OSCAL in Grundschutz++: was das Format leistet.
OSCAL (Open Security Controls Assessment Language) ist ein offenes Datenformat des NIST für Sicherheitsanforderungen, ihre Umsetzung und ihre Prüfung. Das BSI veröffentlicht Grundschutz++ in diesem Format. Werkzeuge können die Anforderungen deshalb direkt einlesen, und Institutionen tauschen Daten aus, statt sie abzutippen.
- Veröffentlicht: was das BSI im BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 und in den ergänzenden Quellen herausgegeben hat
- Auslegung: wie BlueProceedings ISMS das in der Pre-Alpha umsetzt
Sieben Modelle, eine Kette.
So beschreibt das NIST die OSCAL-Modelle. Sie trennen, was gefordert ist, wie es umgesetzt wird und was eine Prüfung festgestellt hat; jedes baut auf dem vorigen auf. Das BSI veröffentlicht für Grundschutz++ vor allem die ersten beiden: Kataloge und Profile.
- KatalogDie Anforderungen selbst. Bei Grundschutz++ der Anwenderkatalog des BSI.
- ProfilEine Auswahl aus einem oder mehreren Katalogen, mit Ausschlüssen und gesetzten Parametern.
- Aufgelöster KatalogDas Ergebnis eines Profils, als Katalog lesbar.
- Component DefinitionWie eine wiederverwendbare Komponente Anforderungen umsetzt, etwa eine Virtualisierungsumgebung.
- System Security PlanDer Umsetzungsstand eines konkreten Systems oder Informationsverbunds.
- Assessment Plan und ResultsWas geprüft werden soll und was festgestellt wurde.
- POA&MOffene Feststellungen mit Maßnahmen, Verantwortlichen und Fristen.
Maschinenlesbar ist nicht erfüllt. Ein gültiges OSCAL-Dokument sagt nichts darüber, ob eine Anforderung richtig umgesetzt und wirksam ist. Das bleibt eine fachliche Entscheidung. Wie eine einzelne Anforderung im Katalog aussieht, zeigt die Seite zum Anwenderkatalog.
Was das BSI liefert und wie wir damit arbeiten.
Links, was veröffentlicht ist, rechts, wie BlueProceedings ISMS das Format verwendet.
- EinlesenStand-der-Technik-Bibliothek
- Veröffentlicht
Das BSI stellt Anwenderkatalog und Methodik als OSCAL-Dateien in der Stand-der-Technik-Bibliothek auf GitHub bereit.
Auslegung in BlueProceedings ISMSWir lesen den Grundschutz++-Katalog und weitere OSCAL-Kataloge ein, jeweils mit Version und Herkunft.
- Neue StändeStand-der-Technik-Bibliothek
- Veröffentlicht
Die Bibliothek wird laufend weiterentwickelt. Ein neuer Stand kann Anforderungen ändern, hinzufügen oder entfernen.
Auslegung in BlueProceedings ISMSEin Katalogwechsel ist bei uns ein eigener, von der Anwendung geführter Schritt mit Vergleich und Neubewertung, nie eine stille Änderung im laufenden Informationsverbund.
- AnforderungspaketeStand-der-Technik-Bibliothek
- Veröffentlicht
Die Stand-der-Technik-Bibliothek veröffentlicht für Grundschutz++ Quellkataloge, ein OSCAL-Profil und den daraus aufgelösten Anwenderkatalog.
Auslegung in BlueProceedings ISMSBlueProceedings ISMS importiert diese versionierten Artefakte, führt eigene Blaupausen als nachvollziehbare OSCAL-Profile und löst daraus je Informationsverbund das konkrete Anforderungspaket auf.
- AustauschNIST OSCAL
- Veröffentlicht
OSCAL definiert auch Modelle für Umsetzung und Prüfung, damit Werkzeuge und Prüfende Ergebnisse austauschen können.
Auslegung in BlueProceedings ISMSDie Pre-Alpha gibt Katalog, Profil, Component Definition, System Security Plan, Assessment Plan, Assessment Results und POA&M aus. Die Daten bleiben auf eurer Infrastruktur, bis jemand einen Export bewusst weitergibt.
- LieferketteNIST OSCAL
- Veröffentlicht
Plan of Action and Milestones und Assessment Results beschreiben offene Risiken und Prüfergebnisse eines Systems, auch eines Dienstleisters.
Auslegung in BlueProceedings ISMSDie Risikoerklärung eines Dienstleisters lässt sich als OSCAL-Dokument einlesen, mit dokumentierter Abbildung der Felder; Unterauftragnehmer werden als Kette übernommen. Was sich nicht abbilden lässt, steht als Hinweis in der Vorschau. Mehr unter Dienstleister und Lieferkette.
Fragen zu OSCAL.
Was ist OSCAL?
Die Open Security Controls Assessment Language des NIST: ein offenes Datenformat in JSON, XML und YAML für Sicherheitsanforderungen, ihre Umsetzung und ihre Prüfung.
In welchem Format veröffentlicht das BSI Grundschutz++?
Den Anwenderkatalog und weitere Artefakte wie Quellkataloge, ein Profil und Mappings stellt das BSI als OSCAL-Dateien in der Stand-der-Technik-Bibliothek auf GitHub bereit.
Was ist der Unterschied zwischen Katalog und Profil?
Ein Katalog enthält die Anforderungen. Ein Profil wählt daraus aus, schließt aus und setzt Parameter; aufgelöst ergibt es wieder einen Katalog.
Belegt ein OSCAL-Export, dass Anforderungen erfüllt sind?
Nein. Ein gültiges Dokument sagt nichts darüber, ob eine Anforderung richtig umgesetzt und wirksam ist. Das bleibt eine fachliche Prüfung.
Weiterlesen
Quellen
- NIST: OSCALDokumentation aller OSCAL-Modelle
- BSI: OSCALEinordnung des Formats durch das BSI
- BSI: Stand-der-Technik-BibliothekRepository mit den Grundschutz++-Dateien
- Stand-der-Technik-Bibliothek: Grundschutz++Maschinenlesbare Grundschutz++-Artefakte auf Basis von OSCAL
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
OSCAL rein, OSCAL raus.
BlueProceedings ISMS liest den Grundschutz++-Katalog ein und gibt Ergebnisse wieder im offenen Format aus. Die Startseite zeigt die Pre-Alpha.