Grundschutz++ und
OSCAL:
Warum Excel nicht mehr reicht

Die unbequeme Wahrheit vorweg

Viele Organisationen beschäftigen sich aktuell mit IT-Grundschutz++ und beobachten die Entwicklung rund um OSCAL. Die Hoffnung: Bestehende Prozesse lassen sich weitgehend beibehalten und später einfach in das neue Format überführen.

Genau darin liegt jedoch das Risiko.

Wer sein Informationssicherheitsmanagementsystem (ISMS) heute überwiegend mit Excel-Tabellen, Word-Dokumenten und individuell gewachsenen Strukturen verwaltet, wird bei der Einführung von OSCAL schnell an Grenzen stoßen. Nicht, weil Excel grundsätzlich ungeeignet wäre. Sondern weil sich die Art verändert, wie Sicherheitsinformationen künftig