Grundschutz:Einführung und Aufbau - Versionsgeschichte

Dirk am 11. Juni 2026 um 10:22 Uhr

2026-06-11T10:22:34Z

← Nächstältere Version		Version vom 11. Juni 2026, 12:22 Uhr
Zeile 177:		Zeile 177:
	\|		\|
	\|Das Kompendium ist (Stand 2023) in 10 '''Schichten''' mit insgesamt 111 '''Bausteine''' gegliedert, die statisch die jeweiligen Anforderungen enthalten.		\|Das Kompendium ist (Stand 2023) in 10 '''Schichten''' mit insgesamt 111 '''Bausteine''' gegliedert, die statisch die jeweiligen Anforderungen enthalten.
	\|'''Praktiken''' und '''''Zielobjektkategorien''''' (Achtung abweichende Bedeutung in GS++) sind allgemeinere und wiederverwendbare, sicherheitsrelevante Verfahren oder Anforderungen. Sie können modular und situationsabhängig einzelnen Assets zugeordnet werden.		\|'''Praktiken''' und '''''Zielobjektkategorien''''' (Achtung abweichende Bedeutung in GS++) sind allgemeinere und wiederverwendbare, sicherheitsrelevante Verfahren oder Anforderungen. Sie können modular und situationsabhängig einzelnen Assets zugeordnet werden (Zielobjektkategorien) oder übergreifend das ISMS definieren (Praktiken).
	Die voraussichtlich ca. 20 Praktiken liegen irgendwo zwischen Schichten und Bausteinen. Sie sind prozessorientierter, adressieren eher Zielgruppen oder Handlungstypen und sind nicht mehr starr bestimmten Zielobjektkategorien zugeordnet. Zielobjektkategorien entsprechen zukünftig eher den Bausteinen im alten Grundschutz. Die Definitionen der Begriffe sind nach wie vor im Fluß!		Die voraussichtlich ca. 20 Praktiken liegen irgendwo zwischen Schichten und Bausteinen. Sie sind prozessorientierter, adressieren eher Zielgruppen oder Handlungstypen und sind nicht mehr starr bestimmten Zielobjektkategorien zugeordnet. Zielobjektkategorien entsprechen zukünftig eher den Bausteinen im alten Grundschutz. Die Definitionen der Begriffe sind nach wie vor im Fluß!
	\|-		\|-
Zeile 191:		Zeile 191:
	\|		\|
	\|'''Zielobjekte''' als gruppierte Sammlung von gleichartigen Assets die zur späteren '''Modellierung''' (Zuordnung der Bausteine und Abhängigkeiten) genutzt werden.		\|'''Zielobjekte''' als gruppierte Sammlung von gleichartigen Assets die zur späteren '''Modellierung''' (Zuordnung der Bausteine und Abhängigkeiten) genutzt werden.
	\|'''~~Zielobjekte~~''' werden ~~auch~~ in ~~Zukunft eine ähnliche Funktion zur Gruppierung und~~ '''~~Modellierung~~''' ~~haben~~, ~~entsprechend dabei aber~~ eher ~~den klassischen Bausteinen. Die konkreten Vorgaben zur Modellierung sind jedoch noch nicht detailliert genug. In der Modellierung werden~~ die ~~Praktiken nicht mehr statisch bestimmten Zielobjekttypen zugewiesen. Klassische Zielobjekte werden zukünftig als Assets oder Assetgruppen bezeichnet~~.		\|Die Gruppierung gleichartiger Assets kann weiterhin erfolgen es bleiben jedoch auch dann '''Assets'''. Der Begriff ''Zielobjekt'' wird hierfür nicht mehr genutzt. Diese Assets werden in der Modellierung künftig '''Zielobjektkategorien''' zugewiesen, wobei Zielobjektkategorien eher dem entsprechen, was bislang die ''Bausteine'' waren, eine Sammlung von spezifischen Anforderungen für bestimmte Asset-Typen.
	\|-		\|-
	\|		\|
Zeile 216:		Zeile 216:
	\|		\|
	\|'''Baustein''' als Sammlung von Anforderungen für bestimmte Zielobjekttypen.		\|'''Baustein''' als Sammlung von Anforderungen für bestimmte Zielobjekttypen.
	\|'''Zielobjektkategorien''' sind zukünftig das was bislang die ''Bausteine'' waren, bestimmte Typen von Assets für die spezische Anforderungen gelten. Die Assets werden den Zielobjektkategorien zugewisen und erhalten über diese ihre Anforderungen. Eine klare Definition der Begriffe ist noch im Fluß.		\|'''Zielobjektkategorien''' und '''Praktiken''' sind zukünftig das was bislang die ''Bausteine'' waren, bestimmte Typen von Assets für die spezische Anforderungen gelten. Die Assets werden den Zielobjektkategorien zugewisen und erhalten über diese ihre Anforderungen. Eine klare Definition der Begriffe ist noch im Fluß.
	\|-		\|-
	\|		\|
Zeile 370:		Zeile 370:

	=== Geringer Mehrwert im Vergleich zu ISO 27001 ===		=== Geringer Mehrwert im Vergleich zu ISO 27001 ===
	Die Anforderungen im Grundschutz++ werden zunehmend an die Formulierungen und Strukturen der ISO 27001 angeglichen. Während der klassische IT-Grundschutz durch seine konkreten, praxisnahen Maßnahmen einen klaren Mehrwert gegenüber der eher abstrakten ISO 27001 bot, verliert er durch die Harmonisierung mit internationalen Standards zunehmend diesen Vorteil. Die Anforderungen werden stärker abstrakt modularisiert formuliert, wodurch der spezifische Bezug zu typischen Umsetzungsbeispielen und die Detailtiefe abnehmen. Für viele Organisationen wird sich daher die Frage stellen, warum sie den immer noch aufwändigeren Weg über den Grundschutz wählen sollten, wenn sie mit ähnlichem oder geringeren Aufwand direkt eine ISO 27001-Zertifizierung anstreben können.		Die Anforderungen im Grundschutz++ werden zunehmend an die Formulierungen und Strukturen der ISO 27001 angeglichen. Während der klassische IT-Grundschutz durch seine konkreten, praxisnahen Maßnahmen einen klaren Mehrwert gegenüber der eher abstrakten ISO 27001 bot, verliert er durch die Harmonisierung mit internationalen Standards und die deutliche Schrumpfung zunehmend diesen Vorteil. Die Anforderungen werden stärker abstrakt modularisiert formuliert, wodurch der spezifische Bezug zu typischen Umsetzungsbeispielen und die Detailtiefe abnehmen. Für viele Organisationen wird sich daher die Frage stellen, warum sie den immer noch aufwändigeren Weg über den Grundschutz wählen sollten, wenn sie mit ähnlichem oder geringeren Aufwand direkt eine ISO 27001-Zertifizierung anstreben können.

