IT-Grundschutz++ für Behörden: Migration, Stufen und Zertifizierung

Wie gelingt die Grundschutz++ Migration in Behörden? IT-Grundschutz-Anforderungen verändern die Rahmenbedingungen für Behörden grundlegend – von der Stufenwahl bis zur automatisierten Compliance. Gleichzeitig wächst die Bedrohungslage für die IT-Sicherheit in Kommunen und Landesverwaltungen stetig. Dieser Leitfaden zeigt, welche Schritte die öffentliche Verwaltung jetzt einleiten sollte.
Eine einfach strukturierte Grafik aus verschiedenen Blautönen: Im Mittelpunkt das symbolische Bild einer Wage. Darum herum schweben weiße Symbole aus dem Rechts- und Behördenumfeld. Ein Symbolbild für IT-Grundschutz++ in Behörden.
© Panuwat

Wie bereiten sich Behörden auf IT-Grundschutz++ vor?

Die Vorbereitung auf IT-Grundschutz++ beginnt mit einer ehrlichen Bestandsaufnahme. Behörden, die bereits den klassischen IT-Grundschutz oder die Basis-Absicherung nutzen, müssen ihre Sicherheitsarchitektur an das neue 5-Stufen-Modell anpassen. Eine automatische 1:1-Migration gibt es nicht. Jede Anforderung muss neu bewertet werden, weil das neue Framework prozessorientierte Praktiken statt statischer Bausteine verwendet.

Der Ransomware-Angriff auf Südwestfalen-IT hat gezeigt, wie verwundbar kommunale Strukturen sind: 72 Kommunen waren betroffen, der Krisenmodus dauerte 11 Monate bei Kosten von über 2,8 Millionen Euro. IT-Grundschutz++ in der öffentlichen Verwaltung ist damit keine optionale Modernisierung, sondern eine operative Notwendigkeit. Wer den Umstieg hinauszögert, riskiert wachsende Sicherheitslücken in einer Zeit, in der Angriffe auf Verwaltungen zur Regel werden.

IT Sicherheit in Kommunen: Lehren aus aktuellen Cyberangriffen

Kommunale Cybersicherheit hat sich seit den Vorfällen in Anhalt-Bitterfeld und Südwestfalen grundlegend verändert. Die Angriffe verdeutlichten, dass bestehende Schutzmaßnahmen vielerorts nicht ausreichen. Der Leitfaden zum IT-Grundschutz++ beschreibt das neue Framework im Detail. Dort werden die 19 Praktiken und das 5-Stufen-Modell erläutert. Wer den Umstieg versteht, kann gezielt planen. Die Übersicht über den IT-Grundschutz zeigt die bewährte Methodik, auf der das neue System aufbaut. IT-Sicherheit in Kommunen erfordert einen Ansatz, der knappe Ressourcen und fehlende Fachkräfte berücksichtigt. Genau hier setzt das neue Stufenmodell an.

Handlungsbedarf auf Bundes-, Landes- und Kommunalebene

Bundesbehörden sind durch die BSI-Mindeststandards bereits zur Umsetzung verpflichtet. Für sie bedeutet IT-Grundschutz++ eine verpflichtende Migration auf das neue Regelwerk innerhalb der Übergangsphase. Landesbehörden orientieren sich an den Empfehlungen des IT-Planungsrats, der eine einheitliche Sicherheitsarchitektur anstrebt.

Der bestehende Leitfaden zum IT-Grundschutz in der öffentlichen Verwaltung beschreibt die aktuellen Pflichten je Ebene. Kommunen haben zwar mehr Gestaltungsspielraum. Sie stehen aber vor dem größten Ressourcenproblem. Ein funktionierendes IT-Notfallkonzept gehört zu den Grundvoraussetzungen für die Grundschutz++ Migration.

Von der WiBA zum neuen Grundschutz++

Kommunen, die den Weg in die Basis-Absicherung bereits durchlaufen haben, starten mit einem Vorteil. Die dort aufgebauten Strukturen lassen sich als Fundament für die Grundschutz++ Migration nutzen. Allerdings ist eine direkte Überführung ohne Neubewertung nicht möglich. Die bestehende Informationssicherheitsleitlinie muss an die neue Methodik angepasst werden.

