BSI-Standard 300-1: Grundschutz++ ist da – und der klassische IT-Grundschutz läuft bis 2031 weiter

Am 26. Oktober 2026 hat das BSI die Methodik zum Grundschutz++ als BSI-Standard 300-1 veröffentlicht. Ab 2027 lassen sich Informationssicherheitsmanagementsysteme danach zertifizieren, kompatibel zur ISO/IEC 27001. Wer heute ein ISMS nach IT-Grundschutz betreibt, muss nicht sofort umstellen – sollte den Umstieg aber jetzt planen.

→ BSI-Standard 300-1 beim BSI lesen (PDF und Downloadseite)

Was sich ändert

• Der Sicherheitsprozess richtet sich an den zentralen Geschäftsprozessen aus, nicht mehr an einzelnen Zielobjekten.
• Die Methodik folgt dem PDCA-Zyklus in fünf Schritten: Erhebung und Planung, Anforderungsanalyse, Realisierung, Überwachung, kontinuierliche Verbesserung.
• Basis-, Kern- und Standard-Absicherung entfallen. Der Schutzbedarf wird je Geschäftsprozess als „normal“ oder „hoch“ festgelegt; Anforderungen gibt es auf den Sicherheitsniveaus „normal (Stand der Technik)“ und „erhöht“.
• Anforderungen tragen die Modalverben MUSS, SOLLTE und KANN. Nicht erfüllte MUSS-Anforderungen lassen sich nicht durch Risikoakzeptanz ersetzen.
• Die Methode der Risikoanalyse ist frei wählbar, solange die 35 Mindestkriterien des Standards erfüllt sind.
• Der Anwenderkatalog Grundschutz++ in der Stand-der-Technik-Bibliothek ersetzt das IT-Grundschutz-Kompendium. Alle Anforderungen liegen maschinenlesbar vor.

Die Termine

• 30.11.2026: Schulungskonzepte für GS++-Praktiker und GS++-Berater (angekündigt)
• 01.01.2027: Zertifizierungsanträge nach ISO 27001 auf Basis von Grundschutz++ möglich
• 2027: Early-Adopter-Phase; Leistungskennzahlen für alle ISMS-Praktiken bis 31.03.2027
• 30.11.2031: Ende der Zertifizierbarkeit des klassischen IT-Grundschutzes

Was Betreiber jetzt prüfen sollten

1. Laufzyklus klären: Wann steht die nächste Re-Zertifizierung an, und fällt sie noch sinnvoll in den klassischen IT-Grundschutz?
2. Prozesslandkarte prüfen: Sind die zentralen Geschäftsprozesse und ihre Abhängigkeiten dokumentiert? Daran setzt Grundschutz++ an.
3. Risikomethode festlegen: Welche Methode wird heute genutzt, und erfüllt sie die Mindestkriterien des Standards 300-1?
4. Werkzeug prüfen: Kann das ISMS-Tool den maschinenlesbaren Anwenderkatalog einlesen?
5. Kennzahlen vorbereiten: Woran wird heute die Wirksamkeit des ISMS gemessen?

Besonders früh stellt sich die Frage für Organisationen, deren ISO-27001-Zertifizierung auf IT-Grundschutz beruht und Voraussetzung für eine Zulassung ist – etwa EU-Zahlstellen für EGFL und ELER. Wir empfehlen, den nächsten Re-Zertifizierungszyklus bereits mit Blick auf Grundschutz++ zu planen.

Aus der Prüfpraxis

In IT-Grundschutz-Audits zeigt sich ein Muster: Die Modellierung ist vollständig, aber der Bezug zum Geschäftsprozess fehlt. Genau diese Lücke schließt Grundschutz++. Wer seine Prozesse sauber kennt, wird den Umstieg als Vereinfachung erleben.

Wie ATM Consulting unterstützt

Als vom BSI zertifizierter Auditteamleiter für ISO 27001 auf Basis von IT-Grundschutz und als Schulungsanbieter begleitet ATM Consulting den Übergang aus Prüferperspektive: Migrationscheck des bestehenden ISMS, Audit nach IT-Grundschutz bis 2031 und Qualifizierung Ihres Teams. Neue Vorgaben des BSI arbeiten wir laufend in Beratung und Trainings ein.

