.svg)
Das Wichtigste in Kürze
- Das BSI hat am 26. Oktober 2026 die Methodik Grundschutz++ als BSI-Standard 300-1 veröffentlicht. Sie ist eine Weiterentwicklung des IT-Grundschutzes und liegt derzeit nur auf Deutsch vor.
- Grundschutz++ ersetzt die ISO 27001 nicht. Ein nach Grundschutz++ aufgebautes ISMS ist laut BSI ab 2027 zertifizierbar und zur ISO/IEC 27001 kompatibel; das Ergebnis ist eine ISO-27001-Zertifizierung auf Basis von Grundschutz++.
- Laut Meilensteinplan des BSI (Stand Oktober 2026) können Zertifizierungsanträge ab dem 1. Januar 2027 gestellt werden. Die Zertifizierbarkeit nach dem bisherigen IT-Grundschutz endet am 30. November 2031.
- Neu sind drei Dinge: ein prozessorientiertes Vorgehen, das bei den zentralen Geschäftsprozessen ansetzt, eine frei wählbare Risikomethodik innerhalb von Mindestkriterien und Anforderungen in einem maschinenlesbaren Format.
- Grundschutz++ ist weder ein Gesetz noch ein Ersatz für NIS2-Pflichten. Für bestehende ISMS heißt das 2026: Bestand prüfen und vorbereiten, nicht migrieren.
Grundschutz++ ist die neue Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI) für den Aufbau eines Informationssicherheits-Managementsystems. Mit dem BSI-Standard 300-1 liegt sie seit dem 26. Oktober 2026 in einer veröffentlichten Fassung vor. Für ISMS-Verantwortliche und CISOs, die ein ISO-27001-Zertifikat halten oder planen, stellt sich damit eine praktische Frage: Muss das bestehende ISMS jetzt umgebaut werden? Die kurze Antwort lautet nein. Die längere zeigt, was sich tatsächlich ändert und welche Vorbereitung sich schon jetzt lohnt.
Was ist Grundschutz++?
Grundschutz++ (gesprochen "Grundschutz plus plus", kurz GS++) ist die Weiterentwicklung des IT-Grundschutzes, mit der das BSI beschreibt, wie Unternehmen und Behörden ein ISMS aufbauen, betreiben und verbessern. Der BSI-Standard 300-1 enthält die Methodik. Die konkreten Anforderungen stehen im Anwenderkatalog Grundschutz++, der in der Stand-der-Technik-Bibliothek des BSI liegt und das IT-Grundschutz-Kompendium ablöst.
Laut der Pressemitteilung des BSI vom 26. Oktober 2026 soll der Standard auch Institutionen mit heterogenen IT-Landschaften oder komplexen Virtualisierungslösungen absichern. Die Methodik folgt dem PDCA-Zyklus und verbindet fünf Schritte zu einem kontinuierlichen Sicherheitsprozess: Erhebung und Planung, Anforderungsanalyse, Realisierung, Überwachung und kontinuierliche Verbesserung.
| Merkmal | Grundschutz++ auf einen Blick |
|---|---|
| Herausgeber | Bundesamt für Sicherheit in der Informationstechnik (BSI) |
| Bezeichnung | BSI-Standard 300-1 "Methodik Grundschutz++" |
| Veröffentlicht | 26. Oktober 2026 |
| Anforderungen | Anwenderkatalog Grundschutz++ in der Stand-der-Technik-Bibliothek, maschinenlesbar |
| Sprache | derzeit nur Deutsch |
| Zertifizierung | nach ISO 27001 auf Basis von Grundschutz++, Anträge laut BSI-Meilensteinplan ab 1. Januar 2027 |
| Status | Early-Adopter-Phase laut Meilensteinplan vom ersten Quartal 2027 bis 31. Dezember 2027 |
Wenn Sie IT-Grundschutz bisher nicht nutzen und direkt nach der Norm arbeiten, finden Sie die Grundlagen zu Ablauf, Dauer und Aufwand in unserem Leitfaden zur ISO-27001-Zertifizierung. Für Sie ist Grundschutz++ eine Option, keine Pflicht.
