Eine Anforderung soll nicht nur lesbar sein. Es muss auch erkennbar bleiben, woher sie kommt, für welches Objekt sie gilt und was ein neuer Katalogstand verändert.
Katalogstand und Auswahl bleiben an der Anforderung nachvollziehbar – auch wenn mehrere Kataloge genutzt werden.
Die Anwendung berechnet die Vererbung entlang der Zielobjektkategorien. Die Zuordnung eines Assets treffen und begründen Menschen.
Blaupausen und Vorlagen helfen, wiederkehrende Auswahlen und Strukturen für weitere Informationsverbünde zu nutzen.
Neue Stände werden als eigene Versionen mit Herkunft geführt. Bestehende Informationsverbünde wechseln nicht unbemerkt auf einen neuen Katalog.
Der Vergleich zeigt neue, geänderte und entfallene Anforderungen sowie Änderungen an Parametern. So lässt sich der Umfang der Folgearbeit vor der Übernahme einschätzen.
Die Migration erfolgt bewusst und mit Freigabe. Betroffene Anforderungen werden zur erneuten Bewertung gestellt; ein alter Erfüllungsstand belegt nicht automatisch den neuen Text.
Der Anwenderkatalog beschreibt Anforderungen strukturiert in OSCAL. Manche enthalten Platzhalter, deren Werte für den jeweiligen Kontext festgelegt werden müssen.
Katalog, Profil und Blaupause können Werte vorgeben. Noch offene Parameterwerte werden im Informationsverbund ergänzt; die Herkunft des jeweils geltenden Werts bleibt nachvollziehbar.
Die Übersicht zeigt festgelegte und offene Parameter. So bleibt sichtbar, wo eine Anforderung noch nicht vollständig konkretisiert ist.
Ändern sich Parameter mit einem neuen Katalogstand oder einer Auswahl, gehören sie zum Vergleich und zur fachlichen Neubewertung.
Die Übersicht zeigt, welche Anforderungen aus den Katalogen gelten, welche begründet ausgeschlossen oder ergänzt wurden und welche Parameter festgelegt sind.
Im Beispiel ist eine freigegebene Blaupause mit zwei Katalogen und Demodaten zu sehen.
Eine eigene Seite zeigt vor dem Wechsel je Informationsverbund den Status vorher und nachher, die Art der Änderung mit Wortvergleich, entstehende Lücken, den geschätzten Aufwand und die Aufgaben, die folgen (BSI-Standard 300-1, Kapitel 5.5: Anpassungen an der Stand-der-Technik-Bibliothek).
Gliederung, Status je Objekt, Risikokandidaten und Verlauf einer Anforderung an einem Ort, verlinkt aus der Liste und dem Seitenfenster.
Jede Compliance-Verpflichtung kann ihren eigenen Katalog haben, etwa einen Datenschutz-Anforderungskatalog oder einen Mindeststandard. Ein Katalog, zu dem nur Kennungen und Titel vorliegen, lässt sich ebenfalls führen. Zur Compliance.
Die Risikoerklärung eines Dienstleisters kann als OSCAL-Dokument (POA&M oder Assessment Results) eingelesen werden; was sich nicht abbilden lässt, steht als Hinweis in der Vorschau. Zur Dienstleistersteuerung.
Kataloge und Profile, darunter den Grundschutz++-Anwenderkatalog des BSI, sowie für Risikoerklärungen von Dienstleistern Plan of Action and Milestones und Assessment Results. Ausgegeben werden unter anderem Katalog, Profil, Component Definition, System Security Plan, Assessment Plan, Assessment Results und POA&M.
Nichts still. Jeder Informationsverbund bleibt auf seinem Katalogstand, bis der Wechsel begründet und freigegeben ist. Danach werden betroffene Anforderungen zur Neubewertung gestellt; ein alter Erfüllungsstand belegt nicht automatisch den neuen Text.
Ja, weitere OSCAL-Kataloge lassen sich mit Version und Herkunft einlesen, etwa für Compliance-Verpflichtungen. Eine Blaupause kann mehrere Kataloge kombinieren.
Ein Import oder Export im OSCAL-Format überträgt strukturierte Informationen. Ob eine Anforderung umgesetzt ist und wirkt, muss fachlich geprüft werden.
Weitere Funktionen sind bereits umgesetzt: alle Funktionen nach den fünf Prozessschritten, Dienstleister und Lieferkette und was sonst noch in der Pre-Alpha steckt.
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Die Funktionsbeschreibung gibt den Stand der Pre-Alpha wieder; methodische Aussagen sind als solche benannt und belegt.
BlueProceedings ISMS behandelt einen neuen Katalogstand als sichtbare Änderung, nicht als Überschreiben.