Grundschutz++ Umsetzungszeitplan: Was sich ändert und wann
Das BSI ersetzt das IT-Grundschutz-Kompendium durch ein maschinenlesbares, OSCAL-basiertes Rahmenwerk. Hier ist der Zeitplan, den jedes ISMS-Team kennen sollte.
Pinnipedia TechnologiesAm 1. Januar 2026 hat das BSI Grundschutz++ offiziell eingeführt — eine strukturelle Neuausrichtung des IT-Grundschutz-Rahmenwerks. Die Reform ersetzt das dokumentenzentrierte Kompendium durch einen maschinenlesbaren Katalog auf Basis von OSCAL — der Open Security Controls Assessment Language, die vom NIST gepflegt wird. Für jede Organisation, die ein ISMS auf Basis von IT-Grundschutz betreibt, ist die Umstellung keine Option. Es ist eine Frage des Zeitpunkts.
Dieser Artikel legt die bestätigten Meilensteine dar, erklärt die strukturellen Änderungen und skizziert die Entscheidungen, die ISMS-Teams jetzt treffen sollten.
Der bisherige Zeitplan
- Oktober 2024
Öffentliche Vorstellung auf der it-sa
BSI-Präsidentin Claudia Plattner stellte Grundschutz++ auf der it-sa Expo&Congress in Nürnberg vor und bezeichnete es als fundamentalen Paradigmenwechsel hin zu einem vollständig digitalisierten Regelwerk. Der Starttermin 1. Januar 2026 wurde auf dieser Veranstaltung bestätigt.
- August 2025
Öffentliche Kommentierungsphase
Das BSI führte eine 30-tägige öffentliche Kommentierungsphase unter dem Motto „30 Tage, 1 Kompendium, 200 Meinungen" durch und lud Fachleute ein, Feedback zum Entwurf des Grundschutz++-Katalogs zu geben.
- 29. September 2025
Stand-der-Technik-Bibliothek auf GitHub
Das BSI veröffentlichte die Grundschutz++-Kompendium-Vorschau auf GitHub unter
BSI-Bund/Stand-der-Technik-Bibliothekim OSCAL-Format (JSON und XML). Damit wurde erstmals die maßgebliche IT-Grundschutz-Quelle als versionskontrolliertes Daten-Repository bereitgestellt — nicht mehr als PDF oder Word-Dokument. - 1. Januar 2026
Offizielle Einführung
Grundschutz++ ging live. Die ersten Artefakte wurden veröffentlicht und das Rahmenwerk wurde ein konkreter, publizierter Standard.
- 1. April 2026
Pilotfassung der Methodik
Das BSI gab eine Pilotfassung der Grundschutz++-Methodik an Partner aus Verwaltung und Wirtschaft, die sie bis 31. August 2026 erprobten. Die Erkenntnisse fließen in die Fassung ein, die das BSI am 27. Oktober 2026 veröffentlicht. Die Methodik soll die BSI-Standards 200-2 und 200-3 als methodisches Rückgrat eines Grundschutz-basierten ISMS ablösen.
Was als Nächstes kommt
- 31. August 2026Pilotphase endet
- 27. Oktober 2026Veröffentlichung der Methodik auf der it-sa 2026, Nürnberg
- 30. November 2026Schulungskonzepte für GS++-Praktiker und GS++-Berater
- Dezember 2026Anwendungsbeispiel des BSI mit der fiktiven Behörde „BDIT“
- 1. Januar 2027Grundschutz++ zertifizierbar (ISO 27001 auf Basis von Grundschutz++)
- Q1 2027Beginn der Early-Adopter-Phase; Schulungen für GS++-Berater und GS++-Auditteamleiter
- 26. Februar 2027Konzept zur Leistungsmessung
- 31. März 2027Kennzahlen für jede Anforderung der ISMS-Praktiken
- 31. Dezember 2027Ende der Early-Adopter-Phase
- 30. November 2031Ende der Zertifizierbarkeit des bisherigen IT-Grundschutzes
Quelle: Meilensteinplan des BSI, Stand Oktober 2026. Tabelle aktualisiert am 21. Oktober 2026.
Was sich strukturell ändert
Grundschutz++ ist keine Überarbeitung des alten Kompendiums. Es ist eine andere Architektur.
Von Bausteinen zu Praktiken
Die rund 111 Bausteine des Kompendiums 2023 werden in 19 Praktiken über 53 Zielobjektkategorien konsolidiert. Jede Praktik bündelt verwandte Kontrollen auf einem höheren Abstraktionsniveau. Die Gesamtzahl der einzelnen Anforderungen sinkt von etwa 6.567 auf rund 985 — eine Reduktion um 85 %.
