27001- oder NIS2-Pflichten, ein typischer Fall multikomplexer Regulatorik, bedeutet das in einem solchen Agentic Workspace: Eine Maßnahme wird nicht viermal, sondern einmal gepflegt, unabhängig davon, welches Rahmenwerk sich als Nächstes weiterentwickelt. Das verschiebt den Fokus von punktueller GRC-Dokumentation hin zu kontinuierlicher Resilienz, wie der Beitrag Resilience Made Easy: Der Weg vom GRC-Aktenschrank zum Agentic Workspace genauer beschreibt.

Häufig gestellte Fragen zu Grundschutz++

Ist Grundschutz++ schon jetzt zertifizierbar? Nein, noch nicht. Die Pilotierungsphase läuft von April bis September 2026, die Veröffentlichung folgt am 27. Oktober 2026 auf der it-sa in Nürnberg. Zertifizierbar nach ISO 27001 auf Basis von Grundschutz++ ist die Methodik laut BSI erst ab dem 1. Januar 2027. Vorher lässt sich nur der klassische IT-Grundschutz zertifizieren.

Muss ich meinen bestehenden IT-Grundschutz jetzt auf Grundschutz++ umstellen? Nicht sofort. Nach aktueller Brancheneinordnung bleibt der klassische IT-Grundschutz bis Ende 2028 gültig, ein Zertifizierungsübergang zu Grundschutz++ ist bis 2029 möglich. Wer bereits zertifiziert ist, hat damit mehrere Jahre Vorlauf, um die neue Methodik zu beobachten, statt überstürzt zu wechseln.

Was ist OSCAL und warum nutzt Grundschutz++ es? OSCAL (Open Security Controls Assessment Language) ist ein offenes, maschinenlesbares Format für Sicherheitsanforderungen. Grundschutz++ baut seinen technischen Erweiterungs-Layer laut BSI-Methodik-Leitfaden auf OSCAL auf, um Anforderungspakete automatisiert statt als starres PDF-Dokument bereitzustellen. Das ist die technische Grundlage, nicht der eigentliche Kern der Neuerung.

Wie ist die Risikobewertung bei Grundschutz++ aktuell geregelt? Der Methodik-Leitfaden verweist auf ein separates Dokument zur Risikobetrachtung, das verbindliche Vorgaben zur Risikomethodik machen soll. Innerhalb dieses Rahmens ist die konkrete Methode frei wählbar. Zum aktuellen Stand (März 2026) liegt dieses Dokument aber noch nicht in ausformulierter Form vor, die konkrete Orientierung ist für Institutionen damit aktuell wenig konkretisiert.

Was unterscheidet Grundschutz++ methodisch am stärksten vom klassischen IT-Grundschutz? Grundschutz++ ersetzt die drei Absicherungspfade Basis, Standard und Kern durch einen einheitlichen, prozessorientierten Ablauf mit Asset-Modellierung auf Zielobjektkategorien statt starrer Bausteinzuordnung. Anforderungen werden dabei funktionsorientiert vererbt statt rein technisch zugewiesen. Das verschiebt Verantwortung stärker zur Institution und rückt die Methodik näher an internationale Normen wie ISO 27001.