Der Dokumentationsrahmen ändert sich damit grundlegend. Gleichzeitig sinkt der Umfang: Die bisherigen IT-Grundschutz-Bausteine werden durch 19 Praktiken mit klaren Leistungskennzahlen ersetzt. Für die IT-Grundschutz++ Umsetzung in der öffentlichen Verwaltung bedeutet das: mehr Struktur bei weniger Bürokratie. Gerade Kommunalverwaltungen profitieren von dieser Verschlankung, weil der operative Aufwand deutlich sinkt. Wie Unternehmen den Umstieg auf Grundschutz++ gestalten, unterscheidet sich in Tempo und Prioritäten – die Zielrichtung ist jedoch dieselbe.

Von der Migration zur Automatisierung

Die IT-Grundschutz++ Umsetzung in der öffentlichen Verwaltung zielt auf ein maschinenlesbares, automatisiertes Sicherheitsmanagement. Das OSCAL-Format macht Anforderungen digital prüfbar und reduziert den manuellen Dokumentationsaufwand um bis zu 85 Prozent. Für Verwaltungen, die souveräne Software für Behörden einsetzen, ergänzt sich die technische Souveränität mit dem neuen Compliance-Rahmen. Beide Ansätze stärken die digitale Unabhängigkeit der Verwaltung.

Die Grundschutz++ Migration profitiert zudem von kontinuierlicher Systemwartung, die Sicherheitsupdates und Konfigurationsänderungen laufend dokumentiert. Das OSCAL-Format im IT-Grundschutz der Verwaltung schafft so die Grundlage für eine durchgängig nachvollziehbare Sicherheitsarchitektur.

Was ist ein IT-Grundschutz-Check und wie läuft er in Behörden ab?

Ein IT-Grundschutz-Check ist eine systematische Prüfung, die den Ist-Zustand der Informationssicherheit mit den Soll-Anforderungen abgleicht. Im Kontext von IT-Grundschutz++ Behörden läuft der Check in folgenden Schritten ab:

Im neuen IT-Grundschutz++ erfolgt der Check in Behörden zunehmend toolgestützt und automatisiert. Das OSCAL-Format erlaubt einen automatischen Soll-Ist-Abgleich, der manuelle Prüfschritte ersetzt. Für die BSI-Grundschutz-Zertifizierung bleibt der externe Audit allerdings obligatorisch.

OSCAL und Continuous Compliance im Verwaltungsbetrieb

Das OSCAL-Format bildet das technische Rückgrat der Grundschutz++ Automatisierung in Behörden. Verwaltungen können ihre Sicherheitsdokumentation damit maschinenlesbar führen und in Echtzeit auswerten. Die Vorteile für den Verwaltungsbetrieb sind konkret:

Continuous Compliance bedeutet: Die Sicherheitslage wird nicht nur vor dem nächsten Audit geprüft, sondern laufend überwacht. Abweichungen werden sofort sichtbar, nicht erst Monate später. Für Grundschutz++ in der Verwaltung ist das ein Paradigmenwechsel hin zu einer lebendigen Informationssicherheit.

Welche IT-Grundschutz++-Stufe gilt für Bundesbehörden und Kommunen?

Das 5-Stufen-Modell des IT-Grundschutzes++ ersetzt die bisherige Dreiteilung in Basis-, Standard- und Kern-Absicherung. Jede Stufe definiert einen eigenen Anforderungsumfang und eignet sich für unterschiedliche Verwaltungsstrukturen:

🔼 Stufe 1–2: Kleine Kommunen und Eigenbetriebe mit normalem Schutzbedarf
🔼 Stufe 2–3: Mittelgroße Kommunen und Landesbehörden
🔼 Stufe 3–4: Große Landesbehörden und Bundesbehörden mit erweiterten Anforderungen
🔼 Stufe 4–5: KRITIS-relevante Verwaltungseinheiten und Bundesbehörden mit hohem Schutzbedarf

Die BSI Grundschutz++ Pflicht für Bundesbehörden wird voraussichtlich eine Umsetzung auf mindestens Stufe 3 oder 4 erfordern. Kommunen beginnen typischerweise auf Stufe 1 und steigern ihren Reifegrad schrittweise. Das IT-Grundschutz++ Stufenmodell für die Verwaltung erlaubt eine flexible Anpassung an die jeweiligen Ressourcen. Die IT-Grundschutz-Ziele Vertraulichkeit, Integrität und Verfügbarkeit bilden den Orientierungsrahmen für die Stufenwahl.