	=== Zu ambitionierter Zeitplan ===		=== Zu ambitionierter Zeitplan ===
Zeile 377:		Zeile 377:
	=== Zunehmende (Sicherheits-)Lücke zwischen IT-Grundschutz und Grundschutz++ ===		=== Zunehmende (Sicherheits-)Lücke zwischen IT-Grundschutz und Grundschutz++ ===
	Mit der Entscheidung des BSI, den bisherigen IT-Grundschutz (Edition 2023) nicht mehr weiterzuentwickeln und stattdessen auf das neue Grundschutz++-Modell zu setzen, entsteht eine wachsende Lücke in der Informationssicherheit. Diese Übergangsphase bis 2029 ist sicherheitstechnisch kritisch, da sich die Bedrohungslage in der IT nicht an Entwicklungszyklen von Sicherheitsstandards orientiert. Neue Angriffsvektoren, insbesondere durch den zunehmenden Einsatz von KI in der Cyberkriminalität (z.B. KI-gestützte Malware, Deepfakes, automatisierte Phishing-Kampagnen), entstehen kontinuierlich und erfordern zeitnahe, wirksame Gegenmaßnahmen. Der bisherige Grundschutz bildet diese aktuellen Bedrohungen und technologische Entwicklungen jedoch nicht mehr ab, während die spezifischen Module und Maßnahmen im Grundschutz++ noch nicht produktiv verfügbar oder praxistauglich sind.		Mit der Entscheidung des BSI, den bisherigen IT-Grundschutz (Edition 2023) nicht mehr weiterzuentwickeln und stattdessen auf das neue Grundschutz++-Modell zu setzen, entsteht eine wachsende Lücke in der Informationssicherheit. Diese Übergangsphase bis 2029 ist sicherheitstechnisch kritisch, da sich die Bedrohungslage in der IT nicht an Entwicklungszyklen von Sicherheitsstandards orientiert. Neue Angriffsvektoren, insbesondere durch den zunehmenden Einsatz von KI in der Cyberkriminalität (z.B. KI-gestützte Malware, Deepfakes, automatisierte Phishing-Kampagnen), entstehen kontinuierlich und erfordern zeitnahe, wirksame Gegenmaßnahmen. Der bisherige Grundschutz bildet diese aktuellen Bedrohungen und technologische Entwicklungen jedoch nicht mehr ab, während die spezifischen Module und Maßnahmen im Grundschutz++ noch nicht produktiv verfügbar oder praxistauglich sind.

			=== Bislang kein Sicherheitsgewinn gegenüber Kompendium Edition 2023 ===
			Ein erkennbarer Sicherheitsgewinn durch Grundschutz++ gegenüber dem IT‑Grundschutz-Kompendium (Edition 2023, Redaktionsschluss 2022) ist bislang nicht gegeben. Das BSI befasst sich weiterhin mit dem Standard selbst, jedoch ohne erkennbare inhaltliche Weiterentwicklung im Grundschutz seit 2023. Der aktuelle Anwenderkatalog basiert weiterhin auf einem abgespeckten Kompendium der Edition 2023. Wesentliche von Anwendern geforderte Aktualisierungen, insbesondere zu aktuellen Themen wie Cloudnutzung und KI-Einsatz und anderen aktuellen Bedrohungs- und Technologietrends, sind bislang nicht berücksichtigt.

	=== Fehlende Migration vom IT-Grundschutz-Kompendium zu Grundschutz++ ===		=== Fehlende Migration vom IT-Grundschutz-Kompendium zu Grundschutz++ ===
Zeile 382:		Zeile 385:

	=== Überholte Satzschablonen ===		=== Überholte Satzschablonen ===
	Satzschablonen waren vor OSCAL ein erster Versuch, Anforderungen durch eine feste Syntax maschinenlesbar vorzubereiten. OSCAL macht sie jedoch überflüssig, da Praktiken und Zielobjektkategorien flexibel in Metadaten (props, groups, links) abgebildet und gefiltert werden können. So lassen sich Anforderungstexte natürlich-sprachlich formulieren. Das verbessert die Lesbarkeit für Mitarbeitende und Tools gleichermaßen. GS++ verwendet dennoch weiterhin diese sperrige Satzschablonen-Syntax für Anforderungen, was umfangreiche Erläuterungstexte zu den Anforderungen erfordert.		Die oben beschriebenen Satzschablonen waren vor OSCAL ein erster Versuch, Anforderungen durch eine feste Syntax maschinenlesbar vorzubereiten. Der Eisatz von OSCAL macht sie jedoch überflüssig, da Praktiken und Zielobjektkategorien flexibel in Metadaten (props, groups, links) abgebildet und gefiltert werden können. So lassen sich Anforderungstexte natürlich-sprachlich formulieren. Das verbessert die Lesbarkeit für Mitarbeitende und Tools gleichermaßen. GS++ verwendet dennoch weiterhin diese sperrige Satzschablonen-Syntax für Anforderungen, was umfangreiche Erläuterungstexte zu den Anforderungen erfordert.

	== Fazit ==		== Fazit ==

Dirk am 6. Juni 2026 um 08:43 Uhr

2026-06-06T08:43:28Z

Dirk: /* Zunehmende (Sicherheits-)Lücke zwischen Grundschutz und Grundschutz++ */

2026-05-06T18:52:08Z

Zunehmende (Sicherheits-)Lücke zwischen Grundschutz und Grundschutz++

← Nächstältere Version		Version vom 6. Mai 2026, 20:52 Uhr
Zeile 373:		Zeile 373:
	Der Grundschutz++ sollte ab dem 1.1.2026 grundsätzlich gültig und anwedbar sein, wobei eine Übergangsphase bis 2029 vorgesehen war. Bisher ist nur ein erster Entwurf veröffentlicht. Angesichts der Vielzahl an noch offenen Fragen, der fehlenden Migrationsstrategie und der Komplexität der Änderungen erscheint der Zeitplan sehr ambitioniert. Ausarbeitung und Dokumentation liegen bisher nur als Entwurf vor. Eine Pilotierung und Einführung 2026 und eine Übergangsphase bis 2029 ist vorgesehen. Die Gefahr besteht, dass größere Organisationen unter Zeitdruck unzureichend vorbereitet in die neue Methodik wechseln und mit variablen Definitionen und Zielen arbeiten müssen, was die Akzeptanz und Qualität der Umsetzung gefährdet.		Der Grundschutz++ sollte ab dem 1.1.2026 grundsätzlich gültig und anwedbar sein, wobei eine Übergangsphase bis 2029 vorgesehen war. Bisher ist nur ein erster Entwurf veröffentlicht. Angesichts der Vielzahl an noch offenen Fragen, der fehlenden Migrationsstrategie und der Komplexität der Änderungen erscheint der Zeitplan sehr ambitioniert. Ausarbeitung und Dokumentation liegen bisher nur als Entwurf vor. Eine Pilotierung und Einführung 2026 und eine Übergangsphase bis 2029 ist vorgesehen. Die Gefahr besteht, dass größere Organisationen unter Zeitdruck unzureichend vorbereitet in die neue Methodik wechseln und mit variablen Definitionen und Zielen arbeiten müssen, was die Akzeptanz und Qualität der Umsetzung gefährdet.

