Das BSI veröffentlicht die Grundschutz++-Methodik am 27. Oktober 2026 auf der it-sa. Ab 1. Januar 2027 ist Grundschutz++ zertifizierbar, der bisherige IT-Grundschutz bleibt es bis 30. November 2031. Diese Seite erklärt, was sich ändert, wie der Übergang verläuft und was er für Organisationen mit bestehender IT-Grundschutz-Basis bedeutet, ebenso wie für alle, die über NIS2 neu hinzukommen.
02 / Die Kurzfassung
Grundschutz++ ist die Modernisierung des IT-Grundschutzes durch das BSI. Die Grundschritte bleiben die, mit denen Compliance-Teams seit zwei Jahrzehnten arbeiten: den Informationsverbund erfassen, den Schutzbedarf feststellen, geeignete Maßnahmen wählen, den Betrieb dokumentieren und die eigenen Angaben mit Nachweisen belegen. Neu gefasst sind die Methodik, die das BSI prozessorientiert aufbaut, und der Katalog, der als maschinenlesbare Daten erscheint.
Das alte Kompendium war ein PDF, einmal jährlich gepflegt und von Hand quervernetzt. Grundschutz++ ist ein strukturierter, maschinenlesbarer Katalog im OSCAL-Format, offen über die BSI-GitHub-Organisation publiziert und kontinuierlich versioniert. Die regulatorische Absicht hat sich nicht geändert. Das Artefakt, das diese Absicht trägt, sehr wohl.
Kurz gesagt: Die regulatorische Absicht, die Rollen und die Verantwortlichkeiten bleiben. Neu sind eine prozessorientierte Methodik und ein Katalog, der als strukturierte Daten vorliegt und Querverweise auf ISO 27001 und NIS2 bereits mitbringt.
03 / Die konkreten Änderungen
Grundschutz++ ist keine neue ISMS-Philosophie. Das BSI hat das Plan-Do-Check-Act-Gerüst, die Pflicht zur Schutzbedarfsfeststellung und die zentrale Rolle des IT-Sicherheitsbeauftragten beibehalten. Innerhalb dieses Rahmens verändert sich der Katalog selbst auf konkrete Weise.
Das Kompendium 2023 ordnet seine Anforderungen in 111 Bausteine auf zehn Schichten. Grundschutz++ verdichtet den Katalog zu 19 prozessorientierten Praktiken entlang des PDCA-Zyklus. Was bisher in einem Baustein lag, liegt künftig in einer Praktik; die Auswahllogik verschiebt sich von der Frage, welche Bausteine auf ein Zielobjekt anzuwenden sind, hin zur Frage, welche Praktiken in welcher Tiefe greifen.
Das Kompendium 2023 enthält rund 6.567 einzelne Anforderungen, verteilt auf seine Bausteine. Die Praktiken von Grundschutz++ kommen auf etwa 985. Die Reduktion ist kein Absenken des Niveaus: Redundante Formulierungen sind zusammengeführt, Vererbung entlang der Zielobjekt-Hierarchie ist jetzt explizit, organisationsweite Anforderungen wiederholen sich nicht mehr je Zielobjekt. Das Ergebnis sind weniger Punkte zum Abhaken, eine bessere Abstimmung zwischen ihnen und deutlich weniger doppelte Dokumentation.
Die bisherige dreistufige Skala, normal, hoch, sehr hoch, wird in Grundschutz++ auf zwei Stufen reduziert: normal für den allgemeinen Stand der Technik, erhöht für gesteigerten Schutzbedarf. Was früher bei sehr hoch gelandet wäre, geht nun direkt in die Risikoanalyse. Die Grauzone zwischen hoch und sehr hoch, die in der Praxis kaum trennscharf war, entfällt.
Grundschutz++ wird als OSCAL veröffentlicht, dem offenen Schema für Compliance-Dokumente, das vom NIST gepflegt wird. Das BSI stellt sowohl JSON- als auch XML-Serialisierungen über das öffentliche GitHub-Repository BSI-Bund/Stand-der-Technik-Bibliothek bereit. Aktualisierungen des Katalogs kommen als Commits, nicht als jährliche PDF-Releases. ISMS-Tools, die OSCAL sprechen, können den Katalog direkt einlesen und Soll-Ist-Vergleiche gegen Live-Systemdaten durchführen.
Die bisherigen IT-Grundschutz-Profile, vorkonfigurierte Sicherheitskonzept-Vorlagen für Archetypen wie E-Akte, 5G oder kommunale Versorger, werden in Grundschutz++ zu Blaupausen. Strukturell ähnlich, prozedural verschieden: Blaupausen sind maschinenlesbare Konfigurationen, die ein Tool automatisch auf ein Zielobjekt anwendet, keine Dokumentvorlagen, die Beratungen händisch anpassen.