IT Sicherheit Kommunen: Einstieg über die Basisstufen

Für Kommunen mit begrenzten Ressourcen bietet Stufe 1 einen realistischen Einstieg in die systematische Informationssicherheit. Der Umfang ist bewusst niedrigschwellig gehalten und lässt sich auch ohne dediziertes Sicherheitsteam umsetzen. Kommunen, die bereits die WiBA durchlaufen haben, können in der Regel direkt auf Stufe 2 starten. Das IT-Grundschutz++ Stufenmodell in der Verwaltung erlaubt eine graduelle Steigerung, ohne den laufenden Betrieb zu gefährden. IT-Schutz für Kommunen muss pragmatisch bleiben – das neue Modell trägt dieser Realität Rechnung. So wird die Grundschutz++ Migration auch für kleinere Verwaltungseinheiten realisierbar.

IT Grundschutz++ in Behörden: Zertifizierung und Perspektiven

Die Zertifizierung nach IT-Grundschutz++ wird für Behörden zum zentralen Nachweis eines strukturierten Sicherheitsmanagements. Das BSI entwickelt das Auditierungsschema während der Übergangsphase weiter. IT-Grundschutz++ verändert die Zertifizierung für Behörden grundlegend: Im Zentrum steht der Wechsel von dokumentenbasierter zu datengetriebener Nachweisführung.

Zertifikate auf Basis des alten Kompendiums behalten bis Ende der Übergangsphase ihre Gültigkeit. Die IT-Grundschutz++ NIS-2-Compliance in Behörden lässt sich über das neue Framework deutlich effizienter nachweisen als über das bisherige System. Gerade Verwaltungen, die sowohl NIS2- als auch BSI-Vorgaben erfüllen müssen, reduzieren durch das einheitliche Regelwerk den doppelten Aufwand. BSI-Grundschutz++ in der Verwaltung wird damit zum Instrument, das Sicherheit und regulatorische Anforderungen verbindet.

Fördermittel und Ressourcen für die Verwaltung

Die Grundschutz++ Migration stellt Verwaltungen vor die Frage der Finanzierung. Bund und Länder stellen für die IT-Sicherheit in Kommunen verschiedene Förderprogramme bereit. Der IT-Planungsrat koordiniert länderübergreifende Initiativen zur Stärkung der kommunalen Cybersicherheit. Ergänzend bieten Landesämter für Sicherheit in der Informationstechnik kostenlose Beratung und Umsetzungshilfen für kommunale Verwaltungen:

Ein frühzeitiger Einstieg in die Grundschutz++ Verwaltung sichert den Zugang zu Fördermitteln, die zeitlich begrenzt verfügbar sind. IT-Grundschutz++ für Behörden wird damit zur strategischen Investition in die digitale Souveränität der öffentlichen Verwaltung.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Auskünfte zu regulatorischen Anforderungen empfehlen wir die Konsultation einer spezialisierten Rechtsberatung.

FAQs

Können Kommunen mit der WiBA direkt auf IT-Grundschutz++ umsteigen? keyboard_arrow_down keyboard_arrow_up
Ein direkter Umstieg von der WiBA auf IT-Grundschutz++ ist nicht möglich. Die WiBA basiert auf dem bisherigen Kompendium mit seinen Bausteinen, während IT-Grundschutz++ ein neues Anforderungsmodell mit 19 prozessorientierten Praktiken einführt. Eine 1:1-Zuordnung besteht nicht. Kommunen, die die WiBA durchlaufen haben, profitieren jedoch von den bereits aufgebauten Strukturen. Die dokumentierten Sicherheitsprozesse und Verantwortlichkeiten bilden eine solide Grundlage für die Gap-Analyse. Der Einstieg gelingt dann typischerweise auf Stufe 2 des neuen 5-Stufen-Modells, ohne bei Null beginnen zu müssen.
Wie lange dauert die Migration auf Grundschutz++ in einer Behörde? keyboard_arrow_down keyboard_arrow_up
Die Migrationsdauer hängt von Verwaltungsgröße und bestehendem Sicherheitsniveau ab. Für eine Kommune mit bestehender Basis-Absicherung sind sechs bis zwölf Monate realistisch. Größere Landes- oder Bundesbehörden benötigen für eine vollständige Umstellung auf IT-Grundschutz++ in der Regel 12 bis 24 Monate. Ein frühzeitiger Beginn reduziert den Zeitdruck vor Auditterminen.
Wie unterstützt TenMedia Behörden bei der IT-Grundschutz-Umsetzung? keyboard_arrow_down keyboard_arrow_up
TenMedia entwickelt sichere Individualsoftware für Behörden und übernimmt die laufende Systemwartung. Das Berliner Team berät bei der technischen Umsetzung von Sicherheitsmaßnahmen und begleitet Projekte langfristig. So entsteht eine zuverlässige technische Grundlage für IT-Grundschutz++ in Behörden.