Online Inhouse
Lesedauer 5 Minuten Von isits Team
BSI IT-Grundschutz++: Was Sie jetzt über die Modernisierung des Sicherheitsstandards wissen müssen
Der BSI IT-Grundschutz erfährt mit Grundschutz++ die umfassendste Modernisierung seiner Geschichte. Der Standard stellt dabei von PDF-Dokumenten auf das maschinenlesbare OSCAL-Format um, nutzt agile Update-Zyklen und reduziert die Einzelanforderungen um rund 85 Prozent. Erfahren Sie, welche Kern-Neuheiten der neue Sicherheitsstandard bringt und wie Sie Ihr bestehendes ISMS zukunftssicher auf Grundschutz++ umstellen.
tl;dr
Grundschutz++ ersetzt das PDF-Kompendium des BSI durch ein maschinenlesbares OSCAL-Format mit 19 statt 111 Bausteinen und 85 % weniger Anforderungen. Der Standard verknüpft sich automatisch mit ISO 27001 und NIS-2, wird offen auf GitHub gepflegt und verlangt von bestehenden ISMS eine strukturierte, aber planbare Migration.
IT-Sicherheit im Wandel: Der BSI IT-Grundschutz vor neuen Herausforderungen
Die IT-Sicherheitslandschaft hat sich in den vergangenen Jahren in einem atemberaubenden Tempo verändert. Cloud-Architekturen, hybride Arbeitsmodelle, künstliche Intelligenz und eine Welle an Regularien – von der europäischen NIS-2-Richtlinie über den Cyber Resilience Act bis hin zum EU AI Act – stellen Unternehmen und Behörden vor komplexe Herausforderungen. Über Jahrzehnte hinweg galt der BSI IT-Grundschutz im deutschsprachigen Raum als das Fundament für den Aufbau eines Informationssicherheits-Managementsystems (ISMS). Doch der bewährte Standard stieß zunehmend an seine praktischen Grenzen: Viele Seiten Fließtext, zahlreiche Bausteine und jährliche Re-Releases im PDF-Format passten immer weniger zu agilen IT-Umgebungen und modernen Compliance-Tools.
Mit dem BSI IT-Grundschutz++ überarbeitet das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Struktur und Methodik des Standards grundlegend. Der BSI IT-Grundschutz++ ergänzt dabei die bisherige dokumentenbasierte Compliance um maschinenlesbare und automatisierte Ansätze.
Warum die Modernisierung notwendig war: Die Grenzen des klassischen IT-Grundschutzes
Der klassische IT-Grundschutz zeichnete sich seit jeher durch seine hohe methodische Tiefe und Zuverlässigkeit aus. Wer das IT-Grundschutz-Kompendium konsequent umsetzte, konnte sicher sein, ein robustes Sicherheitsniveau zu erreichen. Allerdings forderte dieser Ansatz im Unternehmensalltag einen immer höheren Tribut:
● Manuelle Dokumentationslast: Das bisherige Kompendium umfasste über 110 Bausteine mit mehr als 6.500 einzelnen Anforderungen. Das Dokument lag als umfangreiche PDF-Datei vor. ISMS-Software-Hersteller und Beratungsunternehmen mussten diesen Fließtext manuell analysieren oder in eigene Datenbanken einpflegen. Trat eine Änderung in Kraft, entstanden zeitaufwendige Übertragungen mit der Gefahr von Übertragungsfehlern. Sicherheitsbeauftragte verbrachten oft viel ihrer Arbeitszeit damit, Excel-Tabellen zu pflegen und Textbausteine abzugleichen, anstatt Risiken zu analysieren und Schutzmaßnahmen technisch durchzusetzen.
● Multi-Compliance-Herausforderung: Moderne Organisationen unterliegen selten nur einem einzigen Regelwerk. Unternehmen müssen häufig simultan ISO/IEC 27001 erfüllen, Vorgaben der NIS-2-Richtlinie umsetzen, branchenspezifische Kriterien wie TISAX bedienen und die Vorgaben des BSI beachten. Beim klassischen IT-Grundschutz musste jede Schnittstelle zu anderen Standards manuell gepflegt werden. Das führte zu Redundanzen: Dieselbe Sicherheitsmaßnahme – wie die Einrichtung einer Multi-Faktor-Authentifizierung – musste für verschiedene Auditoren in unterschiedlichen Dokumenten mehrfach nachgewiesen werden.
