Aktuelle Entwicklungen und Ausblick zum IT-Grundschutz++
Die deutsche IT-Sicherheitslandschaft steht vor einem historischen Wandel. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt mit IT-Grundschutz++ einen völlig neuen Ansatz für Cybersicherheit – weg von statischen Handbüchern, hin zu einem lebendigen, messbaren und automatisierbaren Sicherheitsframework.
Wichtigste Erkenntnisse
Messbare Revolution: IT-Grundschutz++ macht Cybersicherheit erstmals quantifizierbar durch CIA-Kennzahlen (Vertraulichkeit, Integrität, Verfügbarkeit) und ermöglicht eine objektive Bewertung statt rein subjektiver Checklisten.
Skalierbare Implementierung: Das 5-Stufen-System (von Basisschutz bis erhöhter Schutzbedarf) ermöglicht eine an Organisationsgröße und Schutzbedarf angepasste Umsetzung – vom Kleinunternehmen bis zur kritischen Infrastruktur.
Agile Community-Entwicklung: Paradigmenwechsel von jährlichen Editionen hin zu einer kontinuierlichen, GitHub-basierten Weiterentwicklung mit transparenter Community-Partizipation und „Continuous Compliance“.
Der Paradigmenwechsel: Von statisch zu dynamisch
Jahrzehntelang prägten jährliche IT-Grundschutz-Editionen die deutsche Sicherheitslandschaft. Doch die rasante Entwicklung von Cyberbedrohungen, Technologien und Regulierung macht diesen Ansatz zunehmend unzureichend.
IT-Grundschutz++ bricht mit diesem Muster und führt erstmals eine kontinuierliche Weiterentwicklung ein.
Die Vision:
Cybersicherheit wird messbar und automatisierbar.
Statt statischer Checklisten entstehen priorisierte, maschinenlesbare Regeln in laufenden PDCA-Zyklen.
Organisationen können ihre Sicherheitsstrategie datengesteuert optimieren.
Die drei Kernneuerungen von IT-Grundschutz++
1. Das innovative 5-Stufen-System
IT-Grundschutz++ führt ein fein abgestuftes System ein, das Sicherheitsanforderungen nach Organisationsgröße und Schutzbedarf strukturiert:
Stufe 1: Basisschutz für alle Organisationen gegen häufige Bedrohungen
Stufe 2: Erweiterte Anforderungen für Kleinunternehmen gegen typische Sicherheitsvorfälle
Stufe 3: Praxisnahe Sicherheitsmaßnahmen für kleine und mittlere Unternehmen (KMU)
Stufe 4: Umfassende Anforderungen für Bundesbehörden und große Unternehmen
Stufe 5: Kann-Anforderungen für Situationen mit erhöhtem Schutzbedarf
So entsteht ein skalierbarer Ansatz: Organisationen beginnen mit der passenden Grundstufe und erweitern ihren Schutz schrittweise.
2. Messbare Cybersicherheit durch Kennzahlen
Ein zentrales Merkmal von IT-Grundschutz++ ist die Quantifizierung von Sicherheit. Jede Anforderung erhält Punktwerte entlang der CIA-Triade:
Vertraulichkeit (Confidentiality)
Integrität (Integrity)
Verfügbarkeit (Availability)
Diese Kennzahlen zeigen objektiv, wie wirksam eine Maßnahme bei der Behandlung bestimmter Gefährdungen ist.
Schwellwerte pro Stufe definieren Zielwerte.
Der Erfüllungsgrad zeigt den tatsächlichen Sicherheitsstatus.
Erstmals können Organisationen ihren Cyber-Reifegrad wissenschaftlich fundiert messen, Fortschritte nachvollziehbar dokumentieren und Investitionen gezielt dort tätigen, wo sie den größten Sicherheitsgewinn bringen.
Mehr zum IT-Grundschutz++
Statt starrer Jahreseditionen ermöglicht das neue System eine kontinuierliche, datengesteuerte Sicherheitsstrategie. Organisationen können:
ihren Schutzgrad objektiv bewerten,
Fortschritte quantifizieren
und Ressourcen dort einsetzen, wo der größte Sicherheitsnutzen entsteht.
Das 5-Stufen-System sorgt gleichzeitig dafür, dass dieser Ansatz vom Kleinunternehmen bis zur kritischen Infrastruktur skalierbar bleibt.
3. Community-getriebene Entwicklung auf GitHub
IT-Grundschutz++ verabschiedet sich von isolierter Standardentwicklung. Das BSI setzt auf transparente, community-basierte Weiterentwicklung über GitHub:
Offene Datenformate: Bereitstellung in JSON und XLSX zur flexiblen Integration in Tools und ISMS-Lösungen
Agile Updates: Kontinuierliche Verbesserungen statt seltener Großreleases
Partizipation: Issues, Pull Requests und Discussions ermöglichen aktive Mitgestaltung durch Fachcommunity und Toolhersteller
Versionierung: Branches und Releases sorgen für Stabilität bei gleichzeitiger Dynamik
Diese Transparenz macht IT-Grundschutz++ zu einem der ersten wirklich agilen Sicherheitsstandards in Deutschland.
Automatisierung in der Praxis: Das Ende manueller Compliance
IT-Grundschutz++ denkt ISMS-Automatisierung in drei aufeinander aufbauenden Phasen:
Erfassung
Automatische Inventarisierung von Systemen, Daten, Diensten und Lieferanten
Integration
Einbettung in CI/CD-Pipelines durch „Smart Standards“ und „Smart Contracts“
enge Verzahnung von Entwicklung, Betrieb und Compliance
Aufrechterhaltung
Kontinuierliches Compliance-Monitoring
automatische Sperrungen, Warnungen und Eskalationen bei Abweichungen
Intelligente Metadaten ermöglichen eine präzise Filterung nach Praktiken, Zielobjekten und Handlungswörtern. Organisationen sehen exakt die Anforderungen, die für ihre aktuelle Situation relevant sind – personaliserte Cybersicherheit wird Realität.
Der Paradigmenwechsel von punktuellen Audits hin zu Continuous Compliance verändert ISMS-Management grundlegend.
Aktueller Entwicklungsstand: Wo steht IT-Grundschutz++ heute?
Die Transformation von der statischen Edition 2023 hin zu IT-Grundschutz++ schreitet deutlich voran:
Die letzte klassische Edition umfasste ca. 1.800 Objekte.
Das neue digitale Kompendium wächst bereits auf über 7.500 strukturierte Elemente an.
Am 25. Februar 2025 lud das BSI zum digitalen Beteiligungsworkshop „Digitales Kompendium“ ein. In diesem zweistündigen Online-Format konnten Fachexpert:innen:
das IT-Grundschutz++-Konzept kennenlernen,
Formate für Unterstützung und Pilotierung entwickeln
und Commitment für eine aktive Mitwirkung in der Pilotphase geben.
Weitere Sessions dieser Art sind geplant.
Wenn Sie Fragen zu BSI IT-Grundschutz oder IT-Grundschutz++ haben, unterstützen wir Sie gerne – schreiben Sie uns einfach eine E-Mail.
fuentis Team
Team
Das fuentis Team vereint Spezialisten für Informationssicherheit, Datenschutz und Risikomanagement — und unterstützt Organisationen mit verlässlichen, auditfähigen Lösungen.