Grundschutz++: Was das BSI ändert und was es für kleine Betriebe heißt
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Methodik zu Grundschutz++ als neuen Standard veröffentlicht, wie die BSI-Pressemitteilung vom 26. Oktober 2026 meldet.
IT-Grundschutz heißt die bisherige Anleitung des BSI, mit der Organisationen Ordnung in ihre Informationssicherheit bringen, und Grundschutz++ ist die neue Fassung davon.
Kurz gesagt, unsere Einschätzung: Für einen kleinen Betrieb ist das vor allem ein Maßstab, an dem sich Dienstleister und Kunden orientieren. Was du selbst tun kannst, steht am Ende.
Wir wenden Grundschutz++ nicht für Kunden an und zertifizieren auch nicht danach.
Stand: 30. Oktober 2026.
Was das BSI veröffentlicht hat
Das BSI hat die Methodik zum Grundschutz++ am 26. Oktober 2026 als BSI-Standard 300-1 veröffentlicht. Eine Methodik ist eine Vorgehensanleitung, die beschreibt, in welchen Schritten eine Organisation ihre Informationssicherheit aufbaut und laufend verbessert.
Laut BSI ist der Standard eine Weiterentwicklung des IT-Grundschutzes. Er soll auch Institutionen mit gemischter IT oder komplexen Virtualisierungslösungen auf „aktuelle Bedrohungen“ vorbereiten. Virtualisierung heißt: Mehrere Systeme teilen sich dieselbe Hardware.
Für wen das gedacht ist, sagt das BSI auf seiner Seite zum Grundschutz in der Informationssicherheit: Grundschutz++ und IT-Grundschutz sind „Methode, Anleitung, Empfehlung und Hilfe zur Selbsthilfe für Behörden, Unternehmen und Institutionen“. Die erste Fassung des Standards, Version 1.0, richtet sich laut Standard „in erster Linie“ an erfahrene Institutionen, die Grundschutz++ früh einsetzen wollen. Man nennt sie Frühanwender.
Ganz neu ist die Reform nicht. BSI-Präsidentin Claudia Plattner hat sie schon im Oktober 2024 auf der Messe it-sa vorgestellt, nachzulesen in der BSI-Pressemitteilung zur it-sa 2024. Neu ist, dass die Methodik jetzt als Standard vorliegt.
Laut BSI hat die Grundschutz-Fachgemeinschaft erheblich zur Entwicklung beigetragen. Erprobt wurde die Methodik vorab in ausgewählten Pilotinstitutionen, also in einigen Organisationen. In der folgenden Phase mit Frühanwendern soll die Entwicklung weitergehen.
Was neu ist
Vier Dinge unterscheiden Grundschutz++ vom bisherigen Vorgehen.
Zuerst die wichtigsten Abläufe. Grundschutz++ ist prozessorientiert, also vom Ablauf im Betrieb her gedacht. Laut BSI sichert eine Institution zuerst ihre zentralen Geschäftsprozesse ab, nicht die gesamte IT gleichmäßig. Ein Geschäftsprozess ist zum Beispiel: Auftrag annehmen, Ware liefern, Rechnung schreiben.
Die Methode für Risiken wählt die Organisation selbst. Wie sie Risiken erkennt, bewertet und behandelt, also verringert oder bewusst in Kauf nimmt, darf sie frei wählen. Vorgegeben sind nur sogenannte Mindestkriterien: Regeln, die jede gewählte Methode erfüllen muss.
Alle Anforderungen sind maschinenlesbar. Programme können die Anforderungen einlesen und prüfen. Das BSI spricht von „atomaren Anforderungen“, also von kleinen, einzeln prüfbaren Einzelteilen, die sich automatisieren und messen lassen.
