Cybersicherheit: Grundschutz++ als BSI-Standard 300-1 veröffentlicht

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Methodik zum "Grundschutz++" als neuen BSI-Standard 300-1 veröffentlicht. Der Standard BSI 300-1 ist eine Weiterentwicklung des IT-Grundschutz. Er dient dazu, auch Institutionen mit heterogenen IT-Landschaften oder komplexen Virtualisierungslösungen auf aktuelle Bedrohungen vorzubereiten und abzusichern.
Die neue Methodik beschreibt das Vorgehen bei der Implementierung eines kontinuierlichen Sicherheitsprozesses. Sie unterscheidet sich vom bestehenden IT-Grundschutz insbesondere durch die prozessorientierte Vorgehensweise. Die im BSI-Standard 300-1 beschriebene Methodik “Grundschutz++” bildet einen zukunftsgerichteten Ordnungsrahmen für den systematischen Aufbau und die Weiterentwicklung eines Informationssicherheitsmanagementsystems (ISMS). Sie beschreibt eine entlang des PDCA-Zyklus strukturierte Methodik, die
  • Erhebung und Planung,
  • Anforderungsanalyse,
  • Realisierung,
  • Überwachung und
  • kontinuierliche Verbesserung
zu einem konsistenten Sicherheitsprozess verbindet. Damit schafft das Dokument eine Grundlage, um Informationssicherheit institutionell wirksam, skalierbar und nachhaltig am Stand der Technik auszurichten.
Dieses Vorgehen zielt darauf ab, die zentralen Geschäftsprozesse einer Institution vorrangig abzusichern. Durch ihren flexiblen Ansatz ermöglicht die Methodik, das eigene Informationssicherheits-Managementsystem (ISMS) den eigenen Bedürfnissen anzupassen. So kann beispielsweise die Methodik für die Risikoidentifikation, -bewertung und -behandlung unter Einhaltung sogenannter Mindestkriterien frei gewählt werden. Eine weitere entscheidende technische Neuerung besteht darin, dass alle Anforderungen nun in einem maschinenlesbaren Format vorliegen.
Ein nach Grundschutz++ implementiertes ISMS ist ab 2027 zertifizierbar und zur ISO/IEC 27001 kompatibel.
(Quelle BSI)