IT-Grundschutz++ möter OSCAL

Från PDF-kompendium till strukturerade data

I årtionden var IT-Grundschutz – Tysklands nationella säkerhetsbaslinje – framför allt en textmassa: kompendium, standarder och genomförandevägledning som PDF-filer, förvaltade i dokument och analyserade i kalkylblad. I slutet av september 2025 avslutade BSI officiellt den eran och publicerade Stand-der-Technik-Bibliothek på GitHub – med IT-Grundschutz++ som en maskinläsbar katalog.

Det här är mer än ett nytt lagringsformat. Kraven finns tillgängliga som en OSCAL-katalog i XML, JSON och YAML. Verktyg kan läsa dem direkt, referera till dem och koppla dem till en organisations eget genomförande – utan omskrivning, utan gissningar om versioner och utan sidnummer.

• Kraven får stabila, maskinläsbara identifierare
• Uppdateringar syns spårbart i ett offentligt arkiv
• ISMS-verktyg läser katalogen direkt i stället för att kraven matas in manuellt igen

Varför BSI valde OSCAL

Valet av format är anmärkningsvärt. BSI hade kunnat definiera ett eget nationellt dataformat – och valde medvetet att inte göra det. OSCAL är en internationellt etablerad standard under ledning av NIST; genom att anta den förblir tyska organisationer kompatibla med internationella ramverk och med ett snabbt växande ekosystem av verktyg.

Tyskland ansluter sig därmed till en större rörelse: i USA går FedRAMP över till maskinläsbara auktoriseringspaket, och verktygen kring standarden växer snabbt. Om du vill ha grunderna först förklarar vår introduktion Vad är OSCAL? hur standarden är uppbyggd.

Vad som förändras i Grundschutz-arbetet

För det dagliga ISMS-arbetet betyder formatbytet mer än det först låter. I dag består en betydande del av Grundschutz-arbetet av att föra över krav från dokument till den egna strukturen: till kalkylblad, till GRC-verktyg, till säkerhetskoncept. Varje ny utgåva av kompendiet utlöser samma övning igen.

Med en maskinläsbar katalog vänds logiken. Verktyget känner redan till kraven, och det faktiska arbetet flyttas dit det hör hemma: tilldelning, genomförande, belägg och beslut.

• Jämförelser mellan bör- och är-läge kan genereras automatiskt i stället för att underhållas för hand
• Ändringar mellan katalogversioner blir jämförbara och förklarbara
• Belägg och motiveringar kopplas till stabila kravidentifierare

En avvägd övergång

Befintliga säkerhetskoncept som bygger på Edition 23 förlorar inte sitt värde över en natt – moderniseringen är en övergång som BSI beskriver i detalj steg för steg. Riktningen är dock entydig, och team som organiserar sin struktur tidigt vinner dubbelt: dagens arbete blir renare och den senare övergången blir mindre.

Tre förberedelser har enligt vår bedömning visat sig användbara. De lönar sig oavsett när en organisation formellt går över till IT-Grundschutz++.

• Strukturera befintliga genomföranden och belägg så att de är entydigt mappade till krav
• Granska era verktyg: kan de läsa OSCAL-kataloger inbyggt – eller bara importera och glömma?
• Skaffa egen erfarenhet av formatet, till exempel genom att öppna och kontrollera en katalog i OSCAL Validator

Vår syn

Vi byggde Secani OSCAL-baserat från första dagen – av övertygelsen att efterlevnadsinnehåll bör vara strukturerade data långt innan tillsynsmyndigheter kräver det. Att BSI nu tar IT-Grundschutz precis dit bekräftar vägen. Om du förbereder övergången till IT-Grundschutz++ och vill ha mer än ett snyggare arkiv, prata med oss.