	=== Zunehmende (Sicherheits-)Lücke zwischen Grundschutz und Grundschutz++ ===		=== Zunehmende (Sicherheits-)Lücke zwischen IT-Grundschutz und Grundschutz++ ===
	Mit der Entscheidung des BSI, den bisherigen IT-Grundschutz (Edition 2023) nicht mehr weiterzuentwickeln und stattdessen auf das neue Grundschutz++-Modell zu setzen, entsteht eine wachsende Lücke in der Informationssicherheit. Diese Übergangsphase bis 2029 ist sicherheitstechnisch kritisch, da sich die Bedrohungslage in der IT nicht an Entwicklungszyklen von Sicherheitsstandards orientiert. Neue Angriffsvektoren, insbesondere durch den zunehmenden Einsatz von KI in der Cyberkriminalität (z.B. KI-gestützte Malware, Deepfakes, automatisierte Phishing-Kampagnen), entstehen kontinuierlich und erfordern zeitnahe, wirksame Gegenmaßnahmen. Der bisherige Grundschutz bildet diese aktuellen Bedrohungen und technologische Entwicklungen jedoch nicht mehr ab, während die spezifischen Module und Maßnahmen im Grundschutz++ noch nicht produktiv verfügbar oder praxistauglich sind.		Mit der Entscheidung des BSI, den bisherigen IT-Grundschutz (Edition 2023) nicht mehr weiterzuentwickeln und stattdessen auf das neue Grundschutz++-Modell zu setzen, entsteht eine wachsende Lücke in der Informationssicherheit. Diese Übergangsphase bis 2029 ist sicherheitstechnisch kritisch, da sich die Bedrohungslage in der IT nicht an Entwicklungszyklen von Sicherheitsstandards orientiert. Neue Angriffsvektoren, insbesondere durch den zunehmenden Einsatz von KI in der Cyberkriminalität (z.B. KI-gestützte Malware, Deepfakes, automatisierte Phishing-Kampagnen), entstehen kontinuierlich und erfordern zeitnahe, wirksame Gegenmaßnahmen. Der bisherige Grundschutz bildet diese aktuellen Bedrohungen und technologische Entwicklungen jedoch nicht mehr ab, während die spezifischen Module und Maßnahmen im Grundschutz++ noch nicht produktiv verfügbar oder praxistauglich sind.

	=== Fehlende Migration vom Grundschutz-Kompendium zu Grundschutz++ ===		=== Fehlende Migration vom IT-Grundschutz-Kompendium zu Grundschutz++ ===
	Aktuell existiert weder ein konkreter Plan noch ein Konzept für eine (teil-)automatisierte Migration bestehender Sicherheitskonzepte aus dem bisherigen Grundschutz-Kompendium in das neue Grundschutz++-Modell. Die Umstellung auf ein maschinenlesbares JSON/OSCAL-Format und die objektorientierte, prozessorientierte Struktur bedeuten einen fundamentalen Bruch mit bisherigen Strukturen. Die Unterschiede zwischen Grundschutz-Kompendium und Grundschutz++ sind gravierender als beim letzten Wechsel von den Grundschutz-Katalogen zum Kompendium, bei dem bereits alle Ansätze für eine automatisierte Migration weitgehend gescheitert sind. Auch diesmal ist absehbar, dass Organisationen ihre bestehenden Dokumentationen und Umsetzungen weitgehend manuell neu abbilden müssen, was insbesondere für größere Verbünde einen erheblichen Zusatzaufwand bedeutet. Es gibt zwar Ansätze dies mittels KI zu lösen, was aber sicher nicht für jede Organisation praktikabel sein wird.		Aktuell existiert weder ein konkreter Plan noch ein Konzept für eine (teil-)automatisierte Migration bestehender Sicherheitskonzepte aus dem bisherigen Grundschutz-Kompendium in das neue Grundschutz++-Modell. Die Umstellung auf ein maschinenlesbares JSON/OSCAL-Format und die objektorientierte, prozessorientierte Struktur bedeuten einen fundamentalen Bruch mit bisherigen Strukturen. Die Unterschiede zwischen Grundschutz-Kompendium und Grundschutz++ sind gravierender als beim letzten Wechsel von den Grundschutz-Katalogen zum Kompendium, bei dem bereits alle Ansätze für eine automatisierte Migration weitgehend gescheitert sind. Auch diesmal ist absehbar, dass Organisationen ihre bestehenden Dokumentationen und Umsetzungen weitgehend manuell neu abbilden müssen, was insbesondere für größere Verbünde einen erheblichen Zusatzaufwand bedeutet. Es gibt zwar Ansätze dies mittels KI zu lösen, was aber sicher nicht für jede Organisation praktikabel sein wird.

Dirk am 1. Mai 2026 um 01:51 Uhr

2026-05-01T01:51:52Z

← Nächstältere Version		Version vom 1. Mai 2026, 03:51 Uhr
Zeile 3:		Zeile 3:
	\|keywords=ISMS, Wiki, BSI Grundschutz++, IT-Grundschutz, BSI-Standard 200-2, Bausteine, OSCAL, JSON, Informationssicherheit, Risikomanagement, Anforderungen		\|keywords=ISMS, Wiki, BSI Grundschutz++, IT-Grundschutz, BSI-Standard 200-2, Bausteine, OSCAL, JSON, Informationssicherheit, Risikomanagement, Anforderungen
	\|description=Überblick über den neuen BSI Grundschutz++. Startseite zur Navigation durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.		\|description=Überblick über den neuen BSI Grundschutz++. Startseite zur Navigation durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.
	}}{{SHORTDESC:~~Grundschutz++~~ Überblick zum aktuellen Stand im Grundschutz++}}		}}{{SHORTDESC:Überblick zum aktuellen Stand im Grundschutz++}}
	{{DISPLAYTITLE:Grundschutz++ Einführung und Aufbau}}		{{DISPLAYTITLE:Grundschutz++ Einführung und Aufbau}}
	''Dieser Artikel bietet einen schrittweisen Überblick über BSI '''Grundschutz++''' und navigiert durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.''		''Dieser Artikel bietet einen schrittweisen Überblick über BSI '''Grundschutz++''' und navigiert durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.''