Was Grundschutz++ nicht ist
Grundschutz++ ist eine Methodik des BSI. Sie bringt weder eine neue Rechtspflicht noch ein neues Zertifikat, und sie entscheidet nicht darüber, ob Ihr Unternehmen unter NIS2 fällt.
Kein Gesetz
Ein verbreiteter Irrtum lautet, mit Grundschutz++ komme eine neue Pflicht auf Unternehmen zu. BSI-Standards beschreiben Methoden. Kein Gesetz schreibt Unternehmen der Privatwirtschaft vor, ihr ISMS nach IT-Grundschutz oder nach Grundschutz++ aufzubauen. Wer die Methodik wählt, tut das freiwillig, etwa weil Auftraggeber einen Grundschutz-Bezug erwarten oder weil der modulare Aufbau zur eigenen Struktur passt.
Kein neues Zertifikat
Das BSI formuliert es in seinem Meilensteinplan eindeutig: Ab dem 1. Januar 2027 können Anträge für eine Zertifizierung "nach ISO 27001 auf Basis von GS++" gestellt werden. Das Zertifikat bleibt also ein ISO-27001-Zertifikat; Grundschutz++ beschreibt den Weg dorthin. Die Anforderungen der ISO/IEC 27001 gelten unverändert, einschließlich der 93 Controls aus Anhang A, und Grundschutz++ ist laut BSI zur Norm kompatibel.
Kein Ersatz für NIS2-Pflichten
Ob Ihr Unternehmen unter NIS2 fällt, ergibt sich aus § 28 BSIG nach Sektor und Größe, nicht aus der Wahl der ISMS-Methodik. Die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflichten nach § 32 und die Registrierung nach § 33 gelten unabhängig davon, ob Sie nach ISO 27001, IT-Grundschutz oder Grundschutz++ arbeiten. Ein Grundschutz++-ISMS kann helfen, die Maßnahmen nach § 30 nachweisbar umzusetzen; die Betroffenheitsprüfung ersetzt es nicht.
Welche Pflichten NIS2 im Einzelnen auslöst, von den zehn Mindestmaßnahmen bis zu den Meldefristen, fasst unser Leitfaden zur NIS2-Richtlinie zusammen.
IT-Grundschutz und Grundschutz++ im Vergleich
Der Kern bleibt gleich: ein ISMS nach dem PDCA-Prinzip, kompatibel zur ISO/IEC 27001. Neu sind der Ausgangspunkt der Analyse, die Freiheit bei der Risikomethodik und das Format der Anforderungen.
| Merkmal | IT-Grundschutz (Edition 2023) | Grundschutz++ |
|---|---|---|
| Methodik | BSI-Standards 200-1 bis 200-3 | BSI-Standard 300-1 |
| Anforderungen | IT-Grundschutz-Kompendium mit Bausteinen | Anwenderkatalog Grundschutz++ in der Stand-der-Technik-Bibliothek, nur lösungsneutrale Anforderungen |
| Ausgangspunkt | Modellierung des Informationsverbunds mit Bausteinen | prozessorientiert, zentrale Geschäftsprozesse werden vorrangig abgesichert |
| Risikomethodik | Risikoanalyse nach BSI-Standard 200-3 | frei wählbar, sofern die Mindestkriterien des Standards eingehalten werden |
| Format der Anforderungen | Kompendium als Dokument | maschinenlesbar, Prüfung laut BSI automatisierbar |
| Zertifikat | ISO 27001 auf Basis von IT-Grundschutz | ISO 27001 auf Basis von Grundschutz++ |
| Zertifizierbar | laut BSI-Meilensteinplan bis 30. November 2031 | Anträge laut BSI-Meilensteinplan ab 1. Januar 2027 |
Was bleibt
Das Ziel bleibt dasselbe: ein ISMS, das Informationssicherheit als dauerhaften Managementprozess betreibt und sich von einer Zertifizierungsstelle prüfen lässt. Auch die Grundlagen, die ein Audit sehen will, braucht ein Grundschutz++-ISMS weiterhin: einen Geltungsbereich, ein Inventar der Werte, klare Rollen und belastbare Nachweise. Wie viel davon sich bei einem Wechsel direkt übernehmen lässt, hat das BSI noch nicht beschrieben; eine offizielle Migrationshilfe haben wir bis zum 28. Oktober 2026 nicht gefunden.
