Grundschutz++ Umsetzungszeitplan: Was sich ändert und wann

Am 1. Januar 2026 hat das BSI Grundschutz++ offiziell eingeführt — eine strukturelle Neuausrichtung des IT-Grundschutz-Rahmenwerks. Die Reform ersetzt das dokumentenzentrierte Kompendium durch einen maschinenlesbaren Katalog auf Basis von OSCAL — der Open Security Controls Assessment Language, die vom NIST gepflegt wird. Für jede Organisation, die ein ISMS auf Basis von IT-Grundschutz betreibt, ist die Umstellung keine Option. Es ist eine Frage des Zeitpunkts.

Dieser Artikel legt die bestätigten Meilensteine dar, erklärt die strukturellen Änderungen und skizziert die Entscheidungen, die ISMS-Teams jetzt treffen sollten.

Der bisherige Zeitplan

Oktober 2024 — Öffentliche Vorstellung auf der it-sa

BSI-Präsidentin Claudia Plattner stellte Grundschutz++ auf der it-sa Expo&Congress in Nürnberg vor und bezeichnete es als fundamentalen Paradigmenwechsel hin zu einem vollständig digitalisierten Regelwerk. Der Starttermin 1. Januar 2026 wurde auf dieser Veranstaltung bestätigt.

August 2025 — Öffentliche Kommentierungsphase

Das BSI führte eine 30-tägige öffentliche Kommentierungsphase unter dem Motto „30 Tage, 1 Kompendium, 200 Meinungen" durch und lud Fachleute ein, Feedback zum Entwurf des Grundschutz++-Katalogs zu geben.

29. September 2025 — Stand-der-Technik-Bibliothek auf GitHub

Das BSI veröffentlichte die Grundschutz++-Kompendium-Vorschau auf GitHub unter BSI-Bund/Stand-der-Technik-Bibliothek im OSCAL-Format (JSON und XML). Damit wurde erstmals die maßgebliche IT-Grundschutz-Quelle als versionskontrolliertes Daten-Repository bereitgestellt — nicht mehr als PDF oder Word-Dokument.

1. Januar 2026 — Offizielle Einführung

Grundschutz++ ging live. Die ersten Artefakte wurden veröffentlicht und das Rahmenwerk wurde ein konkreter, publizierter Standard.

1. April 2026 — Methodikleitfaden und Pilotierungsphase

Der Leitfaden zur Grundschutz++-Methodik (Version 1.4.2026) wurde veröffentlicht und die formale Pilotierungsphase begann. Der Leitfaden ersetzt die BSI-Standards 200-2 und 200-3 als methodisches Rückgrat eines Grundschutz-basierten ISMS. Das BSI hat diesen Leitfaden ausdrücklich für Pilot- und Testprojekte ausgelegt, nicht für die sofortige Migration bestehender Zertifizierungen.

Was als Nächstes kommt

Datum	Meilenstein
30. September 2026	Pilotierungsphase endet
27. Oktober 2026	Öffentliche Präsentation auf der it-sa 2026, Nürnberg
31. Oktober 2026	Neues Schulungscurriculum veröffentlicht
1. November 2026	Weiterführende Zertifizierungen für bereits zertifizierte Fachkräfte
1. Januar 2027	ISO-27001-Zertifizierung unter Grundschutz++ verfügbar
Q1 2027	Performance-Measurement-Konzepte integriert
2027+	Internationalisierung; Integration weiterer Managementsysteme

Quelle: Offizieller BSI-Meilensteinplan, veröffentlicht am 26. März 2026.

Was sich strukturell ändert

Grundschutz++ ist keine Überarbeitung des alten Kompendiums. Es ist eine andere Architektur.

Von Bausteinen zu Praktiken

Die rund 111 Bausteine des Kompendiums 2023 werden in 19 Praktiken über 53 Zielobjektkategorien konsolidiert. Jede Praktik bündelt verwandte Kontrollen auf einem höheren Abstraktionsniveau. Die Gesamtzahl der einzelnen Anforderungen sinkt von etwa 6.567 auf rund 985 — eine Reduktion um 85 %.

Quantifiziertes Schutzniveau statt drei Stufen

Das alte Modell definierte drei Qualifizierungsstufen: Basis, Standard und Erhöht. Grundschutz++ ersetzt dies durch ein quantifiziertes Bewertungssystem, bei dem Anforderungen numerische Punkte über Vertraulichkeit, Integrität und Verfügbarkeit beitragen. Organisationen erreichen Compliance durch definierte Schwellenwerte.

OSCAL als natives Format

Der gesamte Katalog wird in OSCAL Version 1.1.3 über das GitHub-Repository des BSI veröffentlicht. Drei Katalogdateien wurden bereitgestellt: ein Methodikkatalog, ein Kernkatalog und ein kombinierter Anwenderkatalog. Das Format unterstützt JSON- und XML-Serialisierung, wobei JSON das primäre Format für webbasierte Werkzeuge ist.