Quantifiziertes Schutzniveau statt drei Stufen
Das alte Modell definierte drei Qualifizierungsstufen: Basis, Standard und Erhöht. Grundschutz++ ersetzt dies durch ein quantifiziertes Bewertungssystem, bei dem Anforderungen numerische Punkte über Vertraulichkeit, Integrität und Verfügbarkeit beitragen. Organisationen erreichen Compliance durch definierte Schwellenwerte.
OSCAL als natives Format
Der gesamte Katalog wird in OSCAL Version 1.1.3 über das GitHub-Repository des BSI veröffentlicht. Drei Katalogdateien wurden bereitgestellt: ein Methodikkatalog, ein Kernkatalog und ein kombinierter Anwenderkatalog. Das Format unterstützt JSON- und XML-Serialisierung, wobei JSON das primäre Format für webbasierte Werkzeuge ist.
Blaupausen ersetzen Profile
Die bisherigen IT-Grundschutz-Profile — vorkonfigurierte Vorlagen für Archetypen wie E-Akte, 5G oder kommunale Versorger — werden zu Blaupausen. Anders als Profile sind Blaupausen maschinenlesbare Konfigurationen, die Werkzeuge automatisch auf Zielobjekte anwenden können.
Eingebaute Querverweise
Grundschutz++ enthält native Zuordnungen zu ISO 27001:2022 und NIS2. Diese sind im OSCAL-Datenmodell mit universellen eindeutigen Identifikatoren verankert, sodass eine Umsetzung — zum Beispiel Multi-Faktor-Authentifizierung — gleichzeitig Anforderungen von Grundschutz++, ISO 27001, NIS2, TISAX und DORA erfüllen kann.
Kontinuierliche Aktualisierungen
Das alte Kompendium folgte einem jährlichen Veröffentlichungszyklus. Grundschutz++ wird kontinuierlich über das GitHub-Repository versioniert, sodass das BSI Aktualisierungen als Reaktion auf neue Bedrohungen veröffentlichen kann, ohne auf eine Jahresausgabe zu warten.
Das Übergangsfenster
Das BSI hat eine mehrjährige Übergangsphase festgelegt. Ab 1. Januar 2027 ist Grundschutz++ zertifizierbar. Zertifizierungen nach dem bisherigen IT-Grundschutz-Kompendium (Edition 2023) sind bis 30. November 2031 möglich; danach wird nur noch nach Grundschutz++ zertifiziert.
Das Kompendium 2023 erhält während der Übergangsphase keine inhaltlichen Aktualisierungen mehr. Es bleibt für Zertifizierungszwecke gültig, ist aber faktisch eingefroren.
Was jetzt zu entscheiden ist
- Werkzeuge evaluieren
ISMS-Tools, die auf dem PDF-plus-Tabellen-Paradigma des Kompendiums 2023 basieren, müssen OSCAL-Import, ein Praktiken-Modell und maschinenlesbare Nachweisverknüpfungen nachrüsten. Je länger Ihr aktuelles Tool dafür braucht, desto mehr Handarbeit kostet die Umstellung.
- Bausteine auf Praktiken abbilden
Die Konsolidierung von 111 Bausteinen zu 19 Praktiken verändert, wie Anforderungen gruppiert und referenziert werden. Bestehende Sicherheitskonzepte müssen neu zugeordnet werden. Diese Zuordnung jetzt zu beginnen, solange die Parallelphase beide Rahmenwerke erlaubt, vermeidet eine komprimierte Migration später.
- ISO-27001-Abgleich prüfen
Wenn Ihre Organisation auch gegen ISO 27001 zertifiziert, vereinfachen die eingebauten Querverweise in Grundschutz++ die duale Compliance — aber nur, wenn Ihr Datenmodell beide Rahmenwerke strukturell abbilden kann. Dokumentenbasierte Prozesse müssen umgebaut werden.
Wie OrbisGraph den Übergang handhabt
OrbisGraph ist als Wissensgraph gebaut, nicht als Dokumentenablage. Dieselbe graphnative Architektur, die das Kompendium 2023 heute modelliert, bildet direkt auf die OSCAL-basierte Grundschutz++-Struktur ab. Sicherheitskonzepte, die heute in OrbisGraph geschrieben werden, lassen sich beim Wechsel auf das neue Format übertragen — Migration, kein Neustart.
Die eingebauten ISO-27001- und NIS2-Querverweise in Grundschutz++ passen zu der Art, wie OrbisGraph Beziehungen zwischen Rahmenwerken bereits abbildet. Für Organisationen, die OrbisGraph nutzen, ist der Übergang zu Grundschutz++ eine Serialisierungsaufgabe, keine Neuentwicklung.