IT-Grundschutz++ sa stretáva s OSCAL

Od kompendia v PDF k štruktúrovaným údajom

Celé desaťročia bol IT-Grundschutz, nemecký národný bezpečnostný základ, predovšetkým súborom textov: kompendium, štandardy a implementačné usmernenia vo formáte PDF, udržiavané v dokumentoch a analyzované v tabuľkách. Koncom septembra 2025 BSI oficiálne ukončil túto éru a zverejnil Stand-der-Technik-Bibliothek na GitHube s IT-Grundschutz++ ako strojovo čitateľným katalógom.

Je to viac než nový formát ukladania. Požiadavky sú k dispozícii ako katalóg OSCAL vo formátoch XML, JSON a YAML. Nástroje ich dokážu priamo čítať, odkazovať na ne a prepájať ich s vlastnou implementáciou organizácie, bez prepisovania, bez hádania verzií, bez čísel strán.

• Požiadavky dostávajú stabilné, strojovo čitateľné identifikátory
• Aktualizácie sa sledovateľne objavujú vo verejnom repozitári
• Nástroje ISMS čítajú katalóg priamo namiesto ručného prepisovania

Prečo si BSI zvolil OSCAL

Rozhodnutie o formáte je pozoruhodné. BSI mohol definovať vlastný národný dátový formát, a zámerne to neurobil. OSCAL je medzinárodne etablovaný štandard pod vedením NIST; jeho prijatím zostávajú nemecké organizácie kompatibilné s medzinárodnými rámcami a s rýchlo rastúcim ekosystémom nástrojov.

Nemecko sa tým pripája k širšiemu hnutiu: v USA prechádza FedRAMP na strojovo čitateľné autorizačné balíky a nástroje okolo tohto štandardu rýchlo pribúdajú. Ak chcete najprv základy, náš úvod Čo je OSCAL? vysvetľuje, ako je štandard štruktúrovaný.

Čo sa mení v praxi Grundschutzu

Pre každodennú prácu na ISMS je zmena formátu dôležitejšia, než sa na prvý pohľad zdá. Dnes podstatnú časť práce s Grundschutzom tvorí prenášanie požiadaviek z dokumentov do vlastnej štruktúry: do tabuliek, do nástrojov GRC, do bezpečnostných koncepcií. Každé nové vydanie kompendia spustí to isté cvičenie odznova.

So strojovo čitateľným katalógom sa logika obracia. Nástroj už požiadavky pozná a skutočná práca sa presúva tam, kam patrí: k priraďovaniu, implementácii, dôkazom a rozhodnutiam.

• Porovnania cieľového a skutočného stavu sa dajú generovať automaticky namiesto ručného udržiavania
• Zmeny medzi verziami katalógu je možné porovnávať a vysvetliť
• Dôkazy a zdôvodnenia sú prepojené so stabilnými identifikátormi požiadaviek

Uvážený prechod

Existujúce bezpečnostné koncepcie založené na vydaní Edition 23 nestratia svoju hodnotu zo dňa na deň: modernizácia je prechod, ktorý BSI postupne spresňuje. Smer je však jednoznačný a tímy, ktoré si svoju štruktúru usporiadajú včas, získajú dvakrát: dnešná práca bude čistejšia a neskorší prechod menší.

Podľa nás sa osvedčili tri prípravné kroky. Oplatia sa bez ohľadu na to, kedy organizácia formálne prejde na IT-Grundschutz++.

• Štruktúrujte existujúce implementácie a dôkazy tak, aby boli jednoznačne priradené k požiadavkám
• Preverte svoje nástroje: dokážu natívne čítať katalógy OSCAL, alebo ich len importujú a zabudnú?
• Získajte vlastnú skúsenosť s formátom, napríklad otvorením a kontrolou katalógu vo validátore OSCAL

Náš pohľad

Secani sme od prvého dňa budovali natívne na OSCAL, z presvedčenia, že obsah týkajúci sa súladu by mal byť štruktúrovanými údajmi dávno predtým, ako to začnú vyžadovať regulátori. To, že BSI teraz posúva IT-Grundschutz presne týmto smerom, potvrdzuje našu cestu. Ak pripravujete prechod na IT-Grundschutz++ a chcete viac než krajší archív, ozvite sa nám.