IT-Grundschutz++ incontra OSCAL

Dal compendio PDF ai dati strutturati

Per decenni, l'IT-Grundschutz – il punto di riferimento per la sicurezza nazionale della Germania – è stato soprattutto un insieme di testi: compendio, standard e linee guida per l'implementazione in formato PDF, conservati in documenti, analizzati in fogli di calcolo. Alla fine di settembre 2025, la BSI ha ufficialmente posto fine a quell’era e ha pubblicato il Stand-der-Technik-Bibliothek su GitHub – con IT-Grundschutz++ come catalogo leggibile dalla macchina.

Questo è più di un nuovo formato di archiviazione. I requisiti sono disponibili come catalogo OSCAL in XML, JSON e YAML. Gli strumenti possono leggerli direttamente, farvi riferimento e collegarli all'implementazione di un'organizzazione: senza dover riscrivere, senza indovinare versioni, senza numeri di pagina.

• I requisiti ottengono identificatori stabili e leggibili dalla macchina
• Gli aggiornamenti vengono visualizzati in modo tracciabile in un repository pubblico
• Gli strumenti ISMS leggono il catalogo direttamente invece del reinserimento manuale

Perché la BSI ha scelto OSCAL

La decisione sul formato è notevole. La BSI avrebbe potuto definire il proprio formato nazionale dei dati – e ha deliberatamente scelto di non farlo. OSCAL è uno standard stabilito a livello internazionale guidato dal NIST; la sua adozione mantiene le organizzazioni tedesche compatibili con i quadri internazionali e con un ecosistema di strumenti in rapida crescita.

La Germania si unisce così a un movimento più ampio: negli Stati Uniti si sta muovendo la FedRAMP pacchetti di autorizzazione leggibili dalla macchina, e gli strumenti attorno allo standard stanno crescendo rapidamente. Se vuoi prima le basi, la nostra introduzione Cos'è l'OSCAL? spiega come è strutturata la norma.

Cosa cambia per la pratica Grundschutz

Per il lavoro quotidiano del SGSI, il cambiamento del formato è più importante di quanto sembri a prima vista. Oggi, una parte sostanziale del lavoro di Grundschutz consiste nel trasferire i requisiti dai documenti alla vostra struttura: nei fogli di calcolo, negli strumenti GRC, nei concetti di sicurezza. Ogni nuova edizione del compendio innesca nuovamente lo stesso esercizio.

Con un catalogo leggibile dalle macchine, la logica si ribalta. Lo strumento conosce già i requisiti e il lavoro vero e proprio si sposta al suo posto: assegnazione, implementazione, prove e decisioni.

• I confronti tra target e realtà possono essere generati automaticamente invece di essere mantenuti manualmente
• Le modifiche tra le versioni del catalogo diventano differenziabili e spiegabili
• Le prove e le giustificazioni si collegano a identificatori di requisiti stabili

Una transizione misurata

I concetti di sicurezza esistenti basati sull’edizione 23 non perdono il loro valore da un giorno all’altro: la modernizzazione è una transizione che la BSI segue passo dopo passo. La direzione, tuttavia, è inequivocabile e i team che organizzano tempestivamente la propria struttura ne traggono doppio vantaggio: il lavoro di oggi diventa più pulito e il passaggio successivo diventa più piccolo.

A nostro avviso si sono rivelati utili tre preparativi. Ripagano indipendentemente dal momento in cui un'organizzazione passa formalmente all'IT-Grundschutz++.

• Strutturare le implementazioni e le prove esistenti in modo che siano mappate in modo inequivocabile rispetto ai requisiti
• Controlla i tuoi strumenti: possono leggere i cataloghi OSCAL in modo nativo o solo importarli e dimenticarli?
• Ottieni un'esperienza diretta con il formato, ad esempio aprendo e controllando un catalogo nel file Validatore OSCAL

La nostra opinione

Abbiamo creato Secani OSCAL-native fin dal primo giorno, convinti che i contenuti di conformità debbano essere dati strutturati molto prima che le autorità di regolamentazione lo richiedano. Il fatto che la BSI stia adottando la IT-Grundschutz proprio lì conferma questa strada. Se stai preparando il passaggio all'IT-Grundschutz++ e desideri qualcosa di più di un archivio più bello, parla con noi.