Grundschutz++ für Praktiker: Was sich ändert und was bleibt

Ende Oktober 2026 hat das BSI Grundschutz++ veröffentlicht. Seitdem fragen sich viele IT-Grundschutz-Praktiker: Muss ich jetzt alles neu lernen? War meine Schulung umsonst?

Die kurze Antwort: nein. Grundschutz++ ändert die Methode, nicht das Handwerk. Wer Geltungsbereich, Schutzbedarf und Soll-Ist-Vergleich sauber beherrscht, ist für beide Welten gerüstet. In diesem Artikel bekommst du den Überblick: was neu ist, was bleibt und was du jetzt tun kannst.

Grundschutz++ ist die Weiterentwicklung des IT-Grundschutzes durch das BSI. Die Methodik steht im neuen BSI-Standard 300-1 „Methodik Grundschutz++“. Die Anforderungen stehen im Anwenderkatalog Grundschutz++, der das IT-Grundschutz-Kompendium ablöst.

Neu ist vor allem der Blickwinkel. Du startest bei den Geschäftsprozessen, nicht bei der Technik.

Die Methodik folgt dem PDCA-Zyklus mit fünf Elementen: Erhebung und Planung, Anforderungsanalyse, Realisierung, Überwachung und kontinuierliche Verbesserung. Der Standard ordnet seine Prozessschritte dabei den Kapiteln der ISO/IEC 27001 zu.

Das BSI hat einen Meilensteinplan veröffentlicht. Die für Praktiker wichtigsten Punkte (Stand Oktober 2026):

• 27. Oktober 2026: BSI-Standard 300-1 wird auf der it-sa vorgestellt
• 30. November 2026: neue Schulungskonzepte für Grundschutz++-Praktiker und -Berater
• Dezember 2026: Anwendungsbeispiel mit der fiktiven Behörde „BDIT“
• 1. Januar 2027: Zertifizierung nach ISO 27001 auf Basis von Grundschutz++ möglich
• 1. Quartal 2027: Start der Early-Adopter-Phase und Fortbildung für bereits zertifizierte Berater und Auditteamleiter
• 31. Dezember 2027: Ende der Early-Adopter-Phase
• 30. November 2031: Ende der Zertifizierbarkeit nach dem bisherigen IT-Grundschutz

Wichtig: Das ist ein Plan. Termine können sich verschieben. Maßgeblich ist immer die aktuelle BSI-Seite zu Grundschutz++.

Prozesse zuerst

Im klassischen IT-Grundschutz beginnst du mit der Strukturanalyse. Du erfasst Anwendungen, IT-Systeme, Räume und Netze. In Grundschutz++ beginnst du bei den Geschäftsprozessen. Den Schutzbedarf bewertest du für den Prozess. Für die Erstumsetzung empfiehlt der Standard, mit dem wichtigsten Prozess der höchsten Schutzbedarfskategorie zu starten.

Anwenderkatalog statt Kompendium

Das Kompendium mit seinen Bausteinen wird abgelöst. An seine Stelle tritt der Anwenderkatalog Grundschutz++. Er ist Teil der sogenannten Stand-der-Technik-Bibliothek des BSI.

Zwei Dinge sind neu. Erstens: Die Anforderungen sind maschinenlesbar. Tools können sie direkt verarbeiten und prüfen. Zweitens: Der Katalog ist produktneutral. Anforderungen zu bestimmten IT-Produkten enthält er nicht mehr.

Praktiken und Kategorien statt Bausteine

Die Bausteine verschwinden in ihrer bisherigen Form. Anforderungen werden thematisch zu Praktiken gebündelt, etwa zum Berechtigungsmanagement. Deine Assets ordnest du Zielobjektkategorien zu. Damit erben sie die Anforderungen dieser Kategorie und ihrer übergeordneten Kategorien.

Für dich heißt das: Die klassische Modellierung „Baustein auf Zielobjekt“ fällt so weg. Die Denkarbeit dahinter bleibt aber. Du musst weiterhin wissen, welche Anforderungen für welches Asset gelten.

Weniger Schutzbedarfskategorien

BSI-Standard 300-1 gibt nur noch zwei Schutzbedarfskategorien vor: „normal“ und „hoch“. Eine eigene Kategorie „sehr hoch“ wie im bisherigen IT-Grundschutz gibt es nicht mehr. Du darfst zusätzliche eigene Kategorien festlegen, musst sie aber auf diese beiden abbilden.

Freie Wahl beim Risikoverfahren

Bisher gab BSI-Standard 200-3 das Vorgehen für die Risikoanalyse vor. Unter Grundschutz++ wählst du das Verfahren selbst. Es muss aber Mindestkriterien erfüllen, die der Standard festlegt. Geeignet sind zum Beispiel Verfahren nach ISO/IEC 27005 oder ISO 31000.

Eine explizite Risikobetrachtung brauchst du unter anderem bei hohem Schutzbedarf. Das kennst du schon aus dem bisherigen Vorgehen.

