BSI Grundschutz++ 2026/2030: was sich für KMU ändert (OSCAL, JSON, ISMS-Tools)

Inhalt in Kürze

• Grundschutz++ wird 2026 eingeführt — das BSI veröffentlicht die Methodik am 27. Oktober 2026 auf der it-sa, zertifizierbar ist Grundschutz++ ab 1. Januar 2027.
• OSCAL/JSON-basiert: Anforderungen sind maschinenlesbar, ISMS-Tools können sie automatisiert tracken.
• Parallelphase bis 30. November 2031 — so lange bleibt der klassische IT-Grundschutz (Edition 2023) zertifizierbar; nach Grundschutz++ kann ab 1. Januar 2027 zertifiziert werden.
• Migrations-Aufwand für bestehende Anwender: rechnen Sie mit 30–40 % manuellem Anpassungsanteil — vollautomatische Migration ist nicht möglich.

Stand: Mai 2026 · Autor: Jens Hagel · Lesezeit: 8 Minuten

Wer 2026 BSI-IT-Grundschutz im Einsatz hat oder neu einführen will, hat seit Januar einen zweiten Standard auf dem Tisch: Grundschutz++. Es ist nicht nur ein Versions-Update, sondern eine fundamentale strukturelle Reform. Dieser Artikel erklärt, was sich ändert, wie der Migrations-Pfad realistisch aussieht und was KMU jetzt schon vorbereiten sollten.

Warum Grundschutz++ kommt

Das klassische BSI-IT-Grundschutz-Kompendium ist ein PDF mit 100+ Bausteinen, Maßnahmenkatalogen und Querverweisen. Es funktioniert — aber:

• Nicht maschinenlesbar: Tools mussten bisher die PDF-Inhalte selbst parsen oder selbst nachpflegen. Inkonsistenzen waren systemimmanent.
• Updates dauern: Eine Edition pro Jahr mit kompletter Neuauflage. Korrekturen waren träge.
• Kompliziert für KMU: Die ältere Struktur galt als bürokratisch und schwer einsteigbar.
• Keine Interoperabilität: Nicht abgleichbar mit ISO 27001, NIST CSF, NIS2 — jedes Mapping war manuell.

Die Antwort: OSCAL als Datenformat, JSON als Output, „Praktiken” statt „Bausteine”, agilere Update-Zyklen, KMU-Schnellstart-Pfad. Das ist Grundschutz++.

OSCAL-Modellierung erklärt

OSCAL — Open Security Controls Assessment Language — ist ein vom NIST entwickeltes XML/JSON-Standardformat für Sicherheits-Controls. Die Idee: Compliance-Anforderungen aus verschiedenen Standards (NIST SP 800-53, FedRAMP, ISO 27001, jetzt auch BSI Grundschutz++) in einem einheitlichen, maschinenlesbaren Format austauschen.

Ein OSCAL-Dokument für ein BSI-Praktikum sieht (vereinfacht) so aus:

{
  "control": {
    "id": "ORP.1.A1",
    "title": "Sicherheitsleitlinie der Institution",
    "props": [
      {"name": "category", "value": "ORP — Organisation und Personal"},
      {"name": "requirement-level", "value": "Basis"}
    ],
    "parts": [
      {"name": "statement", "prose": "Die Leitung muss eine Sicherheitsleitlinie verabschieden ..."}
    ]
  }
}

Tools, die OSCAL nativ verstehen (Hugo, verinice ab 2027-Beta, US-Tools wie Tugboat Logic), können diese JSON-Dokumente direkt verarbeiten — Maßnahmen verfolgen, Status pro Control automatisch berechnen, Compliance-Berichte ohne manuelles Mapping erzeugen.

Migrations-Pfad für bestehende Tools

Stand der wichtigsten DACH-ISMS-Tools im Mai 2026:

Wer ein BSI-zentriertes Tool nutzt, sollte den Roadmap-Stand zur Grundschutz++-Migration im Hersteller-Gespräch klären — bevor neue Verträge unterschrieben werden.

