L'essentiel en bref
- Le 26 octobre 2026, l'Office fédéral allemand de la sécurité des technologies de l'information (BSI) a publié la méthode Grundschutz++ sous la forme de la norme BSI 300-1. Elle prolonge l'IT-Grundschutz et n'existe pour l'instant qu'en allemand.
- Grundschutz++ ne remplace pas l'ISO 27001. Selon le BSI, un SMSI construit selon Grundschutz++ est certifiable à partir de 2027 et compatible avec l'ISO/IEC 27001 ; le résultat est une certification ISO 27001 sur la base de Grundschutz++.
- D'après le calendrier du BSI (état octobre 2026), les demandes de certification peuvent être déposées à partir du 1er janvier 2027. La certification selon l'IT-Grundschutz actuel prend fin le 30 novembre 2031.
- Trois éléments sont nouveaux : une approche par les processus qui part des processus métier essentiels, une méthode d'analyse de risques au choix dans le respect de critères minimaux et des exigences publiées dans un format lisible par machine.
- Grundschutz++ n'est ni une loi ni un substitut aux obligations NIS2. Pour un SMSI existant, 2026 est l'année de l'état des lieux et de la préparation, pas de la migration.
BSI Grundschutz++ est la nouvelle méthode de l'Office fédéral allemand de la sécurité des technologies de l'information (BSI) pour construire un système de management de la sécurité de l'information. La norme BSI 300-1 la décrit dans sa version publiée depuis le 26 octobre 2026. Si vous êtes RSSI ou responsable SMSI et que vous détenez ou préparez une certification ISO 27001, la question pratique est simple : faut-il reconstruire votre SMSI maintenant ? La réponse courte est non. La réponse longue montre ce qui change réellement et quelle préparation vaut la peine dès aujourd'hui.
Qu'est-ce que BSI Grundschutz++ ?
Grundschutz++ (prononcé « Grundschutz plus plus », abrégé GS++) succède à l'IT-Grundschutz, la méthode nationale de protection de base du BSI qui décrit comment les entreprises et les administrations construisent, exploitent et améliorent un SMSI. Pour un lecteur français, l'IT-Grundschutz joue en Allemagne un rôle de référentiel national, à la manière dont l'ANSSI propose EBIOS Risk Manager pour l'analyse de risques. La norme BSI 300-1 contient la méthode. Les exigences elles-mêmes figurent dans le catalogue utilisateur Grundschutz++, publié dans la Stand-der-Technik-Bibliothek (bibliothèque de l'état de l'art) du BSI, qui remplace le compendium IT-Grundschutz.
Dans son communiqué de presse du 26 octobre 2026, rédigé en allemand, le BSI indique que la norme vise aussi les organisations aux environnements informatiques hétérogènes ou aux solutions de virtualisation complexes. La méthode suit le cycle PDCA et relie cinq étapes en un processus de sécurité continu : recueil et planification, analyse des exigences, mise en œuvre, surveillance et amélioration continue.
| Caractéristique | Grundschutz++ en bref |
|---|---|
| Éditeur | Office fédéral allemand de la sécurité des technologies de l'information (BSI) |
| Intitulé | Norme BSI 300-1 « Methodik Grundschutz++ » (méthode Grundschutz++) |
| Publication | 26 octobre 2026 |
| Exigences | Catalogue utilisateur Grundschutz++ dans la Stand-der-Technik-Bibliothek, lisible par machine |
| Langue | allemand uniquement pour l'instant |
| Certification | ISO 27001 sur la base de Grundschutz++, demandes à partir du 1er janvier 2027 selon le calendrier du BSI |
| Statut | phase early adopter du premier trimestre 2027 au 31 décembre 2027 selon le calendrier du BSI |
Si vous n'avez jamais utilisé l'IT-Grundschutz et travaillez directement selon la norme, notre guide de la certification ISO 27001 présente le déroulement, la durée et l'effort. Pour vous, Grundschutz++ est une option, pas une obligation.
Ce que Grundschutz++ n'est pas
Grundschutz++ est une méthode du BSI. Elle ne crée ni nouvelle obligation légale ni nouveau certificat, et elle ne détermine pas si votre entreprise relève de NIS2.
Ce n'est pas une loi
Une idée reçue veut que Grundschutz++ impose une nouvelle obligation aux entreprises. Les normes du BSI décrivent des méthodes. Aucune loi n'oblige les entreprises privées allemandes à construire leur SMSI selon l'IT-Grundschutz ou Grundschutz++, et ces méthodes n'ont aucune valeur contraignante en France. Les entreprises qui les choisissent le font volontairement, par exemple parce qu'un client allemand attend une référence au Grundschutz ou parce que la structure modulaire leur convient.
