Was ist passiert?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nach über zwei Jahren Entwicklungsarbeit an der neuen Version des IT-Grundschutzes konkrete Termine für die weitere Umsetzung bekanntgegeben. Am 1. November beginnt die Fortbildung für bereits zertifizierte Berater und Auditteamleiter auf den neuen Standard, der unter dem Namen Grundschutz++ firmiert und auf ISO 27001 basiert. Organisationen, die eine Zertifizierung nach dem neuen Standard anstreben, können sich den 1. Januar 2027 als offiziellen Stichtag vormerken – ab diesem Datum ist die Zertifizierbarkeit nach Grundschutz++ gegeben.
Die Details
Die Ankündigung des BSI beantwortet mehrere Fragen, die aus der Praxis seit Längerem gestellt wurden. Bislang war unklar, ab wann eine Zertifizierung nach dem neuen Standard überhaupt möglich sein würde und wie es mit den bestehenden Personenzertifizierungen weitergeht. Mit dem jetzt veröffentlichten Zeitplan schafft die Behörde hier Klarheit.
Eine für viele Anwender wichtige Nachricht betrifft die Checklisten für den „WiBA – Weg in die Basis-Absicherung“. Diese bleiben laut BSI auch in der neuen Version fester Bestandteil des Grundschutzes. Damit erhalten vor allem kleinere Organisationen weiterhin einen vergleichsweise unbürokratischen und einfachen Einstieg in die IT-Sicherheit, ohne auf ein aufwendigeres Regelwerk umsteigen zu müssen.
Auch die Mindeststandards für „ausgewählte Anwendungsbereiche“ bleiben bestehen. Diese richten sich maßgeblich an Einrichtungen des Bundes gemäß BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) und sollen dort ein einheitliches Sicherheitsniveau gewährleisten.
Offen bleibt hingegen, wie diese Mindeststandards künftig für Unternehmen greifen sollen, die unter die NIS-2-Richtlinie fallen. Eine genaue Prüfgrundlage für diesen Bereich hat das BSI bislang nicht kommuniziert. Auch der Leitfaden zur Methodik bleibt ein Kritikpunkt: Die verlinkte Version ist seit März dieses Jahres unverändert und weist nach wie vor deutliche Lücken auf.
Einordnung
Für Organisationen, die sich mit IT-Sicherheit und Zertifizierungen beschäftigen, sind diese Ankündigungen von erheblicher praktischer Bedeutung. Der IT-Grundschutz des BSI ist seit Jahren eine zentrale Referenz für den Aufbau von Informationssicherheits-Managementsystemen in Deutschland – insbesondere auch im Bereich kritischer Infrastrukturen und öffentlicher Einrichtungen, wo Sicherheitstechnik wie Zutrittskontrolle, Videoüberwachung und physische Schutzmaßnahmen eng mit organisatorischen IT-Sicherheitsvorgaben verzahnt sind.
Die Umstellung auf ISO 27001 als Basis von Grundschutz++ signalisiert eine stärkere internationale Ausrichtung und Kompatibilität mit weltweit anerkannten Normen. Gleichzeitig bleibt mit dem Fortbestand der WiBA-Checklisten der niedrigschwellige Einstieg erhalten, was besonders für kleinere Betriebe und Organisationen mit begrenzten Ressourcen relevant ist.
Die ungeklärte Frage rund um NIS-2 wiegt hingegen schwer: Zahlreiche Unternehmen, die künftig unter diese EU-Richtlinie fallen, benötigen Klarheit darüber, welche Prüfgrundlagen für sie gelten werden. Solange das BSI hierzu keine konkreten Aussagen trifft, bleibt für betroffene Organisationen ein erhebliches Maß an Planungsunsicherheit bestehen.
Praxis-Tipps
- Organisationen, die bereits nach IT-Grundschutz zertifiziert sind, sollten den Fortbildungsstart am 1. November im Blick behalten, um Berater und Auditteamleiter frühzeitig zu qualifizieren.
- Wer eine Neuzertifizierung plant, sollte den Stichtag 1. Januar 2027 als verbindlichen Orientierungspunkt in die eigene Planung aufnehmen.
- Kleinere Organisationen können weiterhin auf die WiBA-Checklisten setzen, um einen strukturierten Einstieg in die Basis-Absicherung zu finden, ohne den vollen Umfang des Grundschutzes umsetzen zu müssen.
- Unternehmen, die unter die NIS-2-Richtlinie fallen, sollten die weitere Kommunikation des BSI zu den Mindeststandards aufmerksam verfolgen, da hier noch keine abschließende Prüfgrundlage feststeht.
- Da der Leitfaden zur Methodik derzeit lückenhaft ist, empfiehlt sich für Einsteiger in die Materie eine gewisse Geduld beziehungsweise die Rücksprache mit erfahrenen Beratern, bis die Dokumentation aktualisiert wird.
Ausblick
Mit den nun bekanntgegebenen Terminen hat das BSI einen wichtigen Schritt zur Verbindlichkeit des neuen Grundschutzstandards gemacht. Bis zum offiziellen Start der Zertifizierbarkeit am 1. Januar 2027 bleibt jedoch noch einiges an Arbeit zu erledigen – insbesondere die Aktualisierung des Methodik-Leitfadens und die Klärung der Prüfgrundlagen für NIS-2-betroffene Unternehmen. Organisationen und Berater, die sich frühzeitig mit Grundschutz++ auseinandersetzen, verschaffen sich einen Vorsprung, sollten aber die weiteren Veröffentlichungen des BSI im Auge behalten, da zentrale Fragen noch nicht abschließend geklärt sind.
