Grundschutz++: Was der neue BSI-Standard 300-1 für Ihr ISMS und Microsoft 365 bedeutet

• Das BSI hat die Methodik Grundschutz++ Ende Oktober 2026 als neuen BSI-Standard 300-1 veröffentlicht, sie soll den bisherigen IT-Grundschutz perspektivisch ablösen.
• Ein ISMS nach Grundschutz++ ist laut BSI ab dem 1. Januar 2027 zertifizierbar, die Methodik gilt als kompatibel zur ISO/IEC 27001.
• Der bisherige IT-Grundschutz bleibt in einer mehrjährigen Übergangszeit anwendbar, die Zertifizierbarkeit endet laut BSI-Zeitplan am 30. November 2031.
• Grundschutz++ setzt auf Geschäftsprozesse, eine frei wählbare Risikomethodik mit Mindestkriterien und maschinenlesbare Anforderungen, die sich messen und automatisiert prüfen lassen sollen.
• Der neue Anwenderkatalog ersetzt das IT-Grundschutz-Kompendium und ist lösungsunabhängig, die technische Umsetzung in Systemen wie Microsoft 365 bleibt Aufgabe jedes Unternehmens.

Mit Grundschutz++ hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Nachfolge des bekannten IT-Grundschutz vorgelegt. Laut BSI-Meldung vom 26. Oktober 2026 ist die Methodik als neuer BSI-Standard 300-1 veröffentlicht. Das BSI beschreibt Grundschutz++ als Weiterentwicklung des IT-Grundschutz und stellt klar, dass die neue Methodik den IT-Grundschutz perspektivisch ablösen wird.

Für Unternehmen mit einem Informationssicherheitsmanagementsystem (ISMS) oder entsprechenden Plänen ist vor allem ein Datum wichtig: Ab dem 1. Januar 2027 ist ein ISMS nach Grundschutz++ laut BSI zertifizierbar. Der bisherige IT-Grundschutz bleibt in einer mehrjährigen Übergangszeit anwendbar.

Das BSI nennt in seiner Meldung und auf der Themenseite zu Grundschutz++ diese Kernpunkte:

• Prozesse im Mittelpunkt: Vorrangig sollen die zentralen Geschäftsprozesse einer Institution abgesichert werden. Prozesse und Informationen stehen im Zentrum, nicht mehr einzelne IT-Systeme.
• Freie Wahl der Risikomethodik: Wie Risiken identifiziert, bewertet und behandelt werden, kann jede Institution selbst festlegen, solange sie die vom BSI definierten Mindestkriterien einhält. Das ISMS lässt sich so an Größe und Komplexität anpassen.
• Atomare, maschinenlesbare Anforderungen: Alle Anforderungen liegen in einem maschinenlesbaren Format vor. Laut BSI sollen sie sich messen lassen und Compliance-Prüfungen automatisierbar machen. Digitale Werkzeuge sollen die Umsetzung künftig unterstützen, konkrete Werkzeuge nennt das BSI bisher nicht.
• Anwenderkatalog statt Kompendium: Der neue Anwenderkatalog ersetzt das IT-Grundschutz-Kompendium. Er ist Teil der Bibliothek „Stand der Technik“ und enthält nur Anforderungen, die nicht an bestimmte IT-Lösungen gebunden sind.
• Kontinuierlicher Prozess nach PDCA: Der BSI-Standard 300-1 ist entlang des Plan-Do-Check-Act-Zyklus aufgebaut, mit den Phasen Erhebung und Planung, Anforderungsanalyse, Realisierung, Überwachung und kontinuierliche Verbesserung.
• Kompatibel zur ISO/IEC 27001: Laut BSI ist ein ISMS nach Grundschutz++ kompatibel zur ISO/IEC 27001.

