Seit über zwei Jahren feilt das BSI nun schon an der neuen Version des IT-Grundschutzes. Bislang gab es aus der Praxis viel Kritik, dass entscheidende Fragen zur Umsetzung unbeantwortet blieben – etwa, ab wann nach dem neuen Standard zertifiziert werden kann und wie es mit den Personenzertifizierungen weitergeht.

Diese Unklarheiten hat das BSI nun auf seiner Webseite beseitigt: Am 1. November startet die Fortbildung für bereits zertifizierte Berater und Auditteamleiter auf den neuen Standard. Organisationen können sich den 1. Januar 2027 im Kalender anstreichen. Ab diesem Stichtag ist die Zertifizierbarkeit nach Grundschutz++, der auf ISO 27001 basiert, offiziell gegeben.

Die guten Nachrichten für die Praxis gehen weiter: Auch die von vielen sehr geschätzten Checklisten für den „WiBA – Weg in die Basis-Absicherung“ wird es wieder geben. Sie sind laut BSI fester Bestandteil des Grundschutz auch in der neuen Version. Damit bleibt vor allem kleineren Organisationen ein vergleichsweise unbürokratischer und einfacher Einstieg in die IT-Sicherheit erhalten.

Zudem hält die Behörde an den Mindeststandards für „ausgewählte Anwendungsbereiche“ fest. Diese richten sich weiterhin maßgeblich an die Einrichtungen des Bundes (gemäß BSIG), um dort ein einheitliches Sicherheitsniveau zu gewährleisten. Offen bleibt jedoch, ob und wie diese Mindeststandards künftig für Unternehmen greifen werden, die unter die NIS-2-Richtlinie fallen. Wie hier die genaue Prüfgrundlage in der Praxis aussehen wird, lässt das BSI bislang unbeantwortet.

Ein deutlicher Wermutstropfen für alle, die sich aktuell in die Materie einarbeiten wollen, bleibt der Leitfaden zur Methodik. Die verlinkte Version verharrt unverändert auf dem Stand vom März dieses Jahres und ist nach wie vor sehr lückenhaft.

(axk)