Zertifizierbar, mit Blick auf die ISO. Laut BSI ist ein Managementsystem für Informationssicherheit, das auf Grundschutz++ aufbaut, ab 2027 zertifizierbar. Ein Managementsystem ist die Summe der Regeln und Abläufe, mit denen eine Organisation ihre Sicherheit steuert. Zertifizierbar heißt: Eine unabhängige Stelle kann es prüfen und bestätigen. Außerdem ist es laut BSI kompatibel zur ISO/IEC 27001, der internationalen Norm für solche Systeme. Beides passt also zusammen.
Alt gegen neu
Ein deutlicher Unterschied liegt im Aufbau: Früher ein Kompendium, jetzt ein Katalog aus Daten.
Früher bestand das IT-Grundschutz-Kompendium, ein Sammelwerk mit allen Vorgaben, in der Ausgabe 2023 laut HiSolutions aus über hundert Bausteinen. Ein Baustein behandelt je ein Thema, etwa den Server oder das Netz, und liegt als PDF vor.
Jetzt sind die Anforderungen in „Praktiken“ geordnet. Das sind Themenfelder wie Notfallplanung oder Berechtigungen. Die Anforderungen liegen als strukturierte Daten vor, in der Stand-der-Technik-Bibliothek des BSI. Diese Bibliothek löst das Kompendium laut BSI ab.
Die Zahlen stammen von HiSolutions, die in der Fachzeitschrift kes die Änderungen analysiert haben. Danach sinkt die Zahl von über 6.500 Teilanforderungen auf rund 1.000 zusammengefasste Anforderungen. Das galt für die damalige Testfassung, also eine noch nicht endgültige Version. Als Ziel nennt die Analyse unter anderem weniger Aufwand und weniger Doppelungen.
Der Übergang dauert. Perspektivisch löst Grundschutz++ den IT-Grundschutz ab. Bis dahin bleibt der IT-Grundschutz laut BSI in der mehrjährigen Übergangszeit anwendbar. Nach dem Meilensteinplan des BSI können Zertifizierungsanträge auf Basis von Grundschutz++ ab 2027 gestellt werden, die Phase mit Frühanwendern läuft bis Ende 2027, und die Zertifizierbarkeit des klassischen IT-Grundschutzes endet 2031.
Und die KI?
Kurz: Die Pressemitteilung des BSI erwähnt künstliche Intelligenz (KI) nicht, der Standard selbst nennt sie genau einmal.
In der Pressemitteilung geht es um „aktuelle Bedrohungen“, ohne KI beim Namen zu nennen. Im Standard steht KI an einer einzigen Stelle: Bei der Analyse ihres Umfelds soll eine Institution technologische Entwicklungen berücksichtigen und dokumentieren, zum Beispiel den „Einsatz von KI-Technologien und daraus resultierende neue Bedrohungsszenarien“. Das ist ein Beispiel für einen Faktor, keine eigene KI-Anforderung.
Eigene KI-Anforderungen enthält die Methodik nicht. Wir haben den Standard vollständig gelesen und den Anforderungskatalog in der Stand-der-Technik-Bibliothek per Stichwortsuche durchsucht. Dort taucht KI nur in zehn erklärenden Hinweistexten einzelner Anforderungen auf, etwa bei gezielt eingeschleusten Befehlen in KI-Eingaben oder bei KI-gestützter Erkennung von auffälligem Verhalten. Eine eigene KI-Praktik oder eine Anforderung, die sich nur auf KI bezieht, haben wir nicht gefunden.
Wie der Standard allgemein mit neuen Bedrohungen umgeht, steht an anderen Stellen.
Erstens arbeitet er mit 47 „elementaren Gefährdungen“. Das sind grundlegende Ereignisse, die die Informationssicherheit beeinträchtigen können, etwa Feuer. Laut Standard sind diese Gefährdungen produkt- und technikneutral und bleiben „auch bei technologischem Wandel grundsätzlich anwendbar“.