Dirk am 1. Mai 2026 um 01:49 Uhr

2026-05-01T01:49:55Z

← Nächstältere Version		Version vom 1. Mai 2026, 03:49 Uhr
Zeile 1:		Zeile 1:
	[[Datei:Teamwork-2198961.png\|alternativtext=Zahnrad\|rechts\|240x240px]]{{#seo:		[[Datei:Teamwork-2198961.png\|alternativtext=Zahnrad\|rechts\|240x240px]]{{#seo:
	\|title=Grundschutz++ Einführung und ~~Anleitung~~		\|title=Grundschutz++ Einführung und Überblick
	\|keywords=ISMS, Wiki, BSI Grundschutz++, IT-Grundschutz, BSI-Standard 200-2, Bausteine, OSCAL, JSON, Informationssicherheit, Risikomanagement, Anforderungen		\|keywords=ISMS, Wiki, BSI Grundschutz++, IT-Grundschutz, BSI-Standard 200-2, Bausteine, OSCAL, JSON, Informationssicherheit, Risikomanagement, Anforderungen
	\|description=Überblick über den neuen BSI Grundschutz++. Startseite zur Navigation durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.		\|description=Überblick über den neuen BSI Grundschutz++. Startseite zur Navigation durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.
	}}{{SHORTDESC:Grundschutz++ Überblick ~~und Anleitung~~}}		}}{{SHORTDESC:Grundschutz++ Überblick zum aktuellen Stand im Grundschutz++}}
	{{DISPLAYTITLE:Grundschutz++ Einführung und Aufbau}}		{{DISPLAYTITLE:Grundschutz++ Einführung und Aufbau}}
	''Dieser Artikel bietet einen schrittweisen Überblick über BSI '''Grundschutz++''' und navigiert durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.''		''Dieser Artikel bietet einen schrittweisen Überblick über BSI '''Grundschutz++''' und navigiert durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.''

Dirk am 1. Mai 2026 um 01:23 Uhr

2026-05-01T01:23:08Z

← Nächstältere Version		Version vom 1. Mai 2026, 03:23 Uhr
Zeile 3:		Zeile 3:
	\|keywords=ISMS, Wiki, BSI Grundschutz++, IT-Grundschutz, BSI-Standard 200-2, Bausteine, OSCAL, JSON, Informationssicherheit, Risikomanagement, Anforderungen		\|keywords=ISMS, Wiki, BSI Grundschutz++, IT-Grundschutz, BSI-Standard 200-2, Bausteine, OSCAL, JSON, Informationssicherheit, Risikomanagement, Anforderungen
	\|description=Überblick über den neuen BSI Grundschutz++. Startseite zur Navigation durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.		\|description=Überblick über den neuen BSI Grundschutz++. Startseite zur Navigation durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.
	}}{{SHORTDESC:Grundschutz++ Überblick und Anleitung}}''Dieser Artikel bietet einen schrittweisen Überblick über BSI '''Grundschutz++''' und navigiert durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.''		}}{{SHORTDESC:Grundschutz++ Überblick und Anleitung}}
			{{DISPLAYTITLE:Grundschutz++ Einführung und Aufbau}}
			''Dieser Artikel bietet einen schrittweisen Überblick über BSI '''Grundschutz++''' und navigiert durch relevante Artikel des ISMS-Ratgeber-Wikis sowie BSI-Quellen. Es ersetzt keine Originaldokumente.''

	== Einführung in Grundschutz++ ==		== Einführung in Grundschutz++ ==

Dirk: Dirk verschob die Seite Grundschutz++ Einführung und Aufbau nach Grundschutz:Einführung und Aufbau

2026-04-30T19:19:42Z

Dirk verschob die Seite Grundschutz++ Einführung und Aufbau nach Grundschutz:Einführung und Aufbau

← Nächstältere Version	Version vom 30. April 2026, 21:19 Uhr
(kein Unterschied)

Dirk am 26. April 2026 um 10:45 Uhr

2026-04-26T10:45:46Z

← Nächstältere Version		Version vom 26. April 2026, 12:45 Uhr
Zeile 9:		Zeile 9:
	''Der aktuelle Stand von Grundschutz++ ist bisher nur sehr eingeschränkt praktisch anwendbar, da einige wesentliche Definitionen und Teile der Methodik noch fehlen. Dazu gehören beispielsweise die Nutzung von Kennzahlen, Blaupausen, Stufen, Schutzbedarf vs. Schutzniveau und die Modellierung.''		''Der aktuelle Stand von Grundschutz++ ist bisher nur sehr eingeschränkt praktisch anwendbar, da einige wesentliche Definitionen und Teile der Methodik noch fehlen. Dazu gehören beispielsweise die Nutzung von Kennzahlen, Blaupausen, Stufen, Schutzbedarf vs. Schutzniveau und die Modellierung.''

	''Der Anforderungskatalog liegt zwar im OSCAL~~- und Excel~~-Format vor, ist ohne eine abgeschlossene und nachvollziehbare Methodik aber nicht sinnvoll anwendbar.''		''Der Anforderungskatalog liegt zwar im OSCAL-Format vor, ist ohne eine abgeschlossene und nachvollziehbare Methodik aber nicht sinnvoll anwendbar.''
	</blockquote>		</blockquote>
	=== Wesentliche Neuerungen===		=== Wesentliche Neuerungen===
Zeile 26:		Zeile 26:
	''Hinweis'': Details zur finalen Struktur werden schrittweise im Jahr 2026 veröffentlicht. Unternehmen sollten sich frühzeitig mit den geplanten Schnittstellen (z.B. für Security-Tools) vertraut machen.		''Hinweis'': Details zur finalen Struktur werden schrittweise im Jahr 2026 veröffentlicht. Unternehmen sollten sich frühzeitig mit den geplanten Schnittstellen (z.B. für Security-Tools) vertraut machen.