Grundschutz++ bringt OSCAL-Querverweise auf die Controls von ISO 27001:2022 Annex A sowie auf NIS2-Anforderungen bereits mit. Organisationen mit kombiniertem BSI/ISO-Geltungsbereich pflegen das Mapping nicht länger in einer separaten Tabelle. Für multinationale Geltungsbereiche wird Grundschutz++ als Leitkatalog tragfähig. Diese Rolle konnte bisher faktisch nur ISO ausfüllen.
04 / Die Umstellung
Ab 1. Januar 2027 ist Grundschutz++ zertifizierbar, der bisherige IT-Grundschutz noch bis November 2031. Den Wechsel erzwingt 2027 also nicht. Wer den Übergang in diesem Jahr an einem eigenen Informationsverbund prüft, weiß aber vor der nächsten Re-Zertifizierung, was er kostet und ob das heutige Werkzeug ihn trägt.
Das BSI legt den Übergang bewusst über mehrere Jahre an, weil Inventare, Sicherheitskonzepte, Nachweisbestände und Auditabläufe Zeit brauchen. Bis 2031 haben Organisationen die Wahl zwischen beiden Standards, und bestehende Zertifikate behalten ihre Laufzeit. Je näher 2031 rückt, desto mehr Re-Zertifizierungen werden nach Grundschutz++ erfolgen.
Hinweis · Einige Umsetzungshilfen, darunter branchenspezifische Blaupausen, Profil-Mappings und Beschaffungsvorlagen, werden schrittweise über das BSI-GitHub-Repository veröffentlicht. Diese Seite wird aktualisiert, sobald sie verfügbar sind.
05 / Ihre Ausgangslage
Sie verfügen bereits über eine Strukturanalyse, eine Schutzbedarfsfeststellung, modellierte Bausteine und einen dokumentierten IT-Grundschutz-Check. Der Übergang beginnt deshalb nicht auf leerem Blatt. Ein Teil Ihrer Bewertungen wird übernommen, ein Teil ist neu zu bewerten, und ein Teil hängt an Punkten, die das BSI noch klärt. Wie groß welcher Teil für Ihren Informationsverbund ist, weiß heute niemand. Es lässt sich aber messen.
Die zweite Frage ist das Werkzeug: ob es den OSCAL-Katalog des BSI einliest, Praktiken als eigene Objekte führt und Nachweise maschinenlesbar verknüpft. Stellen Sie diese Fragen Ihrem Anbieter schriftlich (Abschnitt 06). Von den Antworten hängt ab, wie viel Handarbeit der Übergang Ihr Team kostet.
Den Übergang an einem Informationsverbund prüfenWenn Ihre Organisation durch NIS2 oder das KRITIS-Dachgesetz in den Geltungsbereich geraten ist, sieht die Rechnung anders aus. Sie haben heute noch kein Sicherheitskonzept. Mit dem Kompendium 2023 zu beginnen, hieße, ein Artefakt nach altem Muster zu erstellen und es vor 2031 zu überführen. Mit Grundschutz++ zu beginnen, heißt, das Artefakt direkt auf dem Katalog zu erstellen, der auch nach dem Übergang gilt.
Ab 2027 sind beide Wege zertifizierbar. Die praktische Frage ist, ob Ihr Werkzeug, Ihre Zertifizierungsstelle und Ihre Zeitachse Grundschutz++ ab Tag eins tragen. Wenn ja, erspart der direkte Einstieg ein zweites Projekt vor 2031. Wenn nein, bleibt das Kompendium 2023 ein vertretbarer Weg, mit eingeplantem Budget für den Übergang.
Was jetzt zu tun ist06 / Praktische nächste Schritte
Hinweise, die für sich stehen, unabhängig vom Anbieter. Die Substanz dieses Abschnitts ändert sich nicht, ob Sie am Ende OrbisGraph oder ein anderes ISMS-Tool einsetzen. Es ist die Grundlage, von der jede Organisation im Geltungsbereich profitiert.
Die am 27. Oktober 2026 veröffentlichte Grundschutz++-Methodik ist der beste Einstiegspunkt. Das GitHub-Repository der Stand-der-Technik-Bibliothek ist die maßgebliche Quelle für Kataloge und Aktualisierungen. Alles andere, auch diese Seite, ist Einordnung.