Zweitens hat das BSI die Anforderungen aus diesen Gefährdungen hergeleitet. Für Bereiche mit normalem Schutzbedarf müssen Anwender deshalb laut Standard für einen Großteil des betrachteten Bereichs keine eigene Bedrohungs- und Schwachstellenanalyse durchführen. Eine eigene Risikobetrachtung wird nötig, wenn ein Geschäftsprozess hohen Schutzbedarf hat, ein wichtiger Wert durch die Anforderungen nicht abgedeckt ist oder eine Anforderung dauerhaft nicht erfüllt wird.
Drittens muss eine Institution im Schritt Überwachung ein Verfahren dafür haben, neu auftretende Bedrohungen zu erfassen und darauf zu reagieren. Der Standard schreibt also vor, dass sich jemand um neue Bedrohungen kümmert. Das Verfahren selbst beschreibt der Standard nur allgemein.
Unsere Überlegung: Das BSI schreibt, dass es den Grundschutz kontinuierlich fortentwickelt. Weil die Anforderungen klein und maschinenlesbar sind, lassen sich neue Bedrohungen schneller aufnehmen als in einem Dokument, das einmal im Jahr erscheint. Ob das gelingt, ist offen.
Unsere Sicht: KI kann Phishing und Betrug überzeugender machen. Die Grundlagen bleiben die Grundlage: Updates, Datensicherung, saubere Zugänge und Aufmerksamkeit im Team.
Was die Kritik sagt
Zwei Fachquellen nennen Herausforderungen. Beide stammen aus der Zeit vor dem fertigen Standard.
Die Fachzeitschrift heise iX schrieb in Ausgabe 6/2026, die neue Struktur „reduziert zwar Bürokratie, verlagert aber mangels Spezifizierung konkreter Maßnahmen die Last der technischen Definition der Anforderungen vollständig in die Verantwortung der Anwender“. Ohne finale Zertifizierungsschemata und Methodikleitfäden bleibe das Regelwerk „für CISOs vorerst eine komplexe Baustelle statt einer Hilfe“. CISOs sind die Sicherheitsverantwortlichen großer Organisationen.
HiSolutions sah in der kes mit Blick auf die Testfassung eine Herausforderung beim Übergang in der „veränderten Granularität“: Grundschutz++ fasse mehrere Details „zu übergeordneten Anforderungen zusammen“. Das BSI selbst sagt, Version 1.0 richte sich an Frühanwender und die Entwicklung gehe weiter.
Was das für deinen Betrieb heißt
Unsere Einschätzung: Ein kleiner Betrieb ohne IT-Abteilung arbeitet das Regelwerk selten allein durch. Für ihn ist es vor allem ein Maßstab, an dem sich Dienstleister und Kunden orientieren können. Du musst den Standard mit seinen 42 Seiten nicht selbst lesen, um die Basis in den Griff zu bekommen. Wir haben ihn gelesen.
Ob für dich Pflichten gelten, klärst du mit deiner Branche, deinen Kunden oder einer Rechtsberatung.
Vier Dinge kannst du in den nächsten Tagen selbst prüfen. Keines davon braucht den Standard.
Updates eingespielt? Schau nach, ob Betriebssystem, Browser und Programme auf dem neuesten Stand sind, vor allem auf den Geräten, mit denen du Geld bewegst oder Kundendaten öffnest.
Datensicherung vorhanden und einmal zurückgespielt? Eine Sicherung zählt erst, wenn du eine Datei daraus wirklich zurückgeholt hast.
Zugänge und Passwörter aufgeräumt? Wer hat noch Zugang, obwohl er ihn nicht mehr braucht? Ehemalige Mitarbeitende, alte Dienstleister, geteilte Konten: Raus damit.
Im Team kurz über verdächtige Nachrichten gesprochen? Fünf Minuten genügen für die Fragen, woran man eine komische Mail erkennt und wen man im Zweifel fragt.
Wenn du wissen willst, wo deine Basis steht (Updates, Sicherung, Zugänge, Team): Wir schauen gern mit dir auf diese vier Punkte. Bei einem Kaffee, vor Ort oder virtuell. Gern auch Tee.