Was KMU jetzt schon vorbereiten sollten

Für KMU mit aktivem ISMS (50–250 MA) ist 2026 die Zeit für die Vorbereitung — nicht für die Migration. Vier konkrete Schritte:

1. Standortbestimmung: Sind Sie aktuell auf BSI Edition 2023, ISO 27001 oder einem hybriden Modell? Bei reinem ISO-Setup ist Grundschutz++ optional. Auch KRITIS-Betreiber müssen nach BSIG Maßnahmen nach dem Stand der Technik umsetzen, aber nicht zwingend IT-Grundschutz anwenden — Pflicht wird er erst, wenn eine Vorgabe ihn ausdrücklich verlangt, etwa ein öffentlicher Auftraggeber.
2. Tool-Audit: Klären Sie mit Ihrem ISMS-Tool-Hersteller den Grundschutz++-Roadmap-Stand. Tools ohne klare Roadmap sind ein Risiko.
3. Betriebsverantwortung klären: Wer setzt die technischen Bausteine tatsächlich um und dokumentiert sie? Ohne eigenes IT-Team läuft das über einen Dienstleister, der die Maßnahmen betreibt und nachweisbar hält — die Verantwortung bleibt bei Ihnen, die Ausführung nicht.
4. Hybrid-Strategie: Beginnen Sie 2027 mit Grundschutz++ für neue Bausteine (z. B. KI-Anwendungen, Cloud-Migration), während die alten BSI-Bausteine bestehen bleiben. So lernen Sie das neue Modell ohne Big-Bang-Risiko.
5. Schulung: Mindestens eine Person im Sicherheitsteam sollte 2027 eine Grundschutz++-Fortbildung machen. BSI bietet ab 2027 Webinare, kommerzielle Anbieter ziehen nach.

Hugo-Roadmap zur Grundschutz++-Konformität

Hugo plant die Native-Grundschutz++-Konformität in drei Schritten:

• 2026 Q3: OSCAL-Import/Export für Edition 2023 Bausteine — Brücken-Funktion zu Grundschutz++.
• 2027 Q1: Erste Grundschutz++-Praktiken nativ in der Audit-Engine — Bereiche ORP, OPS, CON.
• 2027 Q3: Vollständige Grundschutz++-Conformance — alle Kapitel, OSCAL-Output, Diff-View zwischen alter und neuer Modellierung.

Das macht Hugo Stand Mai 2026 zu einer der ersten DACH-DSGVO-Plattformen mit klarem Grundschutz++-Pfad.

Aus der Praxis

Es trifft auch die kleineren Unternehmen, die nicht direkt unter BSI-Pflicht fallen – aber aufgrund der Lieferkette ein wichtiger Bestandteil sind. Wer einem KRITIS-Konzern zuliefert, bekommt die Sicherheits-Anforderungen 1:1 weitergereicht — und muss auch über Grundschutz++ sprechen können.

Nils OehmichenDatenschutzberater bei frag.hugo

Vergleich Edition 2023 vs Grundschutz++

Quelle: BSI Stand-der-Technik-Bibliothek auf GitHub · ISMS-Ratgeber Wiki Grundschutz++ · HiSolutions Research zu Grundschutz++ · comconsult Kompendium-Preview.

Verhältnis zu NIS2 und VS-NfD

Grundschutz++ ist die strukturelle Basis für mehrere parallele Anforderungen:

• NIS2-Umsetzungsgesetz: Operative Maßnahmen aus Grundschutz++-Praktiken werden direkt für NIS2-Konformität genutzt. Mehr in NIS2-Schnellcheck.
• VS-NfD CON.11.1: Eine eigene Praktik für Geheimschutz-Anforderungen enthält der Grundschutz++-Anwenderkatalog bislang nicht; VS-NfD wird dort nur als Beispiel für Sicherheitsziele genannt. Siehe VS-NfD-Audit-Artikel.
• B3S-Branchenanforderungen: Krankenhaus, Wasser, Energie — alle B3S-Standards werden 2027–2029 auf Grundschutz++-Praktiken umgemappt.

