BSI veröffentlicht Methodikleitfaden für Grundschutz++
Das Bundesamt für Sicherheit in der Informationstechnik hat Anfang April 2026 die erste Version seines Leitfadens zur Methodik des Grundschutz++ veröffentlicht. Das Dokument markiert einen weiteren Schritt bei der Ablösung des klassischen IT-Grundschutzes durch den modernisierten Nachfolgestandard.
Inhalt und Zielsetzung
Der Leitfaden bildet einen zukunftsgerichteten Ordnungsrahmen für den systematischen Aufbau und die Weiterentwicklung eines Informationssicherheitsmanagementsystems. Er beschreibt eine entlang des PDCA-Zyklus strukturierte Methodik, die strategische Verankerung, Anforderungsanalyse, Umsetzung, Überwachung und kontinuierliche Verbesserung zu einem konsistenten Sicherheitsprozess verbindet. Grundschutz++ setzt dabei auf modulare Praktiken und eine prozessorientierte Struktur statt starrer Bausteine sowie auf ein OSCAL/JSON-basiertes, maschinenlesbares Regelwerk, das teilweise automatisierte Compliance-Prüfungen ermöglicht – bei gleichzeitiger Reduktion der Anforderungen um rund 80 Prozent gegenüber dem bisherigen Kompendium.
Eingeschränkte Anwendbarkeit – Pilotprojekte im Fokus
Der Leitfaden ist explizit nur für Pilotprojekte gedacht und nicht für die Migration von Informationsverbünden, die derzeit ein ISMS nach Grundschutz Edition 2023 betreiben. Der aktuelle Stand von Grundschutz++ ist bisher nur sehr eingeschränkt praktisch anwendbar, da wesentliche Definitionen und Teile der Methodik noch fehlen – darunter Vorgaben zu Kennzahlen, Blaupausen, Schutzbedarfsbewertung und Modellierung.
Übergangsphase bis 2029
Die Edition 2023 des IT-Grundschutzes bleibt gültig und zertifizierungsrelevant; eine Übergangsphase bis 2029 ist geplant, in der beide Standards parallel gelten. Mit dem Leitfaden kommt das BSI seiner in der NIS2-Umsetzungsverordnung festgelegten Pflicht nach, einen neuen „Stand der Technik“ zu definieren, der für alle wichtigen und besonders wichtigen Organisationen verpflichtend ist.
Für Informationssicherheitsbeauftragte und ISB empfiehlt sich eine frühzeitige Auseinandersetzung mit dem Dokument – insbesondere für NIS2-betroffene Organisationen, die ein ISMS nach dem vom BSI definierten Stand der Technik neu aufbauen wollen.
(Foto: nmann77 – stock.adobe.com)
Das könnte Sie auch interessieren
-
Auskunft nach Art. 15 DS-GVO: Akteneinsicht ersetzt keine Auskunft
Ein Gericht muss einer Prozessbeteiligten auf Antrag eine vollständige Kopie ihrer personenbezogenen Daten aus den Verfahrensakten überlassen. Eine Übersicht der Verfahren und ein Verweis auf die allgemeinen Datenschutzhinweise reichen dafür nicht aus. Das hat das VG Berlin mit Urteil vom 05.08.2026 (Az. 42 K 50/25) entschieden. Sachverhalt Die Klägerin führte mehrere Verfahren vor einem Finanzgericht
Mehr erfahren -
Soziale Netzwerke: Eckpunkte für den Kinder- und Jugendmedienschutz
Das Bundeskabinett hat am 14.10.2026 Eckpunkte für einen besseren Kinder- und Jugendmedienschutz beschlossen. Vorgelegt hat sie das Bundesministerium für Bildung, Familie, Senioren, Frauen und Jugend (BMBFSFJ). Sie sollen die 56 Handlungsempfehlungen umsetzen, die die Expertenkommission „Kinder- und Jugendschutz in der digitalen Welt“ am 11.09.2026 vorgelegt hat. Mindestalter und abgestufte Nutzung Kinder unter 13 Jahren sollen
Mehr erfahren -
Bußgeld gegen IT-Dienstleister wegen fehlendem Sicherheits-Monitoring
Die schwedische Datenschutzaufsicht IMY hat gegen den IT-Dienstleister Miljödata i Karlskrona AB ein Bußgeld von 1,8 Mio. SEK (rund 160.000 Euro) verhängt. Nach einem Cyberangriff waren Daten von rund 2,2 Mio. Personen im Darknet veröffentlicht worden. Die Behörde sah einen Verstoß gegen Art. 32 Abs. 1 DS-GVO (Beschluss vom 22.09.2026, Dnr. IMY-2025-21177). Miljödata betreibt webbasierte
Mehr erfahren
