IT-Grundschutz++ 2025: Der revolutionäre Weg zu messbarer Cybersicherheit

Aktuelle Entwicklungen und Ausblick zum IT-Grundschutz++

Die deutsche IT-Sicherheitslandschaft steht vor einem historischen Wandel. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt mit IT-Grundschutz++ einen völlig neuen Ansatz für Cybersicherheit – weg von statischen Handbüchern, hin zu einem lebendigen, messbaren und automatisierbaren Sicherheitsframework.

Wichtigste Erkenntnisse

• Messbare Revolution: IT-Grundschutz++ macht Cybersicherheit erstmals quantifizierbar durch CIA-Kennzahlen (Vertraulichkeit, Integrität, Verfügbarkeit) und ermöglicht eine objektive Bewertung statt rein subjektiver Checklisten.
• Skalierbare Implementierung: Das 5-Stufen-System (von Basisschutz bis erhöhter Schutzbedarf) ermöglicht eine an Organisationsgröße und Schutzbedarf angepasste Umsetzung – vom Kleinunternehmen bis zur kritischen Infrastruktur.
• Agile Community-Entwicklung: Paradigmenwechsel von jährlichen Editionen hin zu einer kontinuierlichen, GitHub-basierten Weiterentwicklung mit transparenter Community-Partizipation und „Continuous Compliance“.

Der Paradigmenwechsel: Von statisch zu dynamisch

Jahrzehntelang prägten jährliche IT-Grundschutz-Editionen die deutsche Sicherheitslandschaft. Doch die rasante Entwicklung von Cyberbedrohungen, Technologien und Regulierung macht diesen Ansatz zunehmend unzureichend.

IT-Grundschutz++ bricht mit diesem Muster und führt erstmals eine kontinuierliche Weiterentwicklung ein.

Die Vision:

• Cybersicherheit wird messbar und automatisierbar.
• Statt statischer Checklisten entstehen priorisierte, maschinenlesbare Regeln in laufenden PDCA-Zyklen.
• Organisationen können ihre Sicherheitsstrategie datengesteuert optimieren.

Die drei Kernneuerungen von IT-Grundschutz++

1. Das innovative 5-Stufen-System

IT-Grundschutz++ führt ein fein abgestuftes System ein, das Sicherheitsanforderungen nach Organisationsgröße und Schutzbedarf strukturiert:

• Stufe 1: Basisschutz für alle Organisationen gegen häufige Bedrohungen
• Stufe 2: Erweiterte Anforderungen für Kleinunternehmen gegen typische Sicherheitsvorfälle
• Stufe 3: Praxisnahe Sicherheitsmaßnahmen für kleine und mittlere Unternehmen (KMU)
• Stufe 4: Umfassende Anforderungen für Bundesbehörden und große Unternehmen
• Stufe 5: Kann-Anforderungen für Situationen mit erhöhtem Schutzbedarf

So entsteht ein skalierbarer Ansatz: Organisationen beginnen mit der passenden Grundstufe und erweitern ihren Schutz schrittweise.

2. Messbare Cybersicherheit durch Kennzahlen

Ein zentrales Merkmal von IT-Grundschutz++ ist die Quantifizierung von Sicherheit. Jede Anforderung erhält Punktwerte entlang der CIA-Triade:

• Vertraulichkeit (Confidentiality)
• Integrität (Integrity)
• Verfügbarkeit (Availability)

Diese Kennzahlen zeigen objektiv, wie wirksam eine Maßnahme bei der Behandlung bestimmter Gefährdungen ist.

• Schwellwerte pro Stufe definieren Zielwerte.
• Der Erfüllungsgrad zeigt den tatsächlichen Sicherheitsstatus.

Erstmals können Organisationen ihren Cyber-Reifegrad wissenschaftlich fundiert messen, Fortschritte nachvollziehbar dokumentieren und Investitionen gezielt dort tätigen, wo sie den größten Sicherheitsgewinn bringen.

Mehr zum IT-Grundschutz++

Statt starrer Jahreseditionen ermöglicht das neue System eine kontinuierliche, datengesteuerte Sicherheitsstrategie. Organisationen können:

• ihren Schutzgrad objektiv bewerten,
• Fortschritte quantifizieren
• und Ressourcen dort einsetzen, wo der größte Sicherheitsnutzen entsteht.

Das 5-Stufen-System sorgt gleichzeitig dafür, dass dieser Ansatz vom Kleinunternehmen bis zur kritischen Infrastruktur skalierbar bleibt.

3. Community-getriebene Entwicklung auf GitHub

IT-Grundschutz++ verabschiedet sich von isolierter Standardentwicklung. Das BSI setzt auf transparente, community-basierte Weiterentwicklung über GitHub:

• Offene Datenformate: Bereitstellung in JSON und XLSX zur flexiblen Integration in Tools und ISMS-Lösungen
• Agile Updates: Kontinuierliche Verbesserungen statt seltener Großreleases
• Partizipation: Issues, Pull Requests und Discussions ermöglichen aktive Mitgestaltung durch Fachcommunity und Toolhersteller
• Versionierung: Branches und Releases sorgen für Stabilität bei gleichzeitiger Dynamik

Diese Transparenz macht IT-Grundschutz++ zu einem der ersten wirklich agilen Sicherheitsstandards in Deutschland.

Automatisierung in der Praxis: Das Ende manueller Compliance

IT-Grundschutz++ denkt ISMS-Automatisierung in drei aufeinander aufbauenden Phasen:

1. Erfassung

   • Automatische Inventarisierung von Systemen, Daten, Diensten und Lieferanten

2. Integration

   • Einbettung in CI/CD-Pipelines durch „Smart Standards“ und „Smart Contracts“
   • enge Verzahnung von Entwicklung, Betrieb und Compliance

3. Aufrechterhaltung

   • Kontinuierliches Compliance-Monitoring
   • automatische Sperrungen, Warnungen und Eskalationen bei Abweichungen

Intelligente Metadaten ermöglichen eine präzise Filterung nach Praktiken, Zielobjekten und Handlungswörtern. Organisationen sehen exakt die Anforderungen, die für ihre aktuelle Situation relevant sind – personaliserte Cybersicherheit wird Realität.

Der Paradigmenwechsel von punktuellen Audits hin zu Continuous Compliance verändert ISMS-Management grundlegend.

Aktueller Entwicklungsstand: Wo steht IT-Grundschutz++ heute?

Die Transformation von der statischen Edition 2023 hin zu IT-Grundschutz++ schreitet deutlich voran:

• Die letzte klassische Edition umfasste ca. 1.800 Objekte.
• Das neue digitale Kompendium wächst bereits auf über 7.500 strukturierte Elemente an.

Am 25. Februar 2025 lud das BSI zum digitalen Beteiligungsworkshop „Digitales Kompendium“ ein. In diesem zweistündigen Online-Format konnten Fachexpert:innen:

• das IT-Grundschutz++-Konzept kennenlernen,
• Formate für Unterstützung und Pilotierung entwickeln
• und Commitment für eine aktive Mitwirkung in der Pilotphase geben.

Weitere Sessions dieser Art sind geplant.

Wenn Sie Fragen zu BSI IT-Grundschutz oder IT-Grundschutz++ haben, unterstützen wir Sie gerne – schreiben Sie uns einfach eine E-Mail.