Ce n'est pas un nouveau certificat
Le calendrier du BSI est explicite : à partir du 1er janvier 2027, les entreprises peuvent demander une certification « nach ISO 27001 auf Basis von GS++ », c'est-à-dire ISO 27001 sur la base de Grundschutz++. Le certificat reste un certificat ISO 27001 ; Grundschutz++ décrit une manière d'y parvenir. Les exigences de l'ISO/IEC 27001 s'appliquent toujours en totalité, y compris les 93 mesures de l'annexe A, et le BSI indique que Grundschutz++ est compatible avec la norme.
Ce n'est pas un substitut aux obligations NIS2
C'est le secteur et la taille qui déterminent si votre entreprise relève de NIS2, pas le choix de la méthode de SMSI. En Allemagne, le § 28 de la loi sur le BSI (BSIG) fixe ce périmètre, et les mesures de gestion des risques (§ 30), les obligations de notification (§ 32) et l'enregistrement (§ 33) s'appliquent quelle que soit la méthode retenue. En France, NIS2 n'est pas encore transposée : l'examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a de nouveau été reporté à l'Assemblée nationale en octobre 2026. Un SMSI Grundschutz++ peut aider à mettre en œuvre et à prouver des mesures de sécurité ; il ne remplace pas l'analyse de périmètre.
Notre guide de la directive NIS2 détaille ce que NIS2 exige, des dix mesures minimales aux délais de notification.
IT-Grundschutz et Grundschutz++ : ce qui reste et ce qui change
Le cœur ne change pas : un SMSI fondé sur le cycle PDCA et compatible avec l'ISO/IEC 27001. Ce qui change, c'est le point de départ de l'analyse, la liberté dans le choix de la méthode de risques et le format des exigences.
| Caractéristique | IT-Grundschutz (édition 2023) | Grundschutz++ |
|---|---|---|
| Méthode | Normes BSI 200-1 à 200-3 | Norme BSI 300-1 |
| Exigences | Compendium IT-Grundschutz organisé en modules (Bausteine) | Catalogue utilisateur Grundschutz++ dans la Stand-der-Technik-Bibliothek, uniquement des exigences indépendantes des solutions |
| Point de départ | Modélisation du périmètre d'information à l'aide de modules | Approche par les processus, les processus métier essentiels sont sécurisés en priorité |
| Méthode de risques | Analyse de risques selon la norme BSI 200-3 | Au choix, dans le respect des critères minimaux de la norme |
| Format des exigences | Compendium sous forme de document | Lisible par machine ; selon le BSI, le contrôle peut être automatisé |
| Certificat | ISO 27001 sur la base de l'IT-Grundschutz | ISO 27001 sur la base de Grundschutz++ |
| Certifiable | jusqu'au 30 novembre 2031 selon le calendrier du BSI | demandes à partir du 1er janvier 2027 selon le calendrier du BSI |
Ce qui reste
L'objectif ne change pas : un SMSI qui gère la sécurité de l'information comme un processus de management permanent et qu'un organisme de certification peut auditer. Un SMSI Grundschutz++ a toujours besoin des fondations qu'un auditeur veut voir : un périmètre défini, un inventaire des actifs, des rôles clairs et des preuves solides. Le BSI n'a pas encore précisé dans quelle mesure ces éléments se reprennent directement lors d'un changement, et nous n'avons trouvé aucun guide de migration officiel au 28 octobre 2026.
Ce qui change
La différence principale tient au point d'entrée. Grundschutz++ part des processus métier essentiels et les sécurise en priorité, au lieu de découper d'abord l'ensemble du périmètre d'information en modules. Si vous connaissez déjà vos processus clés et les systèmes qui les portent, vous partez avec une longueur d'avance.
La méthode d'analyse de risques gagne en souplesse. Les entreprises peuvent choisir leur méthode d'identification, d'évaluation et de traitement des risques, à condition de respecter les critères minimaux de la norme. Beaucoup d'entreprises certifiées ISO 27001 appliquent déjà leur propre méthode, fondée sur l'ISO/IEC 27005, sur EBIOS Risk Manager ou sur un schéma interne, ce qui abaisse la barrière d'entrée.