Was neu ist
Der größte Unterschied liegt im Einstieg. Grundschutz++ setzt bei den zentralen Geschäftsprozessen an und sichert sie vorrangig ab, statt zunächst den gesamten Informationsverbund in Bausteine zu zerlegen. Wer seine Kernprozesse und die dafür nötigen Systeme bereits kennt, ist hier im Vorteil.
Bei der Risikomethodik gewinnt das ISMS an Spielraum. Unternehmen können ihre Methode für Risikoidentifikation, -bewertung und -behandlung frei wählen, solange sie die Mindestkriterien des Standards einhalten. Für viele ISO-27001-Unternehmen, die bereits eine eigene Risikomethode nach ISO/IEC 27005 oder einem hauseigenen Schema betreiben, senkt das die Einstiegshürde.
Die dritte Neuerung ist technisch. Alle Anforderungen liegen in einem maschinenlesbaren Format vor, sodass sich ihre Prüfung laut BSI automatisieren lässt. Laut einer Übersicht von SITS umfasst die Stand-der-Technik-Bibliothek 921 Anforderungen in 19 Praktiken und 53 Zielobjekten. Praktiken sind Aufgabenpakete, die ähnliche Anforderungen bündeln und sich Prozessen zuordnen lassen. Die Zahlen sind eine Momentaufnahme und ändern sich mit jeder neuen Fassung des Katalogs.
Ein zweiter Irrtum betrifft genau diesen Punkt: Maschinenlesbar heißt nicht automatisch umgesetzt. Ein Tool kann Anforderungen importieren und Prüfungen vorbereiten. Ob eine Maßnahme im Betrieb wirkt, belegen weiterhin Nachweise und Audits.
Der Zeitplan des BSI: von 2026 bis 2031
Das BSI veröffentlicht auf seiner Seite zu Grundschutz++ einen Meilensteinplan, Stand Oktober 2026. Das Amt weist ausdrücklich darauf hin, dass es den Plan fortlaufend anpasst. Die folgenden Termine sind deshalb Planungsstände, keine Fristen.
| Termin | Meilenstein laut BSI |
|---|---|
| 26. Oktober 2026 | Veröffentlichung des BSI-Standards 300-1, Vorstellung auf der it-sa in Nürnberg |
| 30. November 2026 | Schulungskonzepte für GS++-Praktiker und GS++-Berater |
| Dezember 2026 | Anwendungsbeispiel anhand der fiktiven Beispielbehörde "BDIT" |
| 1. Januar 2027 | Anträge für eine Zertifizierung nach ISO 27001 auf Basis von GS++ möglich |
| 1. Quartal 2027 | Start der Early-Adopter-Phase; Fortbildung für bereits zertifizierte IT-Grundschutz-Berater und Auditteamleiter |
| 26. Februar 2027 | Konzept zur Leistungsmessung des ISMS in die Methodik integriert |
| 31. März 2027 | Leistungskennzahlen für jede Anforderung aus den Methodik-Praktiken |
| 31. Dezember 2027 | Ende der Early-Adopter-Phase |
| 30. November 2031 | Ende der Zertifizierbarkeit des IT-Grundschutzes, fünf Jahre nach Veröffentlichung von GS++ |
Viele lesen "ab 2027 zertifizierbar" als "ab 2027 Pflicht". Der Plan sagt etwas anderes: 2027 öffnet sich ein zweiter Weg zum Zertifikat, und der bisherige bleibt nach heutigem Stand gut fünf Jahre parallel bestehen. Offen ist, wie das BSI den Übergang für laufende Zertifikate im Detail regelt, etwa für Überwachungsaudits und Rezertifizierungen. Konkrete Übergangsregeln dazu haben wir bis zum 28. Oktober 2026 nicht gefunden.