● Starre Update-Zyklen gegenüber dynamischen Bedrohungen: Die Veröffentlichung neuer Kompendium-Editionen erfolgte klassischerweise einmal pro Jahr. In Zeiten von Zero-Day-Exploits, rasanten Fortschritten bei generativer KI und hochdynamischen Cloud-Services ist ein jährlicher Aktualisierungszyklus schlichtweg zu träge. Bricht eine neuartige Bedrohungsgruppe durch, benötigt die Praxis innerhalb von Tagen oder Wochen klare Handlungsempfehlungen – nicht erst Monate später.
● Hohe Einstiegshürde für KMU: Insbesondere kleine und mittlere Unternehmen (KMU) sowie Kommunen schreckten vor dem schieren Umfang des BSI IT-Grundschutzes zurück. Die formalen Anforderungen wurden oft als sehr bürokratisch empfunden, was dazu führte, dass viele Organisationen den Standard nicht oder nur in Teilen umsetzten.
Die Kern-Neuheiten von BSI IT-Grundschutz++ im Überblick
Der BSI IT-Grundschutz++ begegnet diesen strukturellen Herausforderungen mit vier zentralen Neuerungen:
1. Vom PDF-Katalog zum maschinenlesbaren OSCAL-Standard
Eine zentrale technische Änderung betrifft das Datenformat: BSI IT-Grundschutz++ wird primär im OSCAL-Format (Open Cybersecurity Controls Assessment Language) publiziert. OSCAL ist ein von der US-amerikanischen Standardisierungsbehörde NIST entwickelter, internationaler Datenstandard, der Sicherheitsanforderungen und Kontrollen in strukturierter Form (JSON oder YAML) beschreibt.
Das bedeutet: Der IT-Grundschutz wird von einem „Lesetext für Menschen“ zu einem „maschinenlesbaren Datenraum“. ISMS-Software-Tools können die Anforderungen des BSI direkt über Programmierschnittstellen (APIs) einlesen. Konfigurationsscanner und Prüfwerkzeuge in Cloud-Umgebungen können live und automatisiert abgleichen, ob eine geforderte Sicherheitskontrolle in der IT-Infrastruktur tatsächlich technisch umgesetzt ist. Das Konzept „Compliance as Code“ hält damit Einzug in den BSI-Standard.
2. Drastische Reduktion: Von 111 Bausteinen zu 19 Praktiken
Zur Reduzierung des administrativen Aufwands konsolidiert BSI IT-Grundschutz++ die bisherigen 111 Bausteine über zehn Schichten. Der neue Katalog verdichtet die Vorgaben auf 19 prozessorientierte Praktiken, die sich eng an der Logik des PDCA-Zyklus (Plan-Do-Check-Act) ausrichten.
Gleichzeitig wird die Gesamtzahl der Einzelanforderungen von früher über 6.500 auf rund 985 prägnante Anforderungen reduziert – eine Senkung der Textmasse um etwa 85 Prozent! Diese Reduktion bedeutet kein Sinken des Sicherheitsniveaus, sondern die konsequente Streichung doppelter Vorgaben und überflüssiger Verschachtelungen.
3. Direkte Verknüpfung und Querverweise zu anderen Standards (ISO 27001 & NIS-2)
Dank der OSCAL-Datenstruktur bringt BSI IT-Grundschutz++ direkte, herstellerunabhängige Querverweise zu internationalen Standards von Haus aus mit. Eine Maßnahme, die in BSI IT-Grundschutz++ dokumentiert wird, ist über maschinenlesbare IDs automatisch mit den passenden Sicherheitsmaßnahmen der ISO/IEC 27001:2022 und den Risikomanagement-Anforderungen der NIS-2-Richtlinie verknüpft. Das manuelle Erstellen und Pflegen von unübersichtlichen Abgleich-Tabellen entfällt.