Le troisième changement est technique. Le BSI publie toutes les exigences dans un format lisible par machine, ce qui permet selon lui d'en automatiser le contrôle. D'après une synthèse de SITS, la Stand-der-Technik-Bibliothek compte 921 exigences réparties en 19 pratiques et 53 objets cibles. Les pratiques sont des ensembles de tâches qui regroupent des exigences similaires et peuvent être rattachés à des processus. Ces chiffres sont un instantané et évoluent à chaque nouvelle version du catalogue.
Une deuxième idée reçue porte justement sur ce point : lisible par machine ne veut pas dire mis en œuvre. Un outil peut importer des exigences et préparer des contrôles. Ce sont toujours les preuves et les audits qui démontrent qu'une mesure fonctionne au quotidien.
Le calendrier du BSI : de 2026 à 2031
Le BSI publie un calendrier daté d'octobre 2026 sur sa page consacrée à Grundschutz++, en allemand. Il précise qu'il l'ajuste en continu ; les dates ci-dessous sont donc des étapes prévues, pas des échéances.
| Date | Étape selon le BSI |
|---|---|
| 26 octobre 2026 | Publication de la norme BSI 300-1, présentation au salon it-sa de Nuremberg |
| 30 novembre 2026 | Concepts de formation pour les praticiens et consultants GS++ |
| Décembre 2026 | Exemple d'application fondé sur l'administration fictive « BDIT » |
| 1er janvier 2027 | Ouverture des demandes de certification ISO 27001 sur la base de GS++ |
| 1er trimestre 2027 | Début de la phase early adopter ; formation complémentaire des consultants et responsables d'équipe d'audit IT-Grundschutz déjà certifiés |
| 26 février 2027 | Concept de mesure de la performance du SMSI intégré à la méthode |
| 31 mars 2027 | Indicateurs de performance pour chaque exigence des pratiques de méthode |
| 31 décembre 2027 | Fin de la phase early adopter |
| 30 novembre 2031 | Fin de la certification selon l'IT-Grundschutz, cinq ans après la publication de GS++ |
Beaucoup lisent « certifiable à partir de 2027 » comme « obligatoire à partir de 2027 ». Le calendrier dit autre chose : 2027 ouvre une deuxième voie vers le certificat, et la voie actuelle reste disponible en parallèle pendant environ cinq ans selon les plans actuels. Reste à savoir comment le BSI organisera la transition des certificats existants, par exemple pour les audits de surveillance et les recertifications. Au 28 octobre 2026, nous n'avons pas trouvé de règles de transition détaillées.
Ce que les responsables SMSI devraient faire en 2026 : préparer plutôt que migrer
2026 est la mauvaise année pour migrer et la bonne pour se préparer. La méthode est publiée, les demandes de certification n'ouvrent qu'en 2027, les formations et l'exemple d'application arrivent dans les prochains mois, et la phase early adopter dure jusqu'à fin 2027. Ce que vous pouvez préparer dépend de votre situation de départ.
| Votre situation | Ce que Grundschutz++ change pour vous | Recommandation pour 2026 |
|---|---|---|
| Certificat ISO 27001 sans référence au Grundschutz | Rien d'obligatoire. Votre certificat et votre cycle d'audit ne sont pas concernés. | Suivre le catalogue utilisateur comme source complémentaire d'exigences, sans planifier de changement |
| Certificat ISO 27001 sur la base de l'IT-Grundschutz | La voie actuelle reste certifiable jusqu'au 30 novembre 2031 selon le calendrier du BSI. | Comparer votre SMSI à la norme 300-1 et rattacher le changement à un cycle d'audit ultérieur |
| Première certification en préparation | À partir de 2027, trois voies sont possibles : ISO 27001 seule, sur la base de l'IT-Grundschutz ou sur la base de Grundschutz++. | Choisir la base en connaissance de cause, en tenant compte de la fin programmée de la voie IT-Grundschutz |
Cinq étapes sont utiles quelle que soit votre décision ultérieure :
- Consigner la base de certification et les dates. Notez sur quelle base votre certificat a été délivré et quand tombent vos audits de surveillance et votre prochaine recertification. Vous en déduisez la fenêtre réaliste d'un changement.
- Relier les processus clés aux actifs. Associez vos processus métier essentiels aux systèmes, applications et prestataires de votre inventaire des actifs. Grundschutz++ en a besoin comme point de départ, et cette cartographie améliore n'importe quel SMSI ISO 27001.
