IT-Grundschutz++ se setkává s OSCAL

Od kompendia v PDF ke strukturovaným datům

Po desetiletí byl IT-Grundschutz – německá národní bezpečnostní baseline – především souborem textů: kompendium, standardy a implementační pokyny ve formátu PDF, udržované v dokumentech a analyzované v tabulkách. Na konci září 2025 BSI tuto éru oficiálně ukončil a zveřejnil Stand-der-Technik-Bibliothek na GitHubu – s IT-Grundschutz++ jako strojově čitelným katalogem.

Jde o víc než jen nový formát ukládání. Požadavky jsou k dispozici jako katalog OSCAL ve formátech XML, JSON a YAML. Nástroje je mohou číst přímo, odkazovat na ně a propojovat je s vlastní implementací organizace – bez přepisování, bez hádání verzí, bez čísel stránek.

• Požadavky získávají stabilní, strojově čitelné identifikátory
• Aktualizace se dohledatelně objevují ve veřejném repozitáři
• Nástroje ISMS čtou katalog přímo, místo aby se data znovu ručně zadávala

Proč BSI zvolil OSCAL

Rozhodnutí o formátu je pozoruhodné. BSI mohl definovat vlastní národní datový formát – a záměrně to neudělal. OSCAL je mezinárodně zavedený standard vedený institutem NIST; jeho převzetí udržuje německé organizace kompatibilní s mezinárodními rámci a s rychle rostoucím ekosystémem nástrojů.

Německo se tím připojuje k širšímu hnutí: v USA přechází FedRAMP na strojově čitelné autorizační balíčky a nástroje kolem standardu rychle přibývají. Pokud chcete nejprve základy, náš úvod Co je OSCAL? vysvětluje, jak je standard strukturován.

Co se mění v praxi Grundschutz

Pro každodenní práci na ISMS je změna formátu důležitější, než se na první pohled zdá. Dnes podstatnou část práce s Grundschutz tvoří přenášení požadavků z dokumentů do vlastní struktury: do tabulek, do nástrojů GRC, do bezpečnostních koncepcí. Každé nové vydání kompendia spouští stejné cvičení znovu.

Se strojově čitelným katalogem se logika obrací. Nástroj už požadavky zná a skutečná práce se přesouvá tam, kam patří: k přiřazení, implementaci, důkazům a rozhodnutím.

• Porovnání cílového a skutečného stavu lze generovat automaticky, místo aby se udržovala ručně
• Změny mezi verzemi katalogu lze porovnávat (diff) a vysvětlit
• Důkazy a zdůvodnění se odkazují na stabilní identifikátory požadavků

Uvážený přechod

Stávající bezpečnostní koncepce založené na vydání 23 neztratí svou hodnotu ze dne na den – modernizace je přechodem, který BSI postupně upřesňuje. Směr je však jednoznačný a týmy, které si strukturu uspořádají včas, získají dvojnásobně: dnešní práce bude čistší a pozdější přechod menší.

Podle našeho názoru se osvědčily tři přípravné kroky. Vyplatí se bez ohledu na to, kdy organizace formálně přejde na IT-Grundschutz++.

• Strukturujte stávající implementace a důkazy tak, aby byly jednoznačně namapovány na požadavky
• Prověřte své nástroje: dokážou katalogy OSCAL číst nativně – nebo je jen importují a zapomenou?
• Získejte s formátem vlastní zkušenost, například otevřením a kontrolou katalogu v OSCAL Validatoru

Náš pohled

Secani jsme od prvního dne budovali jako OSCAL-nativní – z přesvědčení, že obsah compliance by měl být strukturovanými daty dávno předtím, než to začnou vyžadovat regulátoři. To, že BSI nyní vede IT-Grundschutz přesně tímto směrem, tuto cestu potvrzuje. Pokud připravujete přechod na IT-Grundschutz++ a chcete víc než hezčí archiv, ozvěte se nám.