4. Vereinfachter Schutzbedarf und agile Weiterentwicklung
Im klassischen Grundschutz existieren die Schutzbedarfskategorien „normal“, „hoch“ und „sehr hoch“. Die Abgrenzung zwischen „hoch“ und „sehr hoch“ führte in Risikoanalysen regelmäßig zu schwierigen Grundsatzdiskussionen. BSI IT-Grundschutz++ vereinfacht dieses System auf zwei Stufen:
● Normaler Schutzbedarf: Abdeckung durch den fundierten Stand der Technik.
● Erhöhter Schutzbedarf: Zielgerichtete Vertiefung und direkte Überführung in die Risikoanalyse.
Zudem wird der Standard erstmals auf GitHub gepflegt. Technische Aktualisierungen werden fortlaufend versioniert und direkt eingepflegt. Die Fachöffentlichkeit kann sich über Rückmeldungen und eigene Änderungsvorschläge aktiv an der Weiterentwicklung beteiligen – der IT-Grundschutz wird damit erstmals zum Community-gestützten, agilen Sicherheitsstandard.
Was BSI IT-Grundschutz++ für bestehende und neue ISMS bedeutet
Die Umstellung auf BSI IT-Grundschutz++ stellt Informationssicherheitsbeauftragte (ISB), CISOs und IT-Verantwortliche vor strategische wie operative Fragen. Wie gelingt der Übergang ohne Unterbrechung des laufenden ISMS-Betriebs? In der Praxis zeichnen sich dabei folgende zentrale Aspekte ab:
● Kein "Knopfdruck-Umstieg", aber deutliche Aufwandsreduktion: Ein automatisierter Import-Knopf, der ein bestehendes Kompendium-2023-ISMS ganz einfach in BSI IT-Grundschutz++ umwandelt, existiert technisch leider nicht. Aufgrund der Neustrukturierung ist eben auch eine strukturierte Neuabbildung erforderlich. Allerdings beläuft sich der manuelle Anpassungsanteil meist nur auf 30 bis 40 Prozent. Da die Fülle der Anforderungen massiv geschrumpft ist, fällt der Netto-Aufwand für die laufende Auditierung und Pflege nach der Erstmigration deutlich geringer aus.
● Das ISMS-Tool als Nadelöhr: Da BSI IT-Grundschutz++ auf maschinenlesbaren Datenströmen basiert, ist die Wahl der passenden ISMS-Software entscheidend. Organisationen müssen mit ihren Software-Anbietern klären, wie die Roadmap zur nativen OSCAL-Unterstützung aussieht. ISMS-Tools, die weiterhin rein auf der PDF- und Tabellen-Logik früherer Jahrzehnte verharren, werden in den kommenden Jahren zu einem Effizienz-Engpass.
● Wandel der Governance: Verantwortliche in die Fachbereiche holen: BSI IT-Grundschutz++ stärkt die Verantwortung der Fachbereiche. Die Sicherheitsverantwortung für Geschäftsprozesse wird explizit bei den jeweiligen Prozessverantwortlichen (Risk Ownern) verankert. Die Fachabteilung Vertrieb ist für die Sicherheit der Kundendaten verantwortlich; die Produktionsleitung für die Absicherung der Fertigungsstraßen. Der ISB agiert vermehrt als strategischer Enabler und Methodiker, während die operative Durchsetzung dezentral erfolgt.
● Nutzen für NIS-2-Einsteiger und KRITIS-Betreiber: Für Unternehmen, die durch Gesetzgebungen wie NIS-2 erstmals verpflichtet werden, ein strukturiertes Risikomanagement nachzuweisen, kommt der BSI IT-Grundschutz++ genau zum richtigen Zeitpunkt. Statt ein schwerfälliges Dokumentationssystem aufzubauen, können Neueinsteiger direkt mit dem schlanken, maschinenlesbaren Praktiken-Katalog starten. Sie profitieren vom ersten Tag an von automatisierten Abfragen und der direkten Konformität mit internationalen Normen.