Blaupausen ersetzen Profile

Die bisherigen IT-Grundschutz-Profile — vorkonfigurierte Vorlagen für Archetypen wie E-Akte, 5G oder kommunale Versorger — werden zu Blaupausen. Anders als Profile sind Blaupausen maschinenlesbare Konfigurationen, die Werkzeuge automatisch auf Zielobjekte anwenden können.

Eingebaute Querverweise

Grundschutz++ enthält native Zuordnungen zu ISO 27001:2022 und NIS2. Diese sind im OSCAL-Datenmodell mit universellen eindeutigen Identifikatoren verankert, sodass eine Umsetzung — zum Beispiel Multi-Faktor-Authentifizierung — gleichzeitig Anforderungen von Grundschutz++, ISO 27001, NIS2, TISAX und DORA erfüllen kann.

Kontinuierliche Aktualisierungen

Das alte Kompendium folgte einem jährlichen Veröffentlichungszyklus. Grundschutz++ wird kontinuierlich über das GitHub-Repository versioniert, sodass das BSI Aktualisierungen als Reaktion auf neue Bedrohungen veröffentlichen kann, ohne auf eine Jahresausgabe zu warten.

Das Übergangsfenster

Das BSI hat eine mehrjährige parallele Gültigkeitsperiode definiert. Das Kompendium 2023 und Grundschutz++ werden beide bis zum Ende der Übergangsphase zur Zertifizierung akzeptiert. Aktuelle Hinweise deuten auf Ende 2028 oder Anfang 2029 als Übergangsfrist. Ein harter Stichtag für Zertifizierungen nach dem alten Standard ist auf 2031 festgelegt — danach werden keine Informationsverbünde mehr nach IT-Grundschutz Edition 2023 zertifiziert.

Das Kompendium 2023 erhält während der Übergangsphase keine inhaltlichen Aktualisierungen mehr. Es bleibt für Zertifizierungszwecke gültig, ist aber faktisch eingefroren.

Toolhersteller-Bereitschaft

ISMS-Toolhersteller befinden sich in unterschiedlichen Stadien der Grundschutz++-Einführung:

• verinice: Grundschutz++-Beta für 2027 angestrebt, Produktion 2028
• Hugo (fraghugo.de): Vollständige Konformität für Q3 2027 angestrebt
• opus i: Grundschutz++-Unterstützung für 2028 geplant

Toolhersteller schätzen, dass Migrationsassistenten etwa 60–70 % der Anforderungszuordnung automatisch bewältigen können. Die verbleibenden 30–40 % erfordern manuelle Neubewertung — ein erheblicher Aufwand, der wächst, je später man beginnt.

Was jetzt zu entscheiden ist

1. Werkzeuge evaluieren

ISMS-Tools, die auf dem PDF-plus-Tabellen-Paradigma des Kompendiums 2023 basieren, müssen OSCAL-Import, ein Praktiken-Modell und maschinenlesbare Nachweisverknüpfungen nachrüsten. Je länger Ihr aktuelles Tool dafür braucht, desto mehr Handarbeit kostet die Umstellung.

2. Bausteine auf Praktiken abbilden

Die Konsolidierung von 111 Bausteinen zu 19 Praktiken verändert, wie Anforderungen gruppiert und referenziert werden. Bestehende Sicherheitskonzepte müssen neu zugeordnet werden. Diese Zuordnung jetzt zu beginnen, solange die Parallelphase beide Rahmenwerke erlaubt, vermeidet eine komprimierte Migration später.

3. ISO-27001-Abgleich prüfen

Wenn Ihre Organisation auch gegen ISO 27001 zertifiziert, vereinfachen die eingebauten Querverweise in Grundschutz++ die duale Compliance — aber nur, wenn Ihr Datenmodell beide Rahmenwerke strukturell abbilden kann. Dokumentenbasierte Prozesse müssen umgebaut werden.

Wie OrbisGraph den Übergang handhabt

OrbisGraph ist als Wissensgraph gebaut, nicht als Dokumentenablage. Dieselbe graphnative Architektur, die das Kompendium 2023 heute modelliert, bildet direkt auf die OSCAL-basierte Grundschutz++-Struktur ab. Sicherheitskonzepte, die heute in OrbisGraph geschrieben werden, lassen sich beim Wechsel auf das neue Format übertragen — Migration, kein Neustart.

Die eingebauten ISO-27001- und NIS2-Querverweise in Grundschutz++ passen zu der Art, wie OrbisGraph Beziehungen zwischen Rahmenwerken bereits abbildet. Für Organisationen, die OrbisGraph nutzen, ist der Übergang zu Grundschutz++ eine Serialisierungsaufgabe, keine Neuentwicklung.

---

Dieser Artikel basiert auf öffentlich zugänglichen BSI-Publikationen, Stand Juli 2026. Pinnipedia Technologies wird diesen Zeitplan aktualisieren, sobald das BSI weitere Grundschutz++-Meilensteine veröffentlicht.