Wer also 2027 in einer dieser Welten lebt, wird automatisch in Grundschutz++ landen.

Weiterführende Hilfen

• BSI Grundschutz++ GitHub-Repo: BSI-Bund/Stand-der-Technik-Bibliothek — die offizielle Quelle für JSON-Praktiken.
• ISMS-Ratgeber Wiki: Grundschutz++ Migration — strukturierte Anleitung.
• HiSolutions Research: Grundschutz++ Mehr Resilienz — strategische Bewertung.
• comconsult-Beitrag zur GitHub-Veröffentlichung.

Fazit / Ihr nächster Schritt

Grundschutz++ ist die größte BSI-Reform seit dem Standard-Setup. Wer ein ISMS hat, sollte 2026 die Tool-Roadmap klären, 2027 hybrid testen und 2028 migrieren. Wer neu aufbaut, startet direkt in Grundschutz++ — alles andere ist verschwendete Lebenszeit.

Häufige Fragen (FAQ)

Was ist Grundschutz++?

Grundschutz++ ist die digitale Reform des BSI IT-Grundschutz-Kompendiums. Das BSI veröffentlicht die Methodik am 27. Oktober 2026, ab 1. Januar 2027 ist Grundschutz++ zertifizierbar; der klassische IT-Grundschutz (Edition 2023) bleibt bis 30. November 2031 zertifizierbar. Kernunterschied: Inhalte sind in OSCAL-konformem JSON-Format maschinenlesbar — Tools können Anforderungen automatisiert lesen, Maßnahmen tracken und Compliance-Berichte generieren.

Was ist OSCAL?

OSCAL steht für Open Security Controls Assessment Language. Es ist ein NIST-getragenes XML/JSON-Standardformat für Sicherheits-Controls und Compliance-Daten. Tools, die OSCAL sprechen, können Standards wie NIST 800-53, ISO 27001 und jetzt auch BSI Grundschutz++ in einem einheitlichen Format austauschen — die Voraussetzung für interoperable ISMS-Tools.

Wann muss ich von Grundschutz auf Grundschutz++ migrieren?

Es gibt keine harte Migrationsfrist 2026. Beide Standards laufen parallel: Ab 1. Januar 2027 ist Grundschutz++ zertifizierbar, die Zertifizierbarkeit des klassischen IT-Grundschutzes endet laut BSI am 30. November 2031. KMU mit aktivem ISMS sollten 2027 mit der Vorbereitung beginnen, 2028 die Migration starten, um 2029 fertig zu sein. Wer 2026 ein neues ISMS aufbaut, kann direkt in Grundschutz++ einsteigen.

Wird die Migration automatisch durch das ISMS-Tool gemacht?

Nein. Eine vollständig automatische Migration ist nicht möglich, weil sich die Struktur grundlegend ändert (Bausteine → Praktiken). Tools wie verinice, opus i und Hugo bieten Migrations-Wizards, die einen Großteil maschinell mappen, aber rund 30–40 % bleibt manuelle Anpassung. Frühzeitige Vorbereitung ist Pflicht.

Brauche ich für Grundschutz++ neue Tools?

Tools, die OSCAL nicht unterstützen, sind langfristig raus. Klassische BSI-Tools (verinice, opus i, HiScout) haben Roadmaps für 2027–2029. DACH-SaaS wie Hugo plant native Grundschutz++-Konformität in der Roadmap. US-Compliance-Tools (Drata, Vanta) interessieren sich kaum für BSI — wer Grundschutz++ braucht, sollte auf DACH-Tools setzen.

Stand der Vergleichsdaten: Reform-Stand verifiziert am 8. Mai 2026 über BSI Stand-der-Technik-Bibliothek auf GitHub, ISMS-Ratgeber-Wiki Grundschutz++, HiSolutions Research-Artikel März 2026 und comconsult-Analyse. Die Tool-Roadmap-Daten basieren auf öffentlich kommunizierten Hersteller-Plänen Stand Mai 2026.