	Offizieller '''Starttermin''' für den Grundschutz++ war der '''1.1.2026'''. Danach ist allerdings eine längere Übergangsphase (bis 2029) geplant, in der beide Standards parallel genutzt werden können, so wie bei der letzten Modernisierung auch. Da jedoch zu erwarten ist, dass eine automatisierte Migration auch diesmal nicht oder nur eingeschränkt möglich sein wird, sollte speziell in größeren Verbünden rechtzeitig begonnen werden! Der jeweils aktuellen Grundschutz++ Katalog wird auf [https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek GitHub] veröffentlicht.		Offizieller '''Starttermin''' für den Grundschutz++ war der '''1.1.2026'''. Danach ist allerdings eine längere Übergangsphase (bis 2029/30) geplant, in der beide Standards parallel genutzt werden können, so wie bei der letzten Modernisierung auch. Da jedoch zu erwarten ist, dass eine automatisierte Migration auch diesmal nicht oder nur eingeschränkt möglich sein wird, sollte speziell in größeren Verbünden rechtzeitig begonnen werden! Der jeweils aktuellen Grundschutz++ Katalog wird auf [https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek GitHub] veröffentlicht.
	=== Bedeutung von OSCAL im Grundschutz++ ===		=== Bedeutung von OSCAL im Grundschutz++ ===
	Das zugrundeliegende Format für Grundschutz++ ist [[OSCAL]].		Das zugrundeliegende Format für Grundschutz++ ist [[OSCAL]].
Zeile 44:		Zeile 44:
	* Das alle Anforderungen automatisiert erfüllt und dokumentiert werden (viele Anforderungen sind nach wie vor organisatorische Anforderungen die nur von Menschen durch Erstellung und Beachtung entsprechenden Regelungen erfüllt werden können).		* Das alle Anforderungen automatisiert erfüllt und dokumentiert werden (viele Anforderungen sind nach wie vor organisatorische Anforderungen die nur von Menschen durch Erstellung und Beachtung entsprechenden Regelungen erfüllt werden können).
	* Das überhaupt irgendwelche Anforderungen automatisiert erfüllt und dokumentiert werden (Hierzu müssten die Systeme an ein ISMS-Tool angebunden sein und diese über entsprechende Schnittstellen mit Informationen bedienen). Sowohl die Tools als auch die Schnittstellen werden absehbar nicht vom Himmel fallen.		* Das überhaupt irgendwelche Anforderungen automatisiert erfüllt und dokumentiert werden (Hierzu müssten die Systeme an ein ISMS-Tool angebunden sein und diese über entsprechende Schnittstellen mit Informationen bedienen). Sowohl die Tools als auch die Schnittstellen werden absehbar nicht vom Himmel fallen.
			Für die lesbare Darstellung des OSCAL Grundschutz++-Katalogs steht eine lokaler [https://github.com/bsi-community/Stand-der-Technik-Viewer Web-Viewer auf GitHub] zur Verfügung.

	===Satzschablonen===		===Satzschablonen===
	[[Datei:Praktiken.png\|alternativtext=Praktiken\|mini\|150x150px\|Praktiken]]		[[Datei:Praktiken.png\|alternativtext=Praktiken\|mini\|150x150px\|Praktiken]]
	Anforderungen werden im Grundschutz++ mit Satzschablonen erstellt, die wie folgt aussehen:<blockquote><big>'''<span style="color:green">{Praktik} [für {Zielobjektkategorie}]</span> <span style="color:red">{MODALVERB}</span> <span style="color:blue"><~~Ergebnis~~></span> <span style="color:purple">{Handlungswort}</span>''' ''<span style="color:grey">(TAGs) (Hinweise)</span>''</big></blockquote>		Anforderungen werden im Grundschutz++ mit Satzschablonen erstellt, die wie folgt aussehen:<blockquote><big>'''<span style="color:green">{Praktik} [für {Zielobjektkategorie}]</span> <span style="color:red">{MODALVERB}</span> <span style="color:blue"><Ereignis></span> <span style="color:purple">{Handlungswort}</span>''' ''<span style="color:grey">(TAGs) (Hinweise)</span>''</big></blockquote>
	'''Praktik''': Beschreibt jeweils ein Themenfeld der Informationssicherheit (z.B. Berechtigungsmanagement, Konfiguration, Personal, Monitoring) und bündelt alle dazugehörigen Anforderungen an Organisation, Prozesse und Technik in einem Paket. Sie ersetzt damit die frühere Verteilung ähnlicher Anforderungen über viele einzelne Bausteine und sorgt dafür, dass ein Thema an einer Stelle konsistent beschrieben wird. [https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/blob/main/Dokumentation/namespaces/practices.csv Liste der gültigen Praktiken.]		'''Praktik''': Beschreibt jeweils ein Themenfeld der Informationssicherheit (z.B. Berechtigungsmanagement, Konfiguration, Personal, Monitoring) und bündelt alle dazugehörigen Anforderungen an Organisation, Prozesse und Technik in einem Paket. Sie ersetzt damit die frühere Verteilung ähnlicher Anforderungen über viele einzelne Bausteine und sorgt dafür, dass ein Thema an einer Stelle konsistent beschrieben wird. [https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/blob/main/Dokumentation/namespaces/practices.csv Liste der gültigen Praktiken.]
	[[Datei:Zielobjektkategorien.png\|alternativtext=Zielobjektkategorien\|mini\|428x428px\|Zielobjektkategorien]]		[[Datei:Zielobjektkategorien.png\|alternativtext=Zielobjektkategorien\|mini\|428x428px\|Zielobjektkategorien]]
Zeile 131:		Zeile 133:
	==Was bleibt erhalten?==		==Was bleibt erhalten?==
	===Standards und Vorgehen===		===Standards und Vorgehen===
	Trotz eines deutlich anderen Formats und einer anderen Gruppierung der Anforderungen bleibt das grundsätzliche Vorgehen weitgehend ~~gleich~~.		Trotz eines deutlich anderen Formats und einer anderen Gruppierung der Anforderungen bleibt das grundsätzliche Vorgehen weitgehend vergleichbar.

			D.h. die Standards 200-1 bis 200-4 sollen erst einmal weiter Verwendung finden. Die bisher üblichen Arbeitsschritte werden nach der Methodik zum Grundschutz++ prizipiell vergleichbar umgesetzt in 5 klarer formulierten Schritten:

			# Prozessschritt 1 – Erhebung und Planung
			# Prozessschritt 2 – Anforderungsanalyse
			# Prozessschritt 3 – Realisierung
			# Prozessschritt 4 – Überwachung
			# Prozessschritt 5 – kontinuierliche Verbesserung

	~~D.h. die Standards 200-1 bis 200-4 sollen erst einmal weiter Verwendung finden. Die bisher üblichen Arbeitsschritte:~~		Parallel werden die Standards weiter entwickelt bzw. ersetzt.
	~~#Festlegung des Geltungsbereichs~~
	~~#Strukturanalyse~~
	~~#Schutzbedarfsfeststellung~~
	~~#Modellierung~~
	~~#IT-Grundschutzcheck (GSC)~~
	~~#Risikoanalyse~~
	~~bleiben grundsätzlich erhalten, ändern sich jedoch in der praktischen Anwendung und Priorität (insbesondere in der '''Modellierung''' und den '''Grundschutzchecks''').~~ Parallel ~~zur Einführung sollen~~ die Standards weiter entwickelt ~~werden~~.