Nächster Termin: IT-Grundschutz-Praktiker mit BSI-Standard 300-1, 26.–28. Januar 2027, live online, mit Prüfung, 1.890 € netto. · Alle Schulungen · Erstgespräch vereinbaren

Häufige Fragen zu Grundschutz++

Was ist der BSI-Standard 300-1?

Der BSI-Standard 300-1 beschreibt die Methodik von Grundschutz++, der Weiterentwicklung des IT-Grundschutzes. Das BSI hat ihn am 26.10.2026 veröffentlicht. Er führt in fünf Schritten entlang des PDCA-Zyklus zu einem ISMS, das zur ISO/IEC 27001 kompatibel ist.

Was ändert sich gegenüber dem bisherigen IT-Grundschutz?

Grundschutz++ setzt am Geschäftsprozess an statt am einzelnen Zielobjekt. Der Schutzbedarf wird je Prozess als „normal“ oder „hoch“ festgelegt, Basis-, Kern- und Standard-Absicherung entfallen. Statt Bausteinen gibt es 39 Zielobjektkategorien und einen maschinenlesbaren Anwenderkatalog, der das IT-Grundschutz-Kompendium ablöst.

Ab wann kann nach Grundschutz++ zertifiziert werden?

Zertifizierungsanträge nach ISO 27001 auf Basis von Grundschutz++ sind laut Meilensteinplan des BSI ab dem 01.01.2027 möglich. Ein Prüf- und Zertifizierungsschema für Grundschutz++ hat das BSI bis Ende Oktober 2026 noch nicht veröffentlicht.

Wie lange gilt der klassische IT-Grundschutz noch?

Der klassische IT-Grundschutz bleibt bis zum 30.11.2031 zertifizierbar. Bestehende Zertifikate müssen nicht sofort umgestellt werden; sinnvoll ist, den Wechsel in einen Re-Zertifizierungszyklus einzuplanen.

Muss man bei Grundschutz++ noch eine Risikoanalyse machen?

Bei normalem Schutzbedarf nicht: Das BSI hat die Risikobetrachtung im Anwenderkatalog vorweggenommen. Bei hohem Schutzbedarf, bei nicht abgedeckten Assets und bei dauerhaft nicht erfüllten SOLLTE-Anforderungen ist sie Pflicht. Die Methode ist frei wählbar, muss aber 35 Mindestkriterien des Standards erfüllen.

Lohnt sich eine IT-Grundschutz-Schulung noch?

Ja. Der klassische IT-Grundschutz bleibt bis 2031 zertifizierbar, und Grundbegriffe wie Schutzbedarf, Anforderungen und Risikobetrachtung tragen auch in Grundschutz++. Die Praktiker-Schulung von ATM Consulting am 26.–28.01.2027 enthält einen eigenen Block zum BSI-Standard 300-1.

Wann gibt es Schulungen zum GS++-Praktiker und GS++-Berater?

Das BSI hat angekündigt, die Schulungskonzepte für GS++-Praktiker und GS++-Berater bis zum 30.11.2026 zu veröffentlichen. ATM Consulting arbeitet sie in seine Kurse ein, beginnend mit dem Praktiker-Termin am 26.–28.01.2027.

Ist Grundschutz++ für NIS-2-Einrichtungen Pflicht?

Nein. § 30 BSIG verlangt von wichtigen und besonders wichtigen Einrichtungen Maßnahmen nach dem Stand der Technik, schreibt aber keinen bestimmten Standard vor. Grundschutz++ ist ein Weg, diesen Stand der Technik nachvollziehbar umzusetzen und nachzuweisen.

Quellen: BSI-Meldung vom 26.10.2026 · BSI-Standard 300-1 · Grundschutz++ mit Meilensteinplan. Stand: 10/2026, Autor: Erik Gremeyer.