Unabhängig vom Werkzeug zeigt das Mapping Ihrer bestehenden Bausteine und Maßnahmen auf die Praktiken, welche Teile Ihres ISMS bereits praktikenorientiert sind und welche neu strukturiert werden müssen.
Jedes Vorhaben, das zwischen heute und 2031 in den Geltungsbereich fällt, steht vor einer Übergangsfrage. Den Startkatalog einmal je Vorhabenstyp festzulegen, ist günstiger, als ihn fallweise zu entscheiden und im Audit Inkonsistenzen festzustellen.
Stellen Sie Ihrem ISMS-Tool-Anbieter drei Fragen schriftlich: Liest das Produkt die OSCAL-Kataloge des BSI nativ ein? Behandelt es Praktiken als eigenständige Objekte? Unterstützt es die vom BSI gepflegten Querverweise auf ISO 27001 und NIS2? Steht eine Antwort auf der Roadmap, fragen Sie nach einem Datum.
Zertifizierungsstellen, die die Übergangsphase begleiten, wissen, welche Zertifizierungen sie noch nach dem Kompendium 2023 durchführen und wann sie einen Wechsel ihrer Kundschaft erwarten. Für die Auditplanung zählt deren Kalender mehr als Ihrer.
Die Early-Adopter-Phase läuft vom ersten Quartal bis 31. Dezember 2027. Im ersten Quartal öffnen auch die Schulungen für Grundschutz++-Beratende und -Auditteamleitungen, und bereits zertifizierte Beratende und Auditteamleitungen erhalten einen eigenen Weiterbildungsweg. Wer jetzt einsteigt, lernt die Methodik zur selben Zeit wie die Prüfenden, die sie später anwenden.
Das BSI hat den Übergang bewusst über fünf Jahre angelegt, von der Veröffentlichung der Methodik im Oktober 2026 bis zum Ende der Zertifizierbarkeit des bisherigen IT-Grundschutzes im November 2031. Wer auf diesen Horizont plant und 2027 mit einem Informationsverbund beginnt, trägt weniger Risiko als jemand, der den Wechsel in das letzte Zertifizierungsjahr presst.
07 / Wie OrbisGraph hineinpasst
OrbisGraph ist die Compliance-Plattform von Pinnipedia. Unter der Haube ist die Katalog-Schicht als Wissensgraph umgesetzt: Bausteine, Anforderungen, Zielobjekte, Maßnahmen, Nachweise, Freigabezustände und Querverweise zwischen Frameworks liegen als getypte Knoten und Kanten vor. OrbisGraph hält das Kompendium nicht als PDF-Kopie vor, um es für Abfragen zu parsen. OSCAL-Dokumente lassen sich direkt in den zugrunde liegenden Graphen abbilden, weil OSCAL unter dem JSON selbst ein graphartiges Schema ist.
Für den Übergang zu Grundschutz++ heißt das: Ihr Sicherheitskonzept liegt in OrbisGraph als Graph vor. Im Transition-Pilot laden wir den Grundschutz++-Katalog als zweiten Graphen daneben und erstellen mit Unterstützung von OrbisGraph den Vergleich. Er zeigt je Anforderung und Zielobjekt, was übernommen wird, was neu zu bewerten ist und was auf eine Klärung durch das BSI wartet. Jedes Ergebnis führt auf eine Stelle in Ihren Unterlagen und eine Stelle im Katalog zurück, den das BSI über sein GitHub-Repository veröffentlicht.
Die in Grundschutz++ eingebauten Querverweise auf ISO 27001:2022 und NIS2 passen in dasselbe Modell, als Kanten im selben Graphen. ISO 27001 auf demselben Graphen steht für 2027 auf unserer Roadmap.
OrbisGraph ist ein Werkzeug, keine Zertifizierungsstelle. Zertifikate erteilen akkreditierte Zertifizierungsstellen, nicht die Plattform. Wir arbeiten seit 2025 mit den Entwurfsständen von Grundschutz++ und haben im September 2026 die Aufnahme in die BSI-Liste der IT-Grundschutz-Tools beantragt. Was der Übergang für Ihren Informationsverbund bedeutet, zeigt der Transition-Pilot an Ihren eigenen Unterlagen.
08 / FAQ
IT-Grundschutz in der Edition 2023 ist ein PDF-Kompendium aus 111 Bausteinen und rund 6.567 Anforderungen. Grundschutz++ folgt denselben Grundschritten, neu aufgebaut um 19 prozessorientierte Praktiken, rund 985 Anforderungen, zwei statt drei Schutzbedarfsstufen und einen OSCAL/JSON-Katalog auf GitHub, nach dem Stand der Vorschau von 2025. Die methodische Absicht bleibt; Form und Detailtiefe des Katalogs werden modernisiert.