Was ISMS-Verantwortliche 2026 tun sollten: vorbereiten statt migrieren
2026 ist das falsche Jahr für eine Migration und das richtige für die Vorbereitung. Die Methodik ist veröffentlicht, Zertifizierungsanträge sind erst ab 2027 möglich, Schulungen und Anwendungsbeispiel folgen in den nächsten Monaten, und die Early-Adopter-Phase läuft bis Ende 2027. Was sich vorbereiten lässt, hängt von Ihrer Ausgangslage ab.
| Ihre Ausgangslage | Was Grundschutz++ für Sie ändert | Empfehlung für 2026 |
|---|---|---|
| ISO-27001-Zertifikat ohne Grundschutz-Bezug | Nichts Verpflichtendes. Ihr Zertifikat und Ihr Audit-Zyklus bleiben unberührt. | Den Anwenderkatalog als zusätzliche Quelle für Anforderungen beobachten, keine Umstellung planen |
| ISO-27001-Zertifikat auf Basis von IT-Grundschutz | Der bisherige Weg bleibt laut BSI-Meilensteinplan bis 30. November 2031 zertifizierbar. | Bestand gegen den Standard 300-1 abgleichen und den Umstieg einem späteren Audit-Zyklus zuordnen |
| Erstes Zertifikat in Planung | Ab 2027 stehen ISO 27001 nativ, auf Basis von IT-Grundschutz oder auf Basis von Grundschutz++ zur Wahl. | Die Grundlage bewusst wählen und berücksichtigen, dass der IT-Grundschutz-Weg absehbar ausläuft |
Fünf Schritte lohnen sich unabhängig von der späteren Entscheidung:
- Zertifizierungsgrundlage und Termine festhalten. Notieren Sie, auf welcher Basis Ihr Zertifikat ausgestellt ist und wann Überwachungsaudits und die nächste Rezertifizierung anstehen. Daraus ergibt sich das realistische Zeitfenster für einen Umstieg.
- Kernprozesse mit Assets verknüpfen. Ordnen Sie Ihre zentralen Geschäftsprozesse den Systemen, Anwendungen und Dienstleistern in Ihrem Asset-Inventar zu. Diese Zuordnung braucht Grundschutz++ als Ausgangspunkt, und sie verbessert jedes ISO-27001-ISMS.
- Risikomethode dokumentieren und abgleichen. Prüfen Sie, ob Ihre Risikomethode schriftlich beschrieben ist, und gleichen Sie sie mit den Mindestkriterien im BSI-Standard 300-1 ab.
- Nachweise strukturiert ablegen. Halten Sie Nachweise mit Datum, Verantwortlichen und Bezug zur Anforderung fest. Was strukturiert vorliegt, lässt sich später einem maschinenlesbaren Katalog zuordnen.
- Die Early-Adopter-Phase beobachten. Das Anwendungsbeispiel im Dezember 2026 und die Erfahrungen der ersten Anwender 2027 zeigen, wie Auditoren die neue Methodik prüfen. Entscheiden Sie danach.
Ein Beispiel: Ein Maschinenbauer mit 350 Mitarbeitenden hält ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz, die Rezertifizierung steht im Herbst 2028 an. Statt das ISMS 2026 umzubauen, ordnet der Informationssicherheitsbeauftragte im vierten Quartal die zwölf Kernprozesse des Unternehmens den vorhandenen Assets zu und gleicht die Risikomethode mit den Mindestkriterien ab. Über den Umstieg entscheidet die Geschäftsleitung Anfang 2028, nach dem Ende der Early-Adopter-Phase. Bis zum 30. November 2031 bleibt nach heutigem Stand genug Spielraum, um das zum passenden Audit-Zyklus zu tun.
