← Zurück zu News 28.10.2026

Grundschutz++ hat jetzt seinen Standard: BSI 300-1

Das BSI hat am 26. Oktober die Methodik zum Grundschutz++ als BSI-Standard 300-1 veröffentlicht. Prozessorientiert, mit frei wählbarer Risikomethodik unter Mindestkriterien und mit allen Anforderungen in maschinenlesbarer Form. Zertifizierbar wird ein ISMS nach Grundschutz++ ab 2027. Was das für die Arbeit mit dem Kompendium heute bedeutet und was jetzt sinnvoll ist.

Seit Monaten gab es den Anwenderkatalog Grundschutz++, aber keine verbindliche Beschreibung, wie man ihn anwendet. Am 26. Oktober hat das BSI diese Lücke geschlossen: Die Methodik zum Grundschutz++ ist als BSI-Standard 300-1 erschienen, rechtzeitig zur it-sa.

Was das BSI ankündigt

Laut Pressemitteilung beschreibt der Standard das Vorgehen bei der Implementierung eines kontinuierlichen Sicherheitsprozesses und unterscheidet sich vom bestehenden IT-Grundschutz vor allem durch die prozessorientierte Vorgehensweise, die darauf abzielt, „die zentralen Geschäftsprozesse einer Institution vorrangig abzusichern“. Drei Punkte stechen heraus:

Geschäftsprozesse zuerst. Nicht das Inventar aller Zielobjekte steht am Anfang, sondern die Frage, welche Prozesse die Institution tragen.
Eigene Risikomethodik. Die Methodik für Risikoidentifikation, -bewertung und -behandlung kann „unter Einhaltung sogenannter Mindestkriterien frei gewählt werden“. Wer bereits nach ISO 27005 oder einem eigenen Verfahren arbeitet, muss nicht umbauen, sondern belegen, dass die Mindestkriterien erfüllt sind.
Maschinenlesbar. Alle Anforderungen liegen nun in einem maschinenlesbaren Format vor. Der Anwenderkatalog erscheint als OSCAL-Datei, nicht mehr nur als PDF.

Und zur Zertifizierung: „Ein nach Grundschutz++ implementiertes ISMS ist ab 2027 zertifizierbar und zur ISO/IEC 27001 kompatibel.“ Davor steht eine Early-Adopter-Phase, in der die Entwicklung mit der Community fortgeführt werden soll.

Was das für heute bedeutet

Wer gerade nach dem IT-Grundschutz-Kompendium Edition 2023 arbeitet, muss morgen nichts wegwerfen. Aber drei Dinge lohnen sich jetzt:

Den Standard lesen, bevor man umstellt. 300-1 ist eine neue Vorgehensweise, kein neues Formular. Wer Bausteine nur umbenennt, verfehlt den prozessorientierten Ansatz.
Die eigene Risikomethodik gegen die Mindestkriterien halten. Das ist der Punkt, an dem sich zeigt, wie viel vom bestehenden ISMS weiterträgt.
Mit beweglichen Nummern rechnen. Der Anwenderkatalog wird laufend fortgeschrieben, die Kennungen der Anforderungen haben sich in den vergangenen Monaten noch verschoben, und die offizielle Zuordnung vom Kompendium 2023 auf Grundschutz++ ist nicht vollständig. Wer heute zuordnet, sollte den Stand des Katalogs mitschreiben.

Für unsere eigenen Artikel ändern wir ab heute die Reihenfolge: Grundschutz++ zuerst, mit Stand des Katalogs, das Kompendium 2023 als „bisher“ dahinter.

Wie isidaten das abbildet

isidaten arbeitet mit Katalogen im OSCAL-Format und bringt den Anwenderkatalog Grundschutz++ bereits mit, derzeit im Stand vom 24. September 2026. Automatische Nachweise, etwa zu Patchfristen oder Datensicherung, verweisen schon heute auf die passenden Grundschutz++-Anforderungen. Wenn das BSI den Katalog fortschreibt, wird der neue Stand eingespielt, statt ein PDF neu abzutippen.