Fazit: Die Weichen jetzt richtig stellen
Mit dem BSI IT-Grundschutz++ passt das BSI seinen Standard an moderne IT-Architekturen an. Die Umstellung auf das maschinenlesbare OSCAL-Format, die Straffung der Anforderungen sowie die Interoperabilität mit ISO 27001 erleichtern die Einbindung in digitale Governance- und Compliance-Prozesse.
Für Verantwortliche gilt: Nutzen Sie die Übergangsphase aktiv. Analysieren Sie die Zukunftsfähigkeit Ihrer ISMS-Software, machen Sie Ihre Teams mit der Methodik der 19 Praktiken vertraut und starten Sie den hybriden Migrationspfad ohne Hektik.
Als führender Spezialanbieter für Weiterbildungen in der Informationssicherheit vermittelt Ihnen die isits AG das notwendige Rüstzeug praxisnah und direkt anwendbar.
Häufig gestellte Fragen (FAQ) zu BSI IT-Grundschutz++
Was ist der Hauptunterschied zwischen dem klassischen IT-Grundschutz und BSI IT-Grundschutz++?
Der klassische IT-Grundschutz basiert auf einem umfangreichen, jährlich aktualisierten PDF-Kompendium mit 111 Bausteinen und über 6.500 Einzelanforderungen. BSI IT-Grundschutz++ ist dagegen ein maschinenlesbarer Standard im OSCAL-Format (JSON/YAML). Er verdichtet den Katalog auf 19 prozessorientierte Praktiken mit rund 985 Anforderungen und ermöglicht eine weitgehende Automatisierung der Compliance-Prüfung.
Warum wurden die Anforderungen um 85 Prozent reduziert? Bedeutet das weniger Sicherheit?
Die Reduktion von rund 6.500 auf etwa 985 Anforderungen bedeutet keineswegs ein Absinken des Sicherheitsniveaus. Gestrichen wurden vor allem doppelte Vorgaben und überflüssige Verschachtelungen über viele Hierarchieebenen hinweg. Die verbleibenden Praktiken sind präziser formuliert und fokussieren sich auf die tatsächliche Wirksamkeit der Schutzmaßnahmen.
Seit wann ist BSI IT-Grundschutz++ offiziell gültig?
Der Standard BSI IT-Grundschutz++ wurde vom BSI zum 1. Januar 2026 eingeführt. Der dazugehörige Methodikleitfaden wurde im April 2026 veröffentlicht. Während einer mehrjährigen Parallelphase bleibt das bisherige Kompendium (Edition 2023) für Übergangsaudits weiterhin nutzbar, bevor BSI IT-Grundschutz++ der alleinige Standard wird.
Was bedeutet das Datenformat OSCAL für mein Unternehmen?
OSCAL (Open Cybersecurity Controls Assessment Language) macht Sicherheitsanforderungen maschinenlesbar. Für Ihr Unternehmen bedeutet dies, dass ISMS-Tools und Konfigurationsscanner die Anforderungen des BSI direkt verarbeiten können. Dadurch lassen sich Soll-Ist-Vergleiche zwischen Richtlinien und realen IT-Systemen automatisieren, was den manuellen Dokumentationsaufwand im Vergleich zu Excel-Tabellen drastisch reduziert.
Wie unterstützt BSI IT-Grundschutz++ die Einhaltung von NIS-2 und ISO 27001?
Durch die OSCAL-Datenstruktur enthält BSI IT-Grundschutz++ direkte Querverweise und integrierte Zuordnungen zu den Vorgaben der ISO/IEC 27001:2022 und den Risikomanagement-Vorgaben der europäischen NIS-2-Richtlinie. Eine einmal im System dokumentierte Schutzmaßnahme deckt dadurch automatisch die Nachweispflichten mehrerer Regelwerke gleichzeitig ab.
Müssen wir unser bestehendes IT-Grundschutz-ISMS sofort komplett neu aufbauen?
Nein, eine starre „Tabula Rasa“ ist weder erforderlich noch ratsam. Das BSI sieht eine Übergangsfrist vor. Empfohlen wird ein hybrider Ansatz: Führen Sie bestehende Kernprozesse geordnet weiter, während Sie neue Systeme, Cloud-Migrationen oder geplante Audits bereits direkt nach der Methodik des BSI IT-Grundschutz++ modellieren.