Wenn Ihr Unternehmen zugleich unter NIS2 fällt, lohnt sich derselbe Blick auf die Gemeinsamkeiten: Welche Maßnahmen ein ISO-27001-ISMS bereits abdeckt und welche Lücken bleiben, zeigt unser Beitrag zu den Überschneidungen von NIS2 und ISO 27001.
Wie Kertos Sie unterstützt
Kertos verbindet eine Compliance-Plattform mit zertifizierten Experten für ISO 27001 und NIS2. Ob Sie Ihr ISMS nativ nach ISO 27001 betreiben oder später auf Basis von Grundschutz++ zertifizieren lassen: Die Norm, gegen die das Audit prüft, bleibt dieselbe.
Die Grundlagen, die jedes ISMS braucht, liegen auf der Plattform an einer Stelle: Geltungsbereich, Assets, Rollen, Policies und Nachweise. Mit dem zertifizierbaren ISMS von Kertos bauen Sie diese Struktur nach ISO 27001 auf und halten sie aktuell, statt sie für jedes Audit neu zusammenzutragen.
Risiken bewerten Sie im Kertos Risk Management mit einer dokumentierten Methode, die Audits nachvollziehen können. Jedes Unternehmen, das Kertos in ein Audit begleitet hat, hat es bestanden.
Wenn Sie Ihr ISO-27001-Programm auf eine Plattform bringen möchten, zeigen wir Ihnen in einer Demo, wie das mit Kertos abläuft.
Häufig gestellte Fragen
Ersetzt Grundschutz++ die ISO 27001?
Nein. Grundschutz++ ist eine Methodik des BSI für den Aufbau eines ISMS; die ISO/IEC 27001 bleibt der Standard, nach dem zertifiziert wird. Ein nach Grundschutz++ umgesetztes ISMS ist laut BSI zur ISO/IEC 27001 kompatibel und führt zu einer Zertifizierung nach ISO 27001 auf Basis von Grundschutz++.
Muss ich jetzt migrieren?
Nein. Zertifizierungsanträge auf Basis von Grundschutz++ sind laut Meilensteinplan des BSI erst ab dem 1. Januar 2027 möglich, und der bisherige IT-Grundschutz bleibt bis zum 30. November 2031 zertifizierbar. 2026 lohnt sich die Vorbereitung: Bestand prüfen, Kernprozesse den Assets zuordnen und den Umstieg einem späteren Audit-Zyklus zuordnen.
Ist Grundschutz++ zertifizierbar?
Ja, ab 2027. Laut BSI ist ein nach Grundschutz++ implementiertes ISMS ab 2027 zertifizierbar; der Meilensteinplan nennt den 1. Januar 2027 als Start für Anträge auf eine Zertifizierung nach ISO 27001 auf Basis von Grundschutz++. Ein eigenständiges Grundschutz++-Zertifikat gibt es nicht.
Bis wann gilt der alte IT-Grundschutz?
Der Meilensteinplan des BSI, Stand Oktober 2026, nennt den 30. November 2031 als Ende der Zertifizierbarkeit des IT-Grundschutzes, fünf Jahre nach der Veröffentlichung von Grundschutz++. Detaillierte Übergangsregeln für laufende Zertifikate haben wir bis zum 28. Oktober 2026 nicht gefunden. Das BSI passt den Plan fortlaufend an.
Muss ich Grundschutz++ für NIS2 umsetzen?
Nein. Ob Ihr Unternehmen unter NIS2 fällt, ergibt sich aus § 28 BSIG nach Sektor und Größe. Die Pflichten aus den §§ 30 bis 38 BSIG gelten unabhängig davon, ob Sie Ihr ISMS nach ISO 27001, IT-Grundschutz oder Grundschutz++ aufbauen.
