OSCAL in Grundschutz++: was das Format leistet.
OSCAL (Open Security Controls Assessment Language) ist ein offenes Datenformat des NIST für Sicherheitsanforderungen, ihre Umsetzung und ihre Prüfung. Das BSI veröffentlicht Grundschutz++ in diesem Format. Werkzeuge können die Anforderungen deshalb direkt einlesen, und Institutionen tauschen Daten aus, statt sie abzutippen.
- Veröffentlicht: was das BSI bisher herausgegeben hat, vor allem der Leitfaden zur Methodik Grundschutz++, Version März 2026; der BSI-Standard 300-1 folgt am 27.10.2026
- Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt
Sieben Modelle, eine Kette.
So beschreibt das NIST die OSCAL-Modelle. Sie trennen, was gefordert ist, wie es umgesetzt wird und was eine Prüfung festgestellt hat; jedes baut auf dem vorigen auf. Das BSI veröffentlicht für Grundschutz++ vor allem die ersten beiden: Kataloge und Profile.
- KatalogDie Anforderungen selbst. Bei Grundschutz++ der Anwenderkatalog des BSI.
- ProfilEine Auswahl aus einem oder mehreren Katalogen, mit Ausschlüssen und gesetzten Parametern.
- Aufgelöster KatalogDas Ergebnis eines Profils, als Katalog lesbar.
- Component DefinitionWie eine wiederverwendbare Komponente Anforderungen umsetzt, etwa eine Virtualisierungsumgebung.
- System Security PlanDer Umsetzungsstand eines konkreten Systems oder Informationsverbunds.
- Assessment Plan und ResultsWas geprüft werden soll und was festgestellt wurde.
- POA&MOffene Feststellungen mit Maßnahmen, Verantwortlichen und Fristen.
Maschinenlesbar ist nicht erfüllt. Ein gültiges OSCAL-Dokument sagt nichts darüber, ob eine Anforderung richtig umgesetzt und wirksam ist. Das bleibt eine fachliche Entscheidung. Wie eine einzelne Anforderung im Katalog aussieht, zeigt die Seite zum Anwenderkatalog.
Was das BSI liefert und wie wir damit arbeiten.
Links, was veröffentlicht ist, rechts, wie BlueProceedings ISMS das Format verwendet.
- EinlesenStand-der-Technik-Bibliothek
- Veröffentlicht
Das BSI stellt Anwenderkatalog und Methodik als OSCAL-Dateien in der Stand-der-Technik-Bibliothek auf GitHub bereit.
Auslegung in BlueProceedings ISMSWir lesen den Grundschutz++-Katalog und weitere OSCAL-Kataloge ein, jeweils mit Version und Herkunft.
- Neue StändeStand-der-Technik-Bibliothek
- Veröffentlicht
Die Bibliothek wird laufend weiterentwickelt. Ein neuer Stand kann Anforderungen ändern, hinzufügen oder entfernen.
Auslegung in BlueProceedings ISMSEin Katalogwechsel ist bei uns ein eigener, von der Anwendung geführter Schritt mit Vergleich und Neubewertung, nie eine stille Änderung im laufenden Informationsverbund.
- AnforderungspaketeLeitfaden 1.3
- Veröffentlicht
Wie Anforderungspakete mit den Techniken von OSCAL gebildet werden, soll ein eigener Technik-Layer erläutern.
Auslegung in BlueProceedings ISMSBis dahin bilden wir Blaupausen als OSCAL-Profile ab und lösen sie für den Informationsverbund auf. Erscheint der Technik-Layer, gleichen wir das ab.
- AustauschNIST OSCAL
- Veröffentlicht
OSCAL definiert auch Modelle für Umsetzung und Prüfung, damit Werkzeuge und Prüfende Ergebnisse austauschen können.
Auslegung in BlueProceedings ISMSDie Pre-Alpha gibt Katalog, Profil, Component Definition, System Security Plan, Assessment Plan, Assessment Results und POA&M aus. Die Daten bleiben auf eurer Infrastruktur, bis jemand einen Export bewusst weitergibt.
Weiterlesen
Quellen
- NIST: OSCALDokumentation aller OSCAL-Modelle
- BSI: OSCALEinordnung des Formats durch das BSI
- BSI: Stand-der-Technik-BibliothekRepository mit den Grundschutz++-Dateien
- BSI: Leitfaden zur Methodik Grundschutz++, Version März 2026PDF, angekündigter Technik-Layer
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 26.10.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
OSCAL rein, OSCAL raus.
BlueProceedings ISMS liest den Grundschutz++-Katalog ein und gibt Ergebnisse wieder im offenen Format aus. Die Startseite zeigt die Pre-Alpha.