Der Behelf wird Bestandteil
WiBA sah aus wie eine Einstiegshilfe für kleine Kommunen, die man später gegen das Richtige tauscht. Das BSI hat inzwischen entschieden: Die Checklisten werden fester Bestandteil des Nachfolgers vom IT-Grundschutz-Kompendium.
Der IT-Grundschutz gilt als gründlich und als aufwendig. Für kleine Kommunen war schon die Basis-Absicherung zu viel, und genau deshalb hat das BSI den Weg in die Basis-Absicherung entwickelt, kurz WiBA: 19 themenbezogene Checklisten mit 258 Prüffragen, die man ohne Kenntnis der Methodik beantworten kann.
Wer so etwas zum ersten Mal sieht, ordnet es als Übergangslösung ein. Man fängt damit an, und irgendwann tauscht man es gegen das Richtige. Diese Einordnung ist inzwischen falsch.
Was das BSI entschieden hat
Der IT-Grundschutz wird gerade neu gebaut, unter dem Namen Grundschutz++. Auf der Seite dazu steht ein Satz, der WiBA neu einordnet: Die mit WiBA erprobten Checklisten haben sich in der Praxis bewährt und werden fester Bestandteil des Grundschutz++.
Und weiter: Checklisten sollen künftig automatisiert und auf den jeweiligen Anwendungsfall angepasst aus den Anforderungen des Anwenderkatalogs erzeugt werden.
Das dreht die Blickrichtung um. Die Checkliste ist nicht die vereinfachte Vorstufe des Katalogs. Sie wird zur Darreichungsform, in der der Katalog bei denen ankommt, die kein ISMS betreiben. Das BSI schreibt das ausdrücklich so: Kleine Institutionen sollen grundlegende Anforderungen umsetzen können, ohne ein Managementsystem aufzubauen und zu betreiben. Größere legen damit den Grundstein und bauen schrittweise aus.
Der Katalog wird maschinenlesbar
Der zweite Teil der Nachricht ist der technische. Der Anwenderkatalog löst das IT-Grundschutz-Kompendium ab und liegt in der Stand-der-Technik-Bibliothek. Jede Anforderung wird als Regel in einem standardisierten Format erfasst, und diese Regeln lassen sich von Programmen auswerten.
Wer die letzten Monate verfolgt hat, erkennt das Muster. Beim Cyber Resilience Act hat das BSI die Maßnahmenauswahl im Format OSCAL beigelegt. Beim Grundschutz geht jetzt der ganze Katalog diesen Weg. Ein Regelwerk, das nur als PDF erscheint, wird abgetippt und veraltet in Tabellen. Eines, das als Daten erscheint, lässt sich einlesen und mit dem eigenen Bestand verknüpfen.
Eine Änderung darin wird noch für Diskussionen sorgen: Die vertrauten Absicherungsstufen Basis, Standard und erhöhter Schutzbedarf werden durch flexible Leistungszahlen mit dynamischen Schwellwerten ersetzt. Und das Regelwerk wird geschärft, es beschreibt künftig nur noch lösungsunabhängige Anforderungen an Prozesse.
Die Termine
Der Meilensteinplan des BSI, Stand 26. März 2026, nennt konkrete Daten. Die Pilotierungsphase lief vom 1. April bis zum 30. September 2026. Am 27. Oktober 2026 wird die Methodik auf der it-sa in Nürnberg veröffentlicht. Ab dem 1. Januar 2027 kann nach ISO 27001 auf Basis von Grundschutz++ zertifiziert werden, und ab dann gibt es auch die Zertifizierung zum GS++-Berater und GS++-Auditteamleiter. Bis zum 31. März 2027 soll jede Anforderung Leistungskennzahlen tragen.
Was daraus für heute folgt
Wer jetzt mit den WiBA-Checklisten anfängt, arbeitet nicht an einer Sackgasse. Die Antworten bleiben verwertbar, weil die Checklisten bleiben, und die Mappingtabelle des BSI zeigt, welche Anforderungen des IT-Grundschutz-Profils damit bereits erfüllt sind.
Der Umkehrschluss gilt genauso: Wer bis zur Veröffentlichung im Oktober wartet, gewinnt nichts. Die Prüffragen ändern sich nicht dadurch, dass der Katalog darunter ein anderer wird.
Wir führen die 19 Checklisten mit ihren 258 Prüffragen im Modul, mit Erfüllungsstand, Aufwandsschätzung, Verantwortlichkeiten und Historie. Mehr auf der Modulseite zu WiBA.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.