- Documenter et comparer votre méthode de risques. Vérifiez qu'elle est décrite par écrit et comparez-la aux critères minimaux de la norme BSI 300-1.
- Structurer les preuves. Enregistrez chaque preuve avec une date, un responsable et l'exigence qu'elle couvre. Des preuves structurées se rattachent facilement à un catalogue lisible par machine.
- Suivre la phase early adopter. L'exemple d'application de décembre 2026 et l'expérience des premiers utilisateurs en 2027 montreront comment les auditeurs évaluent la nouvelle méthode. Décidez ensuite.
Prenons un constructeur de machines de 350 personnes, certifié ISO 27001 sur la base de l'IT-Grundschutz, dont la recertification tombe à l'automne 2028. Plutôt que de reconstruire son SMSI en 2026, son responsable de la sécurité de l'information relie au quatrième trimestre les douze processus clés de l'entreprise aux actifs existants et compare la méthode de risques aux critères minimaux. La direction tranche début 2028, après la fin de la phase early adopter. Selon les plans actuels, l'entreprise a jusqu'au 30 novembre 2031 pour changer au cycle d'audit qui lui convient.
Si votre entreprise relève aussi de NIS2, le même regard sur les recoupements s'impose. Notre article sur les recoupements entre NIS2 et ISO 27001 montre les mesures qu'un SMSI ISO 27001 couvre déjà et les écarts qui restent.
Comment Kertos vous accompagne
Kertos associe une plateforme de conformité à des experts certifiés pour l'ISO 27001 et NIS2. Que vous exploitiez votre SMSI directement selon l'ISO 27001 ou que vous passiez plus tard par une certification sur la base de Grundschutz++, la norme vérifiée lors de l'audit reste la même.
Les fondations dont tout SMSI a besoin sont réunies au même endroit sur la plateforme : périmètre, actifs, rôles, politiques et preuves. Avec le SMSI certifiable de Kertos, vous construisez cette structure selon l'ISO 27001 et la tenez à jour, au lieu de la reconstituer avant chaque audit.
Vous évaluez les risques dans le module de gestion des risques de Kertos avec une méthode documentée que les auditeurs peuvent suivre. Toutes les entreprises que Kertos a accompagnées en audit l'ont réussi.
Si vous souhaitez piloter votre programme ISO 27001 sur une seule plateforme, nous vous montrons comment dans une démonstration.
Questions fréquentes
Grundschutz++ remplace-t-il l'ISO 27001 ?
Non. Grundschutz++ est une méthode du BSI pour construire un SMSI, et l'ISO/IEC 27001 reste la norme de certification. Selon le BSI, un SMSI mis en œuvre selon Grundschutz++ est compatible avec l'ISO/IEC 27001 et mène à une certification ISO 27001 sur la base de Grundschutz++.
Faut-il migrer maintenant ?
Non. Selon le calendrier du BSI, les demandes de certification sur la base de Grundschutz++ n'ouvrent que le 1er janvier 2027, et la voie IT-Grundschutz actuelle reste certifiable jusqu'au 30 novembre 2031. En 2026, la préparation est utile : faire l'état des lieux, relier les processus clés aux actifs et rattacher le changement à un cycle d'audit ultérieur.
Grundschutz++ est-il certifiable ?
Oui, à partir de 2027. Le BSI indique qu'un SMSI mis en œuvre selon Grundschutz++ est certifiable à partir de 2027, et son calendrier fixe au 1er janvier 2027 l'ouverture des demandes de certification ISO 27001 sur la base de Grundschutz++. Il n'existe pas de certificat Grundschutz++ distinct.
Jusqu'à quand l'ancien IT-Grundschutz reste-t-il valable ?
Le calendrier du BSI, daté d'octobre 2026, fixe au 30 novembre 2031 la fin de la certification selon l'IT-Grundschutz, cinq ans après la publication de Grundschutz++. Au 28 octobre 2026, nous n'avons pas trouvé de règles de transition détaillées pour les certificats existants. Le BSI ajuste ce calendrier en continu.
Faut-il appliquer Grundschutz++ pour NIS2 ?
Non. C'est le secteur et la taille qui déterminent si votre entreprise relève de NIS2, en Allemagne via le § 28 BSIG et en France via la loi de transposition, qui n'est pas encore adoptée. Les obligations NIS2 s'appliquent quelle que soit la méthode de SMSI, qu'il s'agisse de l'ISO 27001, de l'IT-Grundschutz ou de Grundschutz++.
