IT-Grundschutz++ rencontre OSCAL

Du recueil PDF aux données structurées

Pendant des décennies, l'IT-Grundschutz – la base de référence de la sécurité nationale allemande – était avant tout un corps de texte : un recueil, des normes et des conseils de mise en œuvre au format PDF, conservés dans des documents, analysés dans des feuilles de calcul. Fin septembre 2025, le BSI a officiellement mis fin à cette époque et publié le Stand-der-Technik-Bibliothek sur GitHub – avec IT-Grundschutz++ comme catalogue lisible par machine.

C'est plus qu'un nouveau format de stockage. Les exigences sont disponibles sous forme de catalogue OSCAL en XML, JSON et YAML. Les outils peuvent les lire directement, les référencer et les relier à la propre mise en œuvre d'une organisation – pas de nouvelle saisie, pas de devinettes, pas de numéros de page.

• Les exigences obtiennent des identifiants stables et lisibles par machine
• Les mises à jour apparaissent de manière traçable dans un référentiel public
• Les outils ISMS lisent le catalogue directement au lieu d'une nouvelle saisie manuelle

Pourquoi le BSI a choisi OSCAL

La décision de format est remarquable. Le BSI aurait pu définir son propre format de données national – et a délibérément choisi de ne pas le faire. OSCAL est une norme établie au niveau international dirigée par le NIST ; son adoption maintient les organisations allemandes compatibles avec les cadres internationaux et avec un écosystème d’outils en croissance rapide.

L’Allemagne rejoint ainsi un mouvement plus vaste : aux États-Unis, la FedRAMP s’oriente vers paquets d'autorisation lisibles par machine, et les outils autour de la norme se développent rapidement. Si vous voulez d'abord les fondations, notre introduction Qu’est-ce qu’OSCAL ? explique comment la norme est structurée.

Quels changements pour la pratique de la Grundschutz

Pour le travail quotidien du SMSI, le changement de format est plus important qu’il n’y paraît à première vue. Aujourd'hui, une part importante du travail du Grundschutz consiste à transférer les exigences des documents dans votre propre structure : dans des feuilles de calcul, dans des outils GRC, dans des concepts de sécurité. Chaque nouvelle édition du recueil déclenche à nouveau le même exercice.

Avec un catalogue lisible par machine, la logique s’inverse. L'outil connaît déjà les exigences, et le travail réel se déplace là où il appartient : l'affectation, la mise en œuvre, les preuves et les décisions.

• Les comparaisons cible/réel peuvent être générées automatiquement au lieu d'être maintenues manuellement.
• Les modifications entre les versions du catalogue deviennent différenciables et explicables
• Lien entre les preuves et les justifications et les identifiants d'exigences stables

Une transition mesurée

Les concepts de sécurité existants basés sur l'édition 23 ne perdent pas leur valeur du jour au lendemain – la modernisation est une transition que le BSI détaille étape par étape. La direction, cependant, est sans ambiguïté, et les équipes qui organisent leur structure dès le début en bénéficient doublement : le travail d'aujourd'hui devient plus propre et le changement ultérieur devient plus petit.

Trois préparations se sont révélées utiles à notre avis. Ils s’avèrent payants, quel que soit le moment où une organisation passe officiellement à l’IT-Grundschutz++.

• Structurer les implémentations et les preuves existantes afin qu'elles correspondent sans ambiguïté aux exigences
• Auditez vos outils : peuvent-ils lire les catalogues OSCAL de manière native – ou seulement importer et oublier ?
• Obtenez une expérience directe du format, par exemple en ouvrant et en vérifiant un catalogue dans le Validateur OSCAL

Notre avis

Nous avons créé Secani OSCAL-native dès le premier jour, convaincus que le contenu de conformité doit être structuré comme des données bien avant que les régulateurs ne l'exigent. Le fait que le BSI prenne maintenant la protection informatique justement là-bas confirme la voie à suivre. Si vous préparez la transition vers IT-Grundschutz++ et souhaitez plus qu'une plus jolie archive, parlez-nous.