Grundschutz++ ab 2027: Was Unternehmen jetzt wissen und vorbereiten müssen

Das BSI hat es offiziell gemacht: Ab Anfang 2027 werden Zertifizierungen nach dem neuen Standard Grundschutz++ möglich sein. Für Unternehmen, Behörden und Organisationen, die eine BSI-Grundschutz-Zertifizierung anstreben oder bereits besitzen, bedeutet das: Die Zeit zur Vorbereitung läuft. Wer jetzt wartet, riskiert später unter Zeitdruck zu geraten.

Grundschutz++ ist die Weiterentwicklung des bewährten IT-Grundschutzes. Das BSI hat den Standard modernisiert, um ihn an aktuelle Bedrohungslagen und technologische Entwicklungen anzupassen. Gleichzeitig bleibt vieles vertraut – insbesondere die WiBA-Checklisten, die weiterhin Bestandteil des neuen Standards sind.

Für IT-Leiter, CISOs und Compliance-Verantwortliche stellt sich jetzt eine zentrale Frage: Was ändert sich konkret, und was müssen wir bis 2027 umsetzen? Dieser Artikel gibt Ihnen einen praxisnahen Überblick und konkrete Handlungsempfehlungen.

Was ist Grundschutz++ und was ändert sich?

Der IT-Grundschutz des BSI ist seit Jahrzehnten ein etablierter Standard für Informationssicherheit in Deutschland. Er bietet Unternehmen und Behörden eine strukturierte Methodik, um IT-Risiken zu identifizieren, zu bewerten und zu minimieren.

Grundschutz++ ist die konsequente Weiterentwicklung dieses Standards. Das BSI hat den Aufbau modernisiert, die Anforderungen aktualisiert und die Methodik an neue Technologien sowie veränderte Bedrohungsszenarien angepasst. Themen wie Cloud-Sicherheit, mobile Arbeit und moderne Angriffsvektoren fließen stärker in den Standard ein.

Ein wichtiges Signal für Bestandsnutzer: Die WiBA-Checklisten (Werkzeug zur informationssicherheitsrelevanten Bestandsaufnahme) bleiben erhalten. Das sorgt für Kontinuität und erleichtert den Übergang für Organisationen, die bereits nach dem bisherigen IT-Grundschutz arbeiten. Dennoch sind Anpassungen erforderlich – ein einfaches Weiterarbeiten wie bisher reicht nicht aus.

Was bedeutet das konkret für Ihr Unternehmen?

Ob Sie eine neue Zertifizierung anstreben oder eine bestehende verlängern möchten – ab 2027 gilt der neue Standard. Das hat direkte Auswirkungen auf Ihre Planung.

Unternehmen, die aktuell nach dem klassischen IT-Grundschutz zertifiziert sind, müssen prüfen, inwieweit ihre bestehende Dokumentation und ihre Sicherheitsmaßnahmen mit den neuen Anforderungen kompatibel sind. Lücken, die jetzt nicht erkannt werden, können später zu aufwendigen Nacharbeiten führen.

Für Organisationen, die erstmals eine Zertifizierung anstreben, bietet Grundschutz++ gleichzeitig eine Chance: Der modernisierte Standard ist praxisnäher und deckt aktuelle Sicherheitsanforderungen besser ab. Wer jetzt mit der Vorbereitung beginnt, kann den neuen Standard von Anfang an sauber umsetzen – ohne Altlasten aus früheren Versionen.

Besonders relevant ist das für Unternehmen, die als kritische Infrastruktur eingestuft sind, öffentliche Aufträge anstreben oder Geschäftspartner haben, die eine BSI-Zertifizierung voraussetzen.

Warum frühzeitige Vorbereitung entscheidend ist

Bis Anfang 2027 klingt nach ausreichend Zeit – ist es aber nicht, wenn man den typischen Aufwand einer Grundschutz-Zertifizierung kennt. Eine vollständige Umsetzung inklusive Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Risikoanalyse und Realisierungsplanung dauert in der Praxis oft 12 bis 24 Monate.

Hinzu kommt: Zertifizierungsstellen und externe Berater sind erfahrungsgemäß in der Anlaufphase neuer Standards stark ausgelastet. Wer zu spät startet, findet möglicherweise keine freien Kapazitäten – oder muss mit längeren Wartezeiten rechnen.

Außerdem müssen interne Teams geschult werden. Die neuen Anforderungen müssen verstanden, dokumentiert und in bestehende Prozesse integriert werden. Das braucht Zeit und Ressourcen, die eingeplant werden müssen.

Handlungsempfehlungen: So bereiten Sie sich jetzt vor

• Bestandsaufnahme durchführen: Prüfen Sie, welche Teile Ihrer aktuellen Grundschutz-Dokumentation bereits mit den Anforderungen von Grundschutz++ kompatibel sind und wo Lücken bestehen.
• Roadmap erstellen: Planen Sie die Umstellung auf Grundschutz++ als Projekt mit klaren Meilensteinen, Verantwortlichkeiten und Ressourcen – idealerweise mit einem Start noch in 2025.
• WiBA-Checklisten aktualisieren: Nutzen Sie die Kontinuität der WiBA-Checklisten als Ausgangspunkt, aber prüfen Sie, ob Ihre bisherigen Einträge den neuen Anforderungen entsprechen.
• Team schulen: Sorgen Sie dafür, dass Ihre IT-Sicherheitsbeauftragten und Compliance-Verantwortlichen den neuen Standard kennen. BSI-Schulungen und externe Weiterbildungen sind jetzt sinnvoll.
• Externe Unterstützung einplanen: Wenn interne Ressourcen fehlen, holen Sie frühzeitig einen erfahrenen Berater ins Boot. Die Nachfrage nach Grundschutz-Experten wird mit Näherrücken des Termins steigen.
• Zertifizierungsstelle kontaktieren: Nehmen Sie frühzeitig Kontakt zu einer akkreditierten Zertifizierungsstelle auf, um Kapazitäten zu sichern und den Prozess abzustimmen.
• Managementebene einbinden: Informationssicherheit ist Chefsache. Stellen Sie sicher, dass Geschäftsführung und Vorstand über die Anforderungen und den Zeitplan informiert sind und die notwendigen Ressourcen bereitstellen.

Fazit: 2027 kommt schneller als gedacht

Grundschutz++ ist keine Revolution, aber eine notwendige Weiterentwicklung, die ernstgenommen werden muss. Das BSI hat mit dem Termin Anfang 2027 einen klaren Rahmen gesetzt – und der Countdown läuft.

Unternehmen und Behörden, die eine Zertifizierung anstreben oder verlängern müssen, sollten jetzt handeln: Bestandsaufnahme machen, Lücken identifizieren, Ressourcen einplanen und den Prozess strukturiert angehen. Wer frühzeitig startet, hat die besten Chancen, die Zertifizierung reibungslos und ohne unnötigen Zeitdruck zu erreichen.

Die gute Nachricht: Die Grundlagen sind für viele Organisationen bereits vorhanden. Es geht jetzt darum, sie gezielt weiterzuentwickeln – und das ist mit der richtigen Vorbereitung gut machbar.