Seit fast 30 Jahren ist der BSI IT-Grundschutz das Fundament der Informationssicherheit in Deutschland und bietet ein umfangreiches Instrumentarium zur Absicherung von Prozessen nach dem Stand der Technik. Doch angesichts steigender Komplexität und schnellerer Innovationszyklen stellt der Grundschutz++ (GS++) nun einen konsequenten Evolutionsschritt dar. Er markiert den Übergang von statischer Dokumentation hin zu einem agilen, maschinenlesbaren und automatisierten Sicherheitsmanagement.

In diesem Artikel werden wir in die Grundlagen des neuen Leitfadens des BSI eintauchen, dessen vollständige PDF-Version hier angesehen oder heruntergeladen werden kann. Unten geben wir einen ersten Einblick in die unten dargestellte Methodik.

Der Kontext: Über die 200-x-Serie hinaus

Um GS++ zu verstehen, muss man die Basis betrachten, auf der er aufbaut:

• BSI-Standard 200-1 definierte die allgemeinen Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS).
• BSI-Standard 200-2 lieferte die klassische Methodik mit den drei Einstiegswegen: Basis-, Standard- und Kern-Absicherung.
• BSI-Standard 200-3 vereinfachte das Risikomanagement auf Basis der im Kompendium beschriebenen elementaren Gefährdungen.
• Das IT-Grundschutz-Kompendium diente als modulare Bibliothek von Bausteinen zur Modellierung eines Sicherheitskonzepts.

Während diese Standards effektiv waren, erforderte die Modellierung oft einen hohen manuellen Dokumentationsaufwand. GS++ adressiert diese Herausforderung durch eine strukturiertere, systembasierte Erfassung von Anforderungen und Umsetzungen.

Der 5-Schritte-Prozess: Ein neuer Lebenszyklus

Im Gegensatz zur traditionellen Methodik strukturiert GS++ das ISMS in fünf klare Prozessschritte, die direkt dem klassischen PDCA-Zyklus (Plan-Do-Check-Act) zugeordnet sind:

• Erhebung & Planung (Plan): Festlegung des strategischen Rahmens, des Geltungsbereichs und der Sicherheitsleitlinie.
• Anforderungsanalyse (Plan): Definition des Informationsverbunds und Erstellung eines maßgeschneiderten Anforderungspakets.
• Realisierung (Do): Systematische Umsetzung und Dokumentation der Sicherheitsanforderungen.
• Überwachung (Check): Regelmäßige Überprüfung der Wirksamkeit durch Audits und Monitoring-Tools.
• Kontinuierliche Verbesserung (Act): Nutzung der Erkenntnisse zur Optimierung des ISMS und zur Reaktion auf neue Bedrohungen.

Die Kerninnovation: Zielobjektkategorien & Vererbung

Einer der bedeutendsten Wechsel in GS++ ist der Übergang von der manuellen Modellierung hin zur Asset-Modellierung mittels Zielobjektkategorien.

In der traditionellen Methodik nach 200-2 ordneten CISOs Bausteine manuell Gruppen von Systemen zu. In GS++ werden Assets standardisierten Kategorien zugewiesen, die einer hierarchischen Vererbung folgen. Anforderungen werden einmalig für eine übergeordnete Zielobjektkategorie definiert und automatisch an alle nachgeordneten Kategorien und verknüpften Assets weitergegeben. Dies reduziert Redundanzen massiv und stellt sicher, dass übergreifende Vorgaben konsistent über komplexe IT-Landschaften hinweg angewendet werden.

Automatisierung und Maschinenlesbarkeit (OSCAL)

Für moderne Sicherheitsverantwortliche ist der Fokus auf Automatisierung das Highlight von GS++. Durch die Nutzung des OSCAL-Standards (Open Security Controls Assessment Language) werden Anforderungskataloge maschinenlesbar. Dies ermöglicht es Institutionen:

• Das ISMS nahtlos in bestehende Management- und Überwachungssysteme zu integrieren.
• Weg von „statischen Textdokumenten“ hin zu einem digitalen Abbild ihres Sicherheitsstatus zu kommen.
• Blaupausen (über den „Technik-Layer“) zu nutzen, um die Bereitstellung von Anforderungspaketen zu standardisieren und zu beschleunigen.

Integriertes Risikomanagement

Im traditionellen Ansatz (200-3) war eine explizite Risikoanalyse oft ein ergänzender Schritt für hohen Schutzbedarf. GS++ integriert die Risikobetrachtung tiefer in den Zyklus. Eine Risikobetrachtung ist nun explizit gefordert, wenn das Sicherheitsniveau angepasst wird oder für Assets, für die im GS++-Katalog noch keine Anforderungen existieren. Dies stellt sicher, dass jede Anforderung direkt auf die Mitigation eines identifizierten Risikos einzahlt.

Grundschutz++ ist nicht bloß eine neue Version des Kompendiums; es ist ein Umdenken in der Methodik. Wir sind gespannt, welche Konkretisierungen und Standards in den kommenden Monaten dazu veröffentlicht werden.

Für Sie bedeutet das zukünftig: gesteigerte Effizienz durch Vererbung, bessere Skalierbarkeit für große Organisationen und die Fähigkeit, Compliance-Prüfungen endlich zu automatisieren. Die Methodik ist zudem so konzipiert, dass bestehende IT-Grundschutz-Konzepte in dieses neue, agile Framework migriert werden können. Hierbei unterstützen wir Sie gern.