Das BSI hat auf seiner Themenseite einen Zeitplan veröffentlicht (Stand Oktober 2026):

• 30. November 2026: Die Schulungskonzepte für GS++ Praktiker und GS++ Berater werden veröffentlicht.
• Dezember 2026: Das BSI veröffentlicht ein Anwendungsbeispiel anhand einer fiktiven Behörde.
• 1. Januar 2027: Grundschutz++ wird zertifizierbar. Anträge für die ISO 27001-Zertifizierung auf Basis von Grundschutz++ sowie für GS++ Berater und Auditteamleiter sind möglich.
• 1. Quartal 2027: Ergänzungsschulungen für bereits zertifizierte IT-Grundschutz-Berater und Auditteamleiter starten, die Early-Adopter-Phase beginnt.
• 26. Februar 2027: Ein Konzept zur Leistungsmessung wird in die Methodik integriert.
• 31. März 2027: Jede Anforderung aus den Praktiken der Methodik erhält Leistungsindikatoren.
• 31. Dezember 2027: Die Early-Adopter-Phase endet.
• 30. November 2031: Die Zertifizierbarkeit nach dem bisherigen IT-Grundschutz endet.

Wer bereits ein ISMS nach IT-Grundschutz betreibt oder eine ISO 27001-Zertifizierung auf Basis von IT-Grundschutz hat, muss nach dem Zeitplan des BSI nicht sofort wechseln. Sinnvoll ist es aber, den Umstieg in die Planung der nächsten Jahre aufzunehmen, zum Beispiel beim nächsten Rezertifizierungszyklus.

Wer ein ISMS neu aufbaut, sollte prüfen, ob ein direkter Start mit Grundschutz++ sinnvoll ist. Dabei gilt: 2027 ist eine Early-Adopter-Phase, in der das BSI die Methodik weiterentwickelt. Leistungsmessung und Leistungsindikatoren kommen laut Zeitplan erst im ersten Quartal 2027 hinzu.

Für beide Gruppen ist ein Punkt aus unserer Sicht entscheidend: Der Anwenderkatalog ist bewusst lösungsunabhängig. Er sagt, was erreicht werden muss, aber nicht, wie Sie das in Ihren konkreten Systemen umsetzen. Genau diese Übersetzung in Richtlinien, Konfigurationen und Nachweise bleibt die Aufgabe jedes Unternehmens.

Wenn Anforderungen messbar und automatisiert prüfbar werden sollen, gewinnen technische Nachweise an Gewicht: dokumentierte Richtlinien, nachvollziehbare Konfigurationen und auswertbare Protokolle. In Microsoft 365 liegen dafür viele Bausteine bereits vor, etwa Conditional Access und Authentifizierungsmethoden in Microsoft Entra ID, Geräterichtlinien in Intune, Erkennung und Reaktion mit Microsoft Defender XDR sowie Datenklassifizierung und Compliance-Funktionen in Microsoft Purview.

Der Microsoft Secure Score eignet sich aus unserer Erfahrung gut, um den technischen Stand eines Tenants regelmäßig zu messen und Fortschritte im ISMS zu belegen. Eine offizielle Zuordnung der Grundschutz++ Anforderungen zu Microsoft 365 Funktionen gibt es bisher nicht. Die Zuordnung muss deshalb für jede Umgebung erarbeitet werden.

Viele Unternehmen beschäftigen sich parallel mit NIS2. Wie Sie die technischen Anforderungen dort in Microsoft 365 umsetzen, beschreibt unsere Seite NIS2 und Microsoft 365.

Methodik, Risikoanalyse und Zertifizierung Ihres ISMS gehören in die Hände Ihres Informationssicherheitsbeauftragten sowie zertifizierter Berater und Auditoren. Die InSys AG^® unterstützt Sie bei der technischen Umsetzung: Als Microsoft Solutions Partner für Security setzen wir die Anforderungen Ihres ISMS in Microsoft 365, Entra ID, Intune und Defender um und schaffen nachvollziehbare technische Nachweise. Ein guter Einstieg ist der Microsoft Tenant Sicherheitscheck. Einen Überblick über alle Leistungen finden Sie unter Microsoft 365 Security und Lizenzen.