	'''MUSS'''-Anforderungen sind weiterhin '''verpflichtend''' für eine Zertifizierung, sollen aber deutlich rediziert werden.		'''MUSS'''-Anforderungen sind weiterhin '''verpflichtend''' für eine Zertifizierung, sollen aber deutlich rediziert werden.
Zeile 348:		Zeile 351:

	== Migration bestehender Sicherheitskonzepte ==		== Migration bestehender Sicherheitskonzepte ==
	...		tbd...

	'''Weiterführende Informationen:'''		'''Weiterführende Informationen:'''
Zeile 399:		Zeile 402:
	*[[Grundschutz++ Migration\|'''Migrationsstrategie für den Umstieg von BSI IT-Grundschutz auf Grundschutz++''']]		*[[Grundschutz++ Migration\|'''Migrationsstrategie für den Umstieg von BSI IT-Grundschutz auf Grundschutz++''']]
	*[https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek Das aktuelle OSCAL-basierte Grundschutz++ Kompendium auf Github.]		*[https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek Das aktuelle OSCAL-basierte Grundschutz++ Kompendium auf Github.]
			*[https://github.com/bsi-community/Stand-der-Technik-Viewer Grundschutz++ Viewer zur Anzeige des OSCAL Grundschutz++ Katalogs]
	*[https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html BSI IT-Grundschutz]		*[https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html BSI IT-Grundschutz]
	*[https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/sonstiges/Methodik_Grundschutz_PlusPlus.html BSI Leitfaden zur Grundschutz++-Methodik (1.4.2026)]		*[https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/sonstiges/Methodik_Grundschutz_PlusPlus.html BSI Leitfaden zur Grundschutz++-Methodik (1.4.2026)]

Dirk am 24. April 2026 um 09:13 Uhr

2026-04-24T09:13:33Z

← Nächstältere Version		Version vom 24. April 2026, 11:13 Uhr
Zeile 87:		Zeile 87:
	===Priorisierung===		===Priorisierung===
	Alle Anforderungen werden einer Prioritätsstufe zugeordnet, um die Umsetzung effizient zu gestalten:		Alle Anforderungen werden einer Prioritätsstufe zugeordnet, um die Umsetzung effizient zu gestalten:
	*'''Stufe 0''': Zwingend (sofort) umzusetzende Anforderungen ~~zur Sicherstellung der ISO-Kompatibilität~~ (MUSS-Anforderungen).		*'''Stufe 0''': Zwingend (sofort) umzusetzende Anforderungen (MUSS-Anforderungen).
	Die Stufen 1-4 geben den Umsetzungsaufwand der Anforderungen wieder:		Die Stufen 1-4 geben den Umsetzungsaufwand der Anforderungen wieder:
	*'''Stufe 1''': Schnell und mit geringem Aufwand (~1 Tag) realisierbare Maßnahmen (QuickWin) / keine laufenden Aufwände.		*'''Stufe 1''': Schnell und mit geringem Aufwand (~1 Tag) realisierbare Maßnahmen (QuickWin) / keine laufenden Aufwände.
Zeile 94:		Zeile 94:
	*'''Stufe 4''': Höherer Umsetzungsaufwand, häufig in längerfristigen Projekten mit externen Experten.		*'''Stufe 4''': Höherer Umsetzungsaufwand, häufig in längerfristigen Projekten mit externen Experten.
	Die nächste Stufe sind optionale Anforderungen als Vorschläge bei erhöhtem Schutzbedarf.		Die nächste Stufe sind optionale Anforderungen als Vorschläge bei erhöhtem Schutzbedarf.
	*'''Stufe 5''': Umfassende/zusätzliche Anforderungen für höheren Schutzbedarf.		*'''Stufe 5''': Umfassende/zusätzliche Anforderungen für höheren Schutzbedarf oder Anforderung mit erheblichem Aufwand.
	Diese Einstufung ermöglicht eine schnelle Einschätzung des Umsetzungsaufwands und hilft bei der effizienten Ressourcenplanung.		Diese Einstufung ermöglicht eine schnelle Einschätzung des Umsetzungsaufwands und hilft bei der effizienten Ressourcenplanung.
	===Leistungskennzahlen===		===Leistungskennzahlen===

Dirk am 22. April 2026 um 10:46 Uhr

2026-04-22T10:46:24Z

@@ Zeile 1: / Zeile 1: @@
-[[Datei:Teamwork-2198961.png|alternativtext=Community Logo|rechts|200x200px]] {{#seo:
+[[Datei:Teamwork-2198961.png|alternativtext=Zahnrad|rechts|240x240px]]{{#seo:
 |title=Grundschutz++ Einführung und Anleitung
 |keywords=ISMS, Wiki, BSI Grundschutz++, IT-Grundschutz, BSI-Standard 200-2, Bausteine, OSCAL, JSON, Informationssicherheit, Risikomanagement, Anforderungen
@@ Zeile 110: / Zeile 110: @@
 *'''Der Erfüllungsgrad''' zeigt, welche Anforderungen bereits umgesetzt wurden.
 Die Leistungskennzahlen bieten damit eine fundierte Entscheidungsgrundlage für Organisationen, um ihren Sicherheitsstatus gezielt zu verbessern, wenn sie wie ursprünglich geplant eingeführt werden.
 ==Was bleibt erhalten?==
 ===Standards und Vorgehen===
@@ Zeile 329: / Zeile 348: @@
 == Migration bestehender Sicherheitskonzepte ==
-Im aktuellen "Leitfaden zur Methodik Grundschutz++" vom 1.4.2026 gibt es noch keine ausgearbeitete Migrationsbeschreibung vom bisherigen IT‑Grundschutz hin zu Grundschutz++; Migration wird nur als zukünftiges Thema erwähnt.
+...
 '''Weiterführende Informationen:'''

← Nächstältere Version		Version vom 6. Juni 2026, 10:43 Uhr
Zeile 1:		Zeile 1:
	[[Datei:Teamwork-2198961.png\|alternativtext=Zahnrad\|rechts\|~~240x240px~~]]{{#seo:		[[Datei:Teamwork-2198961.png\|alternativtext=Zahnrad\|rechts\|150x150px]]{{#seo:
	\|title=Grundschutz++ Einführung und Überblick		\|title=Grundschutz++ Einführung und Überblick
	\|keywords=ISMS, Wiki, BSI Grundschutz++, IT-Grundschutz, BSI-Standard 200-2, Bausteine, OSCAL, JSON, Informationssicherheit, Risikomanagement, Anforderungen		\|keywords=ISMS, Wiki, BSI Grundschutz++, IT-Grundschutz, BSI-Standard 200-2, Bausteine, OSCAL, JSON, Informationssicherheit, Risikomanagement, Anforderungen
Zeile 77:		Zeile 77:
	'''GOV.2.3''': '''<span style="color:green">Die Governance</span> <span style="color:red">MUSS</span>''' <span style="color:blue">für das ISMS erforderliche personelle, finanzielle und zeitliche Ressourcen</span> '''<span style="color:purple">zuweisen</span>.'''		'''GOV.2.3''': '''<span style="color:green">Die Governance</span> <span style="color:red">MUSS</span>''' <span style="color:blue">für das ISMS erforderliche personelle, finanzielle und zeitliche Ressourcen</span> '''<span style="color:purple">zuweisen</span>.'''