So viel Neues klingt nach Umlernen. Schau aber genauer hin: Die Kernaufgaben eines Praktikers sind dieselben.

• Abgrenzen: Du legst fest, was zum Informationsverbund gehört und was nicht. Begründet und nachvollziehbar.
• Schutzbedarf bewerten: Vertraulichkeit, Integrität, Verfügbarkeit. Die Fragen an die Prozessverantwortlichen bleiben gleich.
• Anforderungen zuordnen: Ob Baustein oder Zielobjektkategorie, du brauchst ein sauberes Bild deiner Assets und ihrer Abhängigkeiten.
• Soll und Ist vergleichen: Auch in Grundschutz++ prüfst du für jede Anforderung den Umsetzungsstatus. Was nicht umgesetzt ist, braucht Verantwortliche und einen Plan.
• Risiken behandeln: Bewerten, entscheiden, dokumentieren. Mit Risikoeigentümern und Freigabe der Leitung.
• Verbessern: PDCA, internes Audit, Managementbewertung. Das kennst du aus BSI-Standard 200-1 und aus ISO 27001.

„In Grundschutz-Audits scheitert es selten an der Methode. Meistens ist der Schutzbedarf am Schreibtisch festgelegt worden, ohne mit den Leuten zu reden, denen der Prozess gehört. Das rettet dir auch Grundschutz++ nicht.“ – Martin Weigert, ISO-27001-Auditor

Die Methode ändert die Werkzeuge. Das Handwerk lernst du einmal und nimmst es mit.

• Methodik: bisher BSI-Standards 200-1, 200-2 und 200-3; neu BSI-Standard 300-1
• Anforderungen: bisher IT-Grundschutz-Kompendium mit Bausteinen; neu Anwenderkatalog Grundschutz++, maschinenlesbar
• Einstieg: bisher Strukturanalyse der IT; neu Geschäftsprozesse
• Zuordnung: bisher Modellierung, Bausteine auf Zielobjekte; neu Assets zu Zielobjektkategorien, Praktiken
• Schutzbedarf: bisher normal, hoch, sehr hoch; neu normal, hoch
• Risikoanalyse: bisher Vorgehen nach BSI-Standard 200-3; neu Verfahren frei wählbar mit Mindestkriterien
• Produktbezug: bisher teilweise produktbezogene Bausteine; neu produktneutral
• Zertifizierbar: bisheriger IT-Grundschutz bis 30. November 2031; Grundschutz++ ab 1. Januar 2027

Du hast drei gute Gründe, den bisherigen IT-Grundschutz weiter ernst zu nehmen.

Erstens: Er bleibt laut BSI bis 30. November 2031 zertifizierbar. Viele Institutionen arbeiten noch Jahre mit ihrem bestehenden Grundschutz-ISMS.

Zweitens: Die Schulungskonzepte für Grundschutz++-Praktiker sind für den 30. November 2026 angekündigt. Bis dahin gibt es keine Praktiker-Schulung nach offiziellem Grundschutz++-Konzept des BSI.

Drittens: Das Handwerk überträgt sich. Wer Schutzbedarf, Anforderungsabgleich und Risikobehandlung verstanden hat, liest den neuen Standard deutlich schneller.

Unsere Schulung BSI IT-Grundschutz-Praktiker behandelt den IT-Grundschutz nach den BSI-Standards 200-x und dem Kompendium. Grundschutz++ ist nicht Teil des Lehrplans. Sobald das BSI die neuen Schulungskonzepte veröffentlicht, informieren wir dich auf der Kursseite.

• Kläre, nach welcher Methode dein ISMS heute arbeitet und ob ein Zertifikat oder Audit ansteht.
• Halte fest, bis wann ihr beim bisherigen IT-Grundschutz bleiben könnt (Grenze: 30. November 2031).
• Lies die BSI-Seite zu Grundschutz++ und den BSI-Standard 300-1 im Original.
• Liste deine wichtigsten Geschäftsprozesse auf. Das ist der Einstieg in Grundschutz++.
• Prüfe, ob deine Schutzbedarfskategorien sich auf „normal“ und „hoch“ abbilden lassen.
• Schau, ob euer ISMS-Tool den maschinenlesbaren Anwenderkatalog unterstützen wird.
• Merk dir den 30. November 2026 für die neuen Schulungskonzepte vor.
• Festige die Grundlagen: Geltungsbereich, Schutzbedarf, Soll-Ist-Vergleich, Risikoanalyse.

Weiterlesen: BSI IT-Grundschutz verständlich erklärt · 10 Prüfungsfragen zum IT-Grundschutz-Praktiker

Stand: November 2026. Wir stützen uns auf Primärquellen des BSI:

• BSI: Grundschutz++, Themenseite mit Meilensteinplan (abgerufen am 05.11.2026)
• BSI: Pressemitteilung „BSI-Standard 300-1“ vom 26.10.2026
• BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 (PDF)
• BSI-Standards 200-1, 200-2 und 200-3 sowie IT-Grundschutz-Kompendium (BSI)