O IT-Grundschutz++ encontra o OSCAL

Do compêndio em PDF aos dados estruturados

Durante décadas, o IT-Grundschutz, a referência nacional de segurança da Alemanha, foi sobretudo um corpo de texto: compêndio, normas e orientações de implementação em PDF, mantidos em documentos e analisados em folhas de cálculo. No final de setembro de 2025, o BSI encerrou oficialmente essa era e publicou a Stand-der-Technik-Bibliothek no GitHub, com o IT-Grundschutz++ como catálogo legível por máquina.

Isto é mais do que um novo formato de armazenamento. Os requisitos estão disponíveis como catálogo OSCAL em XML, JSON e YAML. As ferramentas podem lê-los diretamente, referenciá-los e ligá-los à implementação da própria organização: sem voltar a escrever tudo, sem adivinhar versões, sem números de página.

• Os requisitos recebem identificadores estáveis e legíveis por máquina
• As atualizações surgem de forma rastreável num repositório público
• As ferramentas de SGSI leem o catálogo diretamente, em vez de exigirem uma nova introdução manual

Porque é que o BSI escolheu o OSCAL

A decisão sobre o formato é notável. O BSI poderia ter definido o seu próprio formato nacional de dados, e optou deliberadamente por não o fazer. O OSCAL é uma norma internacionalmente estabelecida, liderada pelo NIST; adotá-la mantém as organizações alemãs compatíveis com os referenciais internacionais e com um ecossistema de ferramentas em rápido crescimento.

A Alemanha junta-se assim a um movimento mais amplo: nos EUA, o FedRAMP está a avançar para pacotes de autorização legíveis por máquina, e as ferramentas em torno da norma estão a crescer rapidamente. Se quiser começar pelos fundamentos, a nossa introdução O que é o OSCAL? explica como a norma está estruturada.

O que muda na prática do Grundschutz

No trabalho diário do SGSI, a mudança de formato é mais importante do que parece à primeira vista. Hoje, uma parte substancial do trabalho de Grundschutz consiste em transferir requisitos de documentos para a estrutura própria: para folhas de cálculo, para ferramentas GRC, para conceitos de segurança. Cada nova edição do compêndio desencadeia de novo o mesmo exercício.

Com um catálogo legível por máquina, a lógica inverte-se. A ferramenta já conhece os requisitos, e o trabalho efetivo desloca-se para onde deve estar: atribuição, implementação, evidências e decisões.

• As comparações entre o estado pretendido e o estado atual podem ser geradas automaticamente, em vez de mantidas à mão
• As alterações entre versões do catálogo tornam-se comparáveis e explicáveis
• As evidências e justificações ligam-se a identificadores de requisitos estáveis

Uma transição ponderada

Os conceitos de segurança existentes baseados na Edição 23 não perdem o seu valor de um dia para o outro: a modernização é uma transição que o BSI está a detalhar passo a passo. A direção, no entanto, é inequívoca, e as equipas que organizam cedo a sua estrutura beneficiam duplamente: o trabalho de hoje fica mais limpo e a mudança posterior fica mais pequena.

Na nossa perspetiva, três preparações revelaram-se úteis. Compensam independentemente do momento em que uma organização passa formalmente para o IT-Grundschutz++.

• Estruturar as implementações e evidências existentes de forma a ficarem mapeadas inequivocamente para os requisitos
• Auditar as ferramentas: conseguem ler catálogos OSCAL de forma nativa, ou apenas importá-los e esquecê-los?
• Ganhar experiência direta com o formato, por exemplo abrindo e verificando um catálogo no OSCAL Validator

A nossa opinião

Construímos a Secani de forma nativa em OSCAL desde o primeiro dia, por convicção de que o conteúdo de conformidade deve ser dados estruturados muito antes de os reguladores o exigirem. O facto de o BSI levar agora o IT-Grundschutz exatamente nessa direção confirma o caminho. Se está a preparar a transição para o IT-Grundschutz++ e quer mais do que um arquivo mais bonito, fale connosco.