	'''GOV.4.4''': '''<span style="color:green">Die Governance</span> <span style="color:red">MUSS</span>''' <span style="color:blue">dem ISB das direkte und jederzeitige Vorspracherecht bei der Institutionsleitung</span> '''<span style="color:purple">ermöglichen</span>.'''</blockquote>Da dies übergreifende Anforderungen sind, ist hier ~~kein spezifisches Zielobjekt~~ benannt.		'''GOV.4.4''': '''<span style="color:green">Die Governance</span> <span style="color:red">MUSS</span>''' <span style="color:blue">dem ISB das direkte und jederzeitige Vorspracherecht bei der Institutionsleitung</span> '''<span style="color:purple">ermöglichen</span>.'''</blockquote>Da dies übergreifende Anforderungen sind, ist hier keine spezifische Zielobjektkategorie benannt.

	Einzelne Teilanforderungen können auch in anderen Praktiken beschrieben sein.		Einzelne Teilanforderungen können auch in anderen Praktiken beschrieben sein.
Zeile 114:		Zeile 114:
	*'''Der Erfüllungsgrad''' zeigt, welche Anforderungen bereits umgesetzt wurden.		*'''Der Erfüllungsgrad''' zeigt, welche Anforderungen bereits umgesetzt wurden.
	Die Leistungskennzahlen bieten damit eine fundierte Entscheidungsgrundlage für Organisationen, um ihren Sicherheitsstatus gezielt zu verbessern, wenn sie wie ursprünglich geplant eingeführt werden.		Die Leistungskennzahlen bieten damit eine fundierte Entscheidungsgrundlage für Organisationen, um ihren Sicherheitsstatus gezielt zu verbessern, wenn sie wie ursprünglich geplant eingeführt werden.

			Der ursprüngliche Ansatz sah vor, dass Schwellwerte den Reifegrad und die Zertifizierbarkeit von Informationsverbünden dokumentieren sollten.

	=== Gestaltungsentscheidungen (Parameter) ===		=== Gestaltungsentscheidungen (Parameter) ===
Zeile 353:		Zeile 355:

	== Migration bestehender Sicherheitskonzepte ==		== Migration bestehender Sicherheitskonzepte ==
	~~tbd.~~..		Bisher gibt es noch keine offizielle MIgrationsstrategie von Grundschutz auf Grundschutz++. Es gibt erste KI-basierte Ansätze aus der Community, jedoch noch keine allgemein anerkannte Lösung.

	'''Weiterführende Informationen:'''		'''Weiterführende Informationen:'''
Zeile 365:		Zeile 367:

	=== Unklare Umsetzung einiger Ziele ===		=== Unklare Umsetzung einiger Ziele ===
	Einige der im Grundschutz++ adressierten Ziele und Neuerungen sind nach wie vor nicht ausreichend konkretisiert. Besonders die Einführung von Leistungskennzahlen und die Priorisierung der Anforderungen (Stufen) werfen noch ~~viele~~ Fragen auf. Die konkrete Bedeutung, Messung und praktische Umsetzung dieser Leistungskennzahlen werden von verschiedenen BSI-Vertretern unterschiedlich dargestellt. Auch die Stufenmodelle werden teils als Priorisierung, als Entwicklungsstufen oder als reiner Umsetzungaufwand der Anforderungen definiert und sind in ihrer praktischen Anwendung noch nicht abschließend geklärt. Das führt zu Unsicherheiten, wie diese neuen Instrumente im einem ISMS umgesetzt und nachgewiesen werden sollen.		Einige der im Grundschutz++ adressierten Ziele und Neuerungen sind nach wie vor nicht ausreichend konkretisiert. Besonders die Einführung von Leistungskennzahlen und die Priorisierung der Anforderungen (Stufen) werfen noch Fragen auf. Die konkrete Bedeutung, Messung und praktische Umsetzung dieser Leistungskennzahlen werden von verschiedenen BSI-Vertretern unterschiedlich dargestellt. Auch die Stufenmodelle werden teils als Priorisierung, als Entwicklungsstufen oder als reiner Umsetzungaufwand der Anforderungen definiert und sind in ihrer praktischen Anwendung noch nicht abschließend geklärt. Das führt zu Unsicherheiten, wie diese neuen Instrumente im einem ISMS umgesetzt und nachgewiesen werden sollen.

	=== Geringer Mehrwert im Vergleich zu ISO 27001 ===		=== Geringer Mehrwert im Vergleich zu ISO 27001 ===
Zeile 371:		Zeile 373:

	=== Zu ambitionierter Zeitplan ===		=== Zu ambitionierter Zeitplan ===
	Der Grundschutz++ sollte ab dem 1.1.2026 grundsätzlich gültig und anwedbar sein, wobei eine Übergangsphase bis 2029 vorgesehen war. Bisher ist nur ~~ein erster Entwurf~~ veröffentlicht. Angesichts der Vielzahl an noch offenen Fragen, der fehlenden Migrationsstrategie und der Komplexität der Änderungen erscheint der Zeitplan sehr ambitioniert. Ausarbeitung und Dokumentation liegen bisher nur als Entwurf vor. Eine Pilotierung und Einführung 2026 und eine Übergangsphase bis 2029 ist vorgesehen. Die Gefahr besteht, dass größere Organisationen unter Zeitdruck unzureichend vorbereitet in die neue Methodik wechseln und mit variablen Definitionen und Zielen arbeiten müssen, was die Akzeptanz und Qualität der Umsetzung gefährdet.		Der Grundschutz++ sollte ab dem 1.1.2026 grundsätzlich gültig und anwedbar sein, wobei eine Übergangsphase bis 2029 vorgesehen war. Bisher ist nur eine unvollständige erste Version eines Leitfadens zur Methodik veröffentlicht. Angesichts der Vielzahl an noch offenen Fragen, der fehlenden Migrationsstrategie und der Komplexität der Änderungen erscheint der Zeitplan sehr ambitioniert. Ausarbeitung und Dokumentation liegen bisher größtenteils nur als Entwurf vor. Eine Pilotierung und Einführung 2026 und eine Übergangsphase bis 2029 ist vorgesehen. Die Gefahr besteht, dass größere Organisationen unter Zeitdruck unzureichend vorbereitet in die neue Methodik wechseln und mit variablen Definitionen und Zielen arbeiten müssen, was die Akzeptanz und Qualität der Umsetzung gefährdet.