Nein. Bis 30. November 2031 bleibt ein Sicherheitskonzept auf Basis des Kompendiums 2023 zertifizierbar. Wenn Sie umsteigen, beginnen Sie nicht auf leerem Blatt: Ein Teil Ihrer Bewertungen wird übernommen, ein Teil ist neu zu bewerten, ein Teil wartet auf Klärungen durch das BSI. Zielobjekte und Nachweise bleiben Ihre Grundlage.
Für Zertifizierungen mit dem 30. November 2031, wenn die Zertifizierbarkeit des bisherigen IT-Grundschutzes endet, fünf Jahre nach der Veröffentlichung der Methodik. Bis dahin haben Sie die Wahl: Grundschutz++ ist ab 1. Januar 2027 zertifizierbar. Bestehende Zertifikate behalten ihre Laufzeit.
Der Zeitraum, in dem die erste anwendbare Fassung der Methodik in der Praxis eingesetzt wird: vom ersten Quartal bis 31. Dezember 2027. Was das für Ihre Planung heißt, steht in Abschnitt 06.
Ja. Der Grundschutz++-Transition-Pilot ist ein Proof of Concept, der den Übergang in zwölf Wochen an einem Informationsverbund prüft. Was gilt, entscheidet Ihre Fachperson. Am Ende steht eine Entscheidungsvorlage für Ihre Leitung: Übergang mit oder ohne Toolwechsel, Zeitplan bis zur Re-Zertifizierung. Beauftragung ab Januar 2027, Konditionen im Scoping-Gespräch. Zum Transition-Pilot
OSCAL (Open Security Controls Assessment Language) ist ein vom NIST gepflegter offener Standard, der Sicherheitskataloge, Profile, Systemsicherheitspläne und Bewertungsergebnisse als maschinenlesbare Dokumente in JSON oder XML abbildet. Das BSI hat ihn übernommen, weil er Grundschutz++ ein Format gibt, das ISMS-Tools direkt einlesen können, automatisierte Soll-Ist-Vergleiche gegen reale Systemdaten ermöglicht und interoperable Querverweise auf andere Frameworks (ISO 27001, NIS2) trägt.
Bestehende Zertifizierungen nach Kompendium 2023 bleiben bis zum Ende ihrer Laufzeit gültig. Ab 2027 können Audits nach beiden Standards durchgeführt werden. Re-Zertifizierungen und Neu-Zertifizierungen im späteren Verlauf der Übergangsphase werden zunehmend nach Grundschutz++ durchgeführt. Maßgeblich dafür, was zertifiziert wird und was nicht, sind die akkreditierten Zertifizierungsstellen. Sprechen Sie früh mit Ihrer.
Der Stand ist unterschiedlich. Die wirklich sinnvolle Frage ist nicht, ob ein Werkzeug Grundschutz++ erwähnt, sondern ob es OSCAL-Kataloge nativ einliest, Praktiken als eigenständige Objekte abbildet und die vom BSI gepflegten Querverweise auf ISO 27001 und NIS2 beherrscht. Das sind die drei konkreten Fragen, die Sie jedem Anbieter schriftlich stellen sollten.
Sie werden innerhalb von Grundschutz++ als Blaupausen neu aufgebaut. Strukturell den alten Profilen ähnlich, prozedural anders: Blaupausen sind maschinenlesbare Konfigurationen, die Werkzeuge auf Zielobjekte anwenden, statt Dokumentvorlagen, die Teams von Hand anpassen. Erste Blaupausen decken bereits vom BSI veröffentlichte Sektoren ab, darunter E-Akte, 5G-Infrastruktur und kommunale Versorgung; weitere kommen schrittweise in der Stand-der-Technik-Bibliothek hinzu.
Maßgeblich sind die Veröffentlichungen des BSI selbst. Die zwei primären Anlaufstellen sind die Grundschutz++-Seiten auf bsi.bund.de und das öffentliche GitHub-Repository BSI-Bund/Stand-der-Technik-Bibliothek. Die am 27. Oktober 2026 veröffentlichte Grundschutz++-Methodik ist das beste Orientierungsdokument für Teams, die bei null beginnen.
Ein Scoping-Gespräch dauert 45 Minuten und findet online statt. Wir klären, welcher Informationsverbund passt, welcher Datenweg möglich ist und wer bei Ihnen die Fachperson sein kann. Wir melden uns innerhalb von drei Werktagen per E-Mail mit Terminvorschlägen.