BSI-Standard 300-1

Das Bundesamt für Sicherheit in der Informationstechnik () orientiert sich bei der Entwicklung des Grundschutz++ an den Bedürfnissen der Anwenderinnen und Anwender. Durch die flexible Methodik haben sie Gestaltungsspielraum bei der Umsetzung des Grundschutz++. Die Methodik beschreibt Mindestanforderungen, welche zur vollständigen Umsetzung des Grundschutz++ zu erfüllen sind.

Darüber hinaus können die Anwenderinnen und Anwender den Grundschutz++ über die Mindestanforderungen hinaus, entsprechend ihrer Bedürfnisse, in Abhängigkeit der Institutionsgröße und der Komplexität des Informationsverbundes, umsetzen. In der Methodik-Grundschutz ++ werden verschiedene Wege aufgezeigt, wie diese umgesetzt werden kann. Der Anwenderkatalog-Grundschutz++ ergänzt die Methodik. Er steht in der Stand der Technik Bibliothek zur Verfügung und beinhaltet technische sowie organisatorische Anforderungen. Die normativen Aspekte der Methodik wurden in Anforderungen überführt, welche ebenso Teil des Anwenderkatalogs-Grundschutz++ sind. Durch das maschinenlesbare Format der Anforderungen werden diese automatisierbar und Anwenderinnen und Anwender hierdurch zukünftig durch digitale Werkzeuge bei der Umsetzung des Grundschutz++ unterstützt. Sie helfen außerdem dabei, ein dem eigenen Schutzbedarf angemessenes Sicherheitsniveau zu erreichen.

Der Grundschutz++ ist vollständig prozessorientiert aufgebaut. Jede Anforderung an die Cybersicherheit wird als Regel in einem standardisierten Format erfasst. Die Regeln können durch Computerprogramme interpretiert und ausgewertet werden.

Methodik-Grundschutz++

Der Leitfaden - Methodik Grundschutz++ bildet einen zukunftsgerichteten Ordnungsrahmen für den systematischen Aufbau und die Weiterentwicklung eines Informationssicherheitsmanagementsystems. Sie beschreibt eine entlang des PDCA-Zyklus strukturierte Methodik, die strategische Verankerung, Anforderungsanalyse, Umsetzung, Überwachung und kontinuierliche Verbesserung zu einem konsistenten Sicherheitsprozess verbindet. Damit schafft das Dokument eine Grundlage, um Informationssicherheit institutionell wirksam, skalierbar und nachhaltig am Stand der Technik auszurichten.

Anwenderkatalog-Grundschutz++

Der Anwenderkatalog-Grundschutz++ ist mit seinen Sicherheitsanforderungen Teil der Stand der Technik-Bibliothek. Diese ist die technische Plattform, auf der alle Anforderungen und Maßnahmen zentral bereitgestellt werden und löst das -Grundschutz-Kompendium ab. Durch den Wechsel auf ein digitales Regelwerk im maschinenlesbaren Format können Sicherheitsprozesse und Dokumentationen automatisiert sowie Anforderungen an die Cybersicherheit nicht nur von Personen, sondern auch von Tools modelliert werden, um ihre Einhaltung effizienter zu überwachen. Um die Anwendbarkeit weiter zu erleichtern, werden die Absicherungsstufen Basis, Standard und erhöhter Schutzbedarf durch flexible Leistungszahlen in Verbindung mit dynamischen Schwellwerten ersetzt. Als Regelwerk wird es gegenüber dem -Grundschutz-Kompendium geschärft, so dass es nur noch lösungsunabhängige Anforderungen an Prozesse beschreibt.

Die mit dem -Weg in die Basis-Absicherung erprobten Checklisten haben sich in der Praxis bewährt und werden fester Bestandteil des Grundschutz++. Checklisten können zukünftig automatisiert und angepasst auf den jeweiligen Anwendungsfall aus den Anforderungen des Anwenderkatalogs-Grundschutz++ erzeugt werden.

Mit diesen Checklisten ermöglicht das kleinen Institutionen schnell grundlegende Sicherheitsanforderungen umzusetzen, ohne ein Managementsystem für Informationssicherheit () aufzubauen und zu betreiben. Größere Institutionen können mit den Checklisten einen soliden Grundstein legen, um schrittweise ein vollwertiges aufzubauen.

Mithilfe der vom vorgenommenen Priorisierung und Gewichtung der Sicherheitsanforderungen kann die Institution qualifizierte Entscheidungen treffen, welche Anforderungen aus dem Regelwerk als nächstes umgesetzt werden sollen, um die Informationssicherheit mit den zur Verfügung stehenden Ressourcen bestmöglich zu erhöhen.

Mindeststandards im Grundschutz++

Mindeststandards sind Regelungsdokumente, die für ausgewählte Anwendungsbereiche ein Mindestniveau an Informationssicherheit definieren. Das Ziel der Mindeststandards ist die Gewährleistung eines einheitlichen Mindestsicherheitsniveaus in der Bundesverwaltung.

Sie werden in der Stand der Technik-Bibliothek eng miteinander verzahnt und definieren für Einrichtungen des Bundes verbindliche Sicherheitsanforderungen und legen Vorgaben für die Umsetzung von Anforderungen des Grundschutz++ fest. Mindeststandards können dem Stand der Technik entsprechen oder in begründeten Fällen davon abweichen. Außerdem werden sie auch Teil der Stand der Technik Bibliothek.

Meilensteinplan (Stand Oktober 2026)

Im Rahmen der Weiterentwicklung der Methodik-++ wird der Meilensteinplan stetig angepasst, um die Community auf dem Laufenden über die aktuellen Planungen zu halten.