	=== Zunehmende (Sicherheits-)Lücke zwischen IT-Grundschutz und Grundschutz++ ===		=== Zunehmende (Sicherheits-)Lücke zwischen IT-Grundschutz und Grundschutz++ ===
Zeile 380:		Zeile 382:

	=== Überholte Satzschablonen ===		=== Überholte Satzschablonen ===
	Satzschablonen waren vor OSCAL ein erster Versuch, Anforderungen durch eine feste Syntax maschinenlesbar vorzubereiten. OSCAL macht sie jedoch überflüssig, da Praktiken und Zielobjektkategorien flexibel in Metadaten (props, groups, links) abgebildet und gefiltert werden können. So lassen sich Anforderungstexte natürlich formulieren. Das verbessert die Lesbarkeit für Mitarbeitende und Tools gleichermaßen. GS++ verwendet dennoch weiterhin diese sperrige Satzschablonen-Syntax für Anforderungen, was umfangreiche Erläuterungstexte zu den Anforderungen erfordert.		Satzschablonen waren vor OSCAL ein erster Versuch, Anforderungen durch eine feste Syntax maschinenlesbar vorzubereiten. OSCAL macht sie jedoch überflüssig, da Praktiken und Zielobjektkategorien flexibel in Metadaten (props, groups, links) abgebildet und gefiltert werden können. So lassen sich Anforderungstexte natürlich-sprachlich formulieren. Das verbessert die Lesbarkeit für Mitarbeitende und Tools gleichermaßen. GS++ verwendet dennoch weiterhin diese sperrige Satzschablonen-Syntax für Anforderungen, was umfangreiche Erläuterungstexte zu den Anforderungen erfordert.

	== Fazit ==		== Fazit ==
Zeile 391:		Zeile 393:
	Stichtag für die Einführung von Grundschutz++ war der '''1.1.2026'''. Das Datum wurde vom BSI in offiziellen Ankündigungen, Präsentationen und Fachveranstaltungen als verbindlicher Startpunkt kommuniziert. Ab diesem Zeitpunkt sollte das neue, digitale und prozessorientierte Regelwerk den bisherigen IT-Grundschutz ablösen. Bisher fehlt es jedoch an vielen Stellen an klaren Definitionen und konkreten Vorgaben zur Methodik.		Stichtag für die Einführung von Grundschutz++ war der '''1.1.2026'''. Das Datum wurde vom BSI in offiziellen Ankündigungen, Präsentationen und Fachveranstaltungen als verbindlicher Startpunkt kommuniziert. Ab diesem Zeitpunkt sollte das neue, digitale und prozessorientierte Regelwerk den bisherigen IT-Grundschutz ablösen. Bisher fehlt es jedoch an vielen Stellen an klaren Definitionen und konkreten Vorgaben zur Methodik.

	Auch wenn abzuwarten bleibt, wann praxistaugliche Methoden verfügbar sind und wie lange die Übergangsfristen für die Umstellung sein werden (aktuelle Planung bis 2029). Abzusehen ist jedoch, dass der Aufwand und der Zeitdruck, insbesondere für größere und zertifizierte Verbünde, erheblich sein werden. Auch wenn es aktuell noch keine konkreten Beschreibungen zur Methodik und Modellierung gibt, können und sollten sich Anwender bereits jetzt vorbereiten. Dazu können die folgenden Maßnahmen dienen:		Auch wenn abzuwarten bleibt, wann praxistaugliche Methoden verfügbar sind und wie lange die Übergangsfristen für die Umstellung sein werden (aktuelle Planung bis Ende 2029). Abzusehen ist jedoch, dass der Aufwand und der Zeitdruck, insbesondere für größere und zertifizierte Verbünde, erheblich sein werden. Auch wenn es aktuell noch keine konkreten Beschreibungen zur Methodik und Modellierung gibt, können und sollten sich Anwender bereits jetzt vorbereiten. Dazu können die folgenden Maßnahmen dienen:
	*Laufende Information über den aktuellen Stand (Internetseiten des BSI, Vorträge und Veröffentlichungen).		*Laufende Information über den aktuellen Stand (Internetseiten des BSI, Vorträge und Veröffentlichungen).
	*Konsolidierung der bestehenden Verbünde (Reduzierung der Komplexität, konsistente Dokumentation der Gruppierung und Modellierung).		*Konsolidierung der bestehenden Verbünde (Reduzierung der Komplexität, konsistente Dokumentation der Gruppierung und Modellierung).
	**Ein guter Tip ist es, in aktuellen GSC jede Teilanforderung (jedes Modalverb wie MUSS oder SOLLTE) in der Umsetzung einzeln zu dokumentieren, da diese zukünftig eigenständige Anforderungen darstellen und so eine Übernahme leichter werden könnte.		**Ein guter Tip ist es, in aktuellen GSC jede Teilanforderung (jedes Modalverb wie MUSS oder SOLLTE) in der Umsetzung einzeln in jeweils einem Satz/Absatz zu dokumentieren, da diese zukünftig eigenständige Anforderungen darstellen und so eine Übernahme leichter werden könnte.
	*Kontakt zu Toolherstellern aufnehmen und eine zügige Umsetzung in den verwendeten ISMS-Tools einfordern.		*Kontakt zu Toolherstellern aufnehmen und eine zügige Umsetzung in den verwendeten ISMS-Tools einfordern.
	*Frühzeitige Planung der Bereitstellung entsprechender personeller Ressourcen für die Umstellung auf Grundschutz++ ab ~~Mitte 2026~~.		*Frühzeitige Planung der Bereitstellung entsprechender personeller Ressourcen für die Umstellung auf Grundschutz++ ab Anfang 2027.
	*Gegebenenfalls frühzeitige Reservierung externer (personeller) Ressourcen zur Unterstützung.		*Gegebenenfalls frühzeitige Reservierung externer (personeller) Ressourcen zur Unterstützung.
	*Es muss eine klare interne Kommunikation über die bevorstehenden, durch die Umstellung bedingten erhöhten Aufwände (Schulungen, neue (Erst-)GSCs und Anpassung der Dokumentation) geben, damit Mitarbeitende und Verantwortliche wissen, was auf sie zukommt.		*Es muss eine klare interne Kommunikation über die bevorstehenden, durch die Umstellung bedingten erhöhten Aufwände (Schulungen, neue (Erst-)GSCs und Anpassung der Dokumentation) geben, damit Mitarbeitende und Verantwortliche wissen, was auf sie zukommt.