Grundschutz++: BSI macht ISMS ab 2027 regulär zertifizierbar

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 26. Oktober 2026 die Methodik Grundschutz++ offiziell als BSI-Standard 300-1 veröffentlicht. Mit dem neuen Rahmenwerk leitet die Behörde eine Neuausrichtung des etablierten Sicherheitsstandards ein, die sich stärker an den tatsächlichen Abläufen in Organisationen orientiert und die Digitalisierung von Sicherheitsprüfungen vorantreibt.

Prozessorientierung und flexibleres Risikomanagement

Im Mittelpunkt des neuen BSI-Standards 300-1 steht ein prozessorientierter Ansatz. Behörden und Unternehmen sind künftig dazu angehalten, prioritär ihre wichtigsten Geschäftsprozesse abzusichern, anstatt standardisierte Bausteine schematisch abzuarbeiten. Dieser Paradigmenwechsel soll sicherstellen, dass kritische Kernfunktionen vorrangig geschützt werden.

Zugleich wird der Aufbau eines Informationssicherheitsmanagementsystems (ISMS) deutlich flexibler gestaltbar. Anwender können das System künftig zielgerichteter an ihre individuellen organisatorischen Anforderungen anpassen. Dabei stellt das BSI die Methoden zur Identifikation, Bewertung und Behandlung von Risiken weitgehend frei. Voraussetzung für diese Freiheiten ist lediglich, dass die vom Amt definierten Mindestkriterien lückenlos eingehalten werden.

Wer sich mit der Absicherung geschäftskritischer Prozesse befasst, muss auch die gesetzlichen Anforderungen an die IT-Sicherheit im Blick behalten. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen

Maschinenlesbarkeit und internationale Kompatibilität

Ein wesentliches Novum des Standards betrifft das Format der Dokumentation: Erstmals liegen alle Anforderungen in einer maschinenlesbaren Struktur vor. Anstelle herkömmlicher Dokumente im PDF-Format stellt die Behörde den Anwenderkatalog als OSCAL-Datei (Open Security Controls Assessment Language) bereit.

Dieser Schritt soll die automatisierte Verarbeitung, Implementierung und Überprüfung von Sicherheitsanforderungen in IT-gestützten Managementsystemen erleichtern.

Hinsichtlich der Zertifizierung sieht der Zeitplan des BSI eine schrittweise Einführung vor. Zunächst durchlaufen interessierte Organisationen eine sogenannte Early-Adopter-Phase, bevor ein nach Grundschutz++ aufgebautes ISMS ab dem Jahr 2027 regulär zertifizierbar sein wird. Nach Angaben des BSI gewährleistet die neue Methodik zudem die Kompatibilität mit der internationalen Sicherheitsnorm ISO/IEC 27001.

Neben technischen Sicherheitsstandards wie dem IT-Grundschutz rücken auch neue regulatorische Rahmenbedingungen wie der EU AI Act in den Fokus der Compliance. Ein kostenloser Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt im Bereich der neuen Technologien kennen müssen. Kostenlosen Umsetzungsleitfaden zur KI-Verordnung anfordern

Laufende Anpassungen im Anwenderkatalog

Trotz der Veröffentlichung des Rahmenwerks befindet sich das begleitende Material weiterhin im Fluss. Der Anwenderkatalog weist derzeit den Stand vom 24. September 2026 auf. Wie Berichte über den aktuellen Entwicklungsstand zeigen, kommt es bei den Kennungen der Sicherheitsanforderungen weiterhin zu Verschiebungen.

Zudem ist die offizielle Zuordnung der Inhalte zum bestehenden Kompendium aus dem Jahr 2023 noch nicht vollständig abgeschlossen, sodass Anwender bei der Umstellung bestehender Strukturen entsprechende Anpassungsarbeiten einplanen müssen.