IT-Grundschutz++ ontmoet OSCAL

Van pdf-kompendium naar gestructureerde data

Decennialang was IT-Grundschutz, de nationale beveiligingsbaseline van Duitsland, vooral een tekstcorpus: kompendium, standaarden en implementatierichtlijnen als pdf’s, bijgehouden in documenten en geanalyseerd in spreadsheets. Eind september 2025 sloot het BSI dat tijdperk officieel af en publiceerde het de Stand-der-Technik-Bibliothek op GitHub, met IT-Grundschutz++ als machineleesbare catalogus.

Dit is meer dan een nieuw opslagformaat. De eisen zijn beschikbaar als OSCAL-catalogus in XML, JSON en YAML. Tools kunnen ze direct inlezen, ernaar verwijzen en ze koppelen aan de eigen implementatie van een organisatie: geen overtypen, geen versies raden, geen paginanummers.

• Eisen krijgen stabiele, machineleesbare identificatoren
• Updates verschijnen herleidbaar in een openbare repository
• ISMS-tools lezen de catalogus direct in in plaats van handmatig overnemen

Waarom het BSI voor OSCAL koos

De keuze voor het formaat is opmerkelijk. Het BSI had een eigen nationaal dataformaat kunnen definiëren en heeft daar bewust van afgezien. OSCAL is een internationaal gevestigde standaard onder leiding van NIST; door die over te nemen blijven Duitse organisaties compatibel met internationale raamwerken en met een snelgroeiend ecosysteem van tools.

Duitsland sluit zich daarmee aan bij een bredere beweging: in de Verenigde Staten stapt FedRAMP over op machineleesbare autorisatiepakketten, en de tooling rond de standaard groeit snel. Wie eerst de basis wil kennen, kan terecht bij onze introductie Wat is OSCAL?, die uitlegt hoe de standaard is opgebouwd.

Wat er verandert in de Grundschutz-praktijk

Voor het dagelijkse ISMS-werk is de formaatwijziging belangrijker dan ze op het eerste gezicht lijkt. Op dit moment bestaat een aanzienlijk deel van het Grundschutz-werk uit het overzetten van eisen uit documenten naar de eigen structuur: naar spreadsheets, naar GRC-tools, naar beveiligingsconcepten. Elke nieuwe editie van het kompendium leidt tot dezelfde exercitie.

Met een machineleesbare catalogus draait de logica om. De tool kent de eisen al, en het eigenlijke werk verschuift naar waar het thuishoort: toewijzing, implementatie, bewijs en besluiten.

• Vergelijkingen tussen gewenste en werkelijke situatie kunnen automatisch worden gegenereerd in plaats van met de hand te worden bijgehouden
• Wijzigingen tussen catalogusversies worden vergelijkbaar en verklaarbaar
• Bewijs en onderbouwingen worden gekoppeld aan stabiele identificatoren van eisen

Een weloverwogen overgang

Bestaande beveiligingsconcepten op basis van Edition 23 verliezen hun waarde niet van de ene op de andere dag; de modernisering is een overgang die het BSI stap voor stap uitwerkt. De richting is echter ondubbelzinnig, en teams die hun structuur vroeg op orde brengen, profiteren dubbel: het werk van vandaag wordt overzichtelijker en de latere overstap wordt kleiner.

Naar onze mening zijn drie voorbereidingen nuttig gebleken. Ze lonen ongeacht wanneer een organisatie formeel overstapt op IT-Grundschutz++.

• Structureer bestaande implementaties en bewijs zodat ze ondubbelzinnig aan eisen zijn gekoppeld
• Toets uw tools: kunnen ze OSCAL-catalogi native lezen, of alleen importeren en vergeten?
• Doe zelf ervaring op met het formaat, bijvoorbeeld door een catalogus te openen en te controleren in de OSCAL Validator

Onze visie

We hebben Secani vanaf de eerste dag OSCAL-native gebouwd, vanuit de overtuiging dat compliance-inhoud gestructureerde data moet zijn, lang voordat toezichthouders dat eisen. Dat het BSI IT-Grundschutz nu precies die kant op brengt, bevestigt die koers. Bereidt u de overstap naar IT-Grundschutz++ voor en wilt u meer dan een mooier archief? Neem contact met ons op.