IT-Grundschutz++ среща OSCAL

От компендиум в PDF към структурирани данни

В продължение на десетилетия IT-Grundschutz – националната базова линия за сигурност на Германия – беше преди всичко съвкупност от текстове: компендиум, стандарти и насоки за внедряване като PDF файлове, поддържани в документи и анализирани в електронни таблици. В края на септември 2025 г. BSI официално сложи край на тази епоха и публикува Stand-der-Technik-Bibliothek в GitHub – с IT-Grundschutz++ като машинночетим каталог.

Това е повече от нов формат за съхранение. Изискванията са налични като каталог в OSCAL във формати XML, JSON и YAML. Инструментите могат да ги четат директно, да препращат към тях и да ги свързват със собственото внедряване на организацията – без повторно въвеждане, без гадаене на версии, без номера на страници.

• Изискванията получават стабилни, машинночетими идентификатори
• Актуализациите се появяват проследимо в публично хранилище
• Инструментите за ISMS четат каталога директно вместо ръчно повторно въвеждане

Защо BSI избра OSCAL

Решението за формата е забележително. BSI можеше да определи собствен национален формат на данните – и съзнателно избра да не го прави. OSCAL е международно утвърден стандарт под ръководството на NIST; приемането му запазва съвместимостта на германските организации с международните рамки и с бързо разрастваща се екосистема от инструменти.

Така Германия се присъединява към едно по-широко движение: в САЩ FedRAMP преминава към машинночетими пакети за оторизация, а инструментите около стандарта бързо се развиват. Ако първо искате основите, нашето въведение Какво е OSCAL? обяснява как е структуриран стандартът.

Какво се променя в практиката по Grundschutz

За ежедневната работа по ISMS промяната на формата има по-голямо значение, отколкото звучи на пръв поглед. Днес значителна част от работата по Grundschutz се състои в пренасяне на изисквания от документи в собствената ви структура: в електронни таблици, в GRC инструменти, в концепции за сигурност. Всяко ново издание на компендиума предизвиква отново същото упражнение.

С машинночетим каталог логиката се обръща. Инструментът вече познава изискванията, а действителната работа се премества там, където ѝ е мястото: възлагане, внедряване, доказателства и решения.

• Сравненията между целево и действително състояние могат да се генерират автоматично, вместо да се поддържат ръчно
• Промените между версиите на каталога стават сравними и обясними
• Доказателствата и обосновките се свързват със стабилни идентификатори на изискванията

Премерен преход

Съществуващите концепции за сигурност, основани на издание 23, не губят стойността си за една нощ – модернизацията е преход, който BSI конкретизира стъпка по стъпка. Посоката обаче е недвусмислена, а екипите, които рано организират своята структура, печелят двойно: днешната работа става по-изчистена, а по-късното преминаване става по-малко.

Според нас три подготвителни стъпки са се доказали като полезни. Те се отплащат независимо от това кога една организация официално премине към IT-Grundschutz++.

• Структурирайте съществуващите внедрявания и доказателства така, че да са недвусмислено съпоставени с изискванията
• Одитирайте инструментите си: могат ли да четат каталози в OSCAL нативно – или само да ги импортират и забравят?
• Придобийте опит с формата от първа ръка, например като отворите и проверите каталог в OSCAL Validator

Нашето мнение

Изградихме Secani като OSCAL-native от първия ден – от убеждението, че съдържанието за съответствие трябва да бъде структурирани данни много преди регулаторите да го изискат. Това, че BSI сега води IT-Grundschutz точно натам, потвърждава пътя. Ако подготвяте прехода към IT-Grundschutz++ и искате повече от по-красив архив, говорете с нас.