FedRAMP přechází na strojově čitelná data

Konec balíčků ve Wordu

Autorizační balíček FedRAMP byl po léta především jedním: spoustou dokumentů. Bezpečnostní plány systémů o stovkách stran, popisy opatření v šablonách Wordu, inventáře a výsledky testů v Excelu. Ještě v roce 2025 probíhaly autorizace Rev5 téměř výhradně na těchto šablonách – přestože OSCAL jako strojově čitelná alternativa existoval už dlouho.

V lednu 2026 zahájil FedRAMP změnu kurzu dokumentem RFC-0024: autorizační data se mají předkládat jako strukturovaná, strojově čitelná data namísto hromad dokumentů. Pro federální úřady to znamená rychlejší přezkumy a srovnatelné balíčky. Pro poskytovatele cloudových služeb to znamená přechod, který je mnohem lepší plánovat včas než pozdě.

• Šablony ve Wordu a Excelu se jako formáty pro podání vyřazují
• Strukturovaná data činí balíčky kontrolovatelnými, srovnatelnými a opakovaně využitelnými
• Přechod se týká všech poskytovatelů, nejen modernizační linie 20x

Od RFC-0024 ke Consolidated Rules 2026

Cesta ke konečnému pravidlu je sama o sobě lekcí veřejné standardizace. Původní návrh stanovil pevné uzávěrky již k 30. září 2026. Během připomínkového řízení, které skončilo 11. března 2026, žádali poskytovatelé téměř jednomyslně o více času na přípravu.

FedRAMP reagoval: průběžný výsledek zveřejněný v březnu 2026 lhůty posunul. Vše bylo poté sloučeno do konečných Consolidated Rules for 2026 (CR26), zveřejněných koncem června 2026, které uspořádávají požadavky do certifikačních tříd A až D. Poselství se nezměnilo: strojová čitelnost přichází – jen harmonogram se stal realističtějším.

Lhůty v kostce

Rozhodující je konečný harmonogram CR26; dřívější průběžné návrhy s formátovými uzávěrkami pro jednotlivé třídy jsou překonány.

• Od 4. července 2026: volitelné dřívější přijetí nové sady pravidel, přičemž procesy pro jednotlivé třídy se otevírají od srpna 2026
• Od 1. ledna 2027: Consolidated Rules platí povinně; nové certifikace v nejvyšší třídě D vyžadují strojově čitelná autorizační data ve formátu JSON validovaná proti zveřejněným schématům FedRAMP
• Stávající certifikace: přechod nejpozději při prvním nezávislém posouzení, které začne po 1. lednu 2027
• 11. června 2027: konec nových certifikací Rev5 – od té doby probíhají nové žádosti výhradně podle nové sady pravidel

Důležité pro plánování: kdo míří na novou autorizaci v roce 2027, pracuje s novými formáty fakticky už v roce 2026 – příprava balíčku, analýzy mezer a testování začínají dlouho před uzávěrkou.

Jakou roli hraje OSCAL

Konečná pravidla ukotvují strojovou čitelnost v dokumentech JSON, které se validují proti zveřejněným schématům FedRAMP – FedRAMP nepředepisuje konkrétní nástroj pro jejich tvorbu. V praxi vede cesta přes OSCAL: standard NIST je zavedeným otevřeným datovým modelem právě pro tento obsah, FedRAMP spolupracuje s komunitou OSCAL na šablonách a zdrojích a ekosystém nástrojů zde roste nejrychleji – přehled nabízí náš článek o prostředí nástrojů OSCAL.

Jak do sebe dokumentové modely zapadají – od katalogu přes profil až po SSP a posouzení – popisuje náš úvod Co je OSCAL?

Co by poskytovatelé cloudových služeb měli udělat nyní

Z naší práce se strukturovanými daty pro compliance se osvědčil jednoduchý postup. Funguje bez ohledu na to, zda je cílem FedRAMP, nebo jiný program se strojově čitelnými požadavky.

• Inventura: které části dnešního balíčku jsou kde uloženy – a v jaké kvalitě?
• Pilot: převeďte část SSP do OSCAL a ověřte ji proti schématům, například pomocí našeho bezplatného OSCAL Validatoru
• Pracovní model: nastavte vlastníky, přezkumy a nakládání s důkazy tak, aby strukturovaná data byla výchozím stavem, nikoli exportem na konci

Právě pro to budujeme Secani: platformu, kde jsou autorizační data strukturovaná od začátku – se zdroji, schváleními a historií. Pokud přechod plánujete, ozvěte se nám.