IT-Grundschutz++ møder OSCAL

Fra PDF-kompendium til strukturerede data

I årtier var IT-Grundschutz – Tysklands nationale sikkerhedsbaseline – først og fremmest en tekstsamling: kompendium, standarder og implementeringsvejledninger som PDF'er, vedligeholdt i dokumenter og analyseret i regneark. I slutningen af september 2025 satte BSI officielt punktum for den æra og udgav Stand-der-Technik-Bibliothek på GitHub – med IT-Grundschutz++ som maskinlæsbart katalog.

Det er mere end et nyt lagringsformat. Kravene foreligger som et OSCAL-katalog i XML, JSON og YAML. Værktøjer kan læse dem direkte, henvise til dem og koble dem til organisationens egen implementering – uden genindtastning, uden gætteri om versioner og uden sidetal.

• Kravene får stabile, maskinlæsbare identifikatorer
• Opdateringer fremgår sporbart af et offentligt repository
• ISMS-værktøjer læser kataloget direkte i stedet for manuel genindtastning

Hvorfor BSI valgte OSCAL

Valget af format er bemærkelsesværdigt. BSI kunne have defineret sit eget nationale dataformat – og valgte bevidst at lade være. OSCAL er en internationalt etableret standard under ledelse af NIST; ved at tage den i brug forbliver tyske organisationer kompatible med internationale frameworks og med et hurtigt voksende økosystem af værktøjer.

Dermed bliver Tyskland en del af en større bevægelse: I USA går FedRAMP over til maskinlæsbare autorisationspakker, og værktøjerne omkring standarden vokser hurtigt. Vil du have grundlaget på plads først, forklarer vores introduktion Hvad er OSCAL?, hvordan standarden er opbygget.

Hvad der ændrer sig i Grundschutz-praksis

For det daglige ISMS-arbejde betyder formatskiftet mere, end det umiddelbart lyder. I dag består en betydelig del af Grundschutz-arbejdet i at overføre krav fra dokumenter til ens egen struktur: til regneark, til GRC-værktøjer, til sikkerhedskoncepter. Hver ny udgave af kompendiet udløser den samme øvelse igen.

Med et maskinlæsbart katalog vendes logikken om. Værktøjet kender allerede kravene, og det egentlige arbejde flytter derhen, hvor det hører hjemme: tilknytning, implementering, evidens og beslutninger.

• Sammenligninger af mål- og faktisk tilstand kan genereres automatisk i stedet for at blive vedligeholdt manuelt
• Ændringer mellem katalogversioner kan sammenlignes og forklares
• Evidens og begrundelser knyttes til stabile kravidentifikatorer

En afmålt overgang

Eksisterende sikkerhedskoncepter baseret på Edition 23 mister ikke deres værdi fra den ene dag til den anden – moderniseringen er en overgang, som BSI konkretiserer trin for trin. Retningen er imidlertid entydig, og teams, der får styr på deres struktur tidligt, får en dobbelt gevinst: Dagens arbejde bliver renere, og det senere skifte bliver mindre.

Efter vores vurdering har tre forberedelser vist sig nyttige. De betaler sig, uanset hvornår en organisation formelt går over til IT-Grundschutz++.

• Strukturér eksisterende implementeringer og evidens, så de er entydigt knyttet til krav
• Gennemgå jeres værktøjer: Kan de læse OSCAL-kataloger direkte – eller kun importere og glemme?
• Få førstehåndserfaring med formatet, for eksempel ved at åbne og kontrollere et katalog i OSCAL Validator

Vores vurdering

Vi har bygget Secani OSCAL-native fra første dag – ud fra overbevisningen om, at compliance-indhold bør være strukturerede data længe før tilsynsmyndighederne kræver det. At BSI nu fører IT-Grundschutz netop derhen, bekræfter vejen. Hvis du forbereder overgangen til IT-Grundschutz++ og vil have mere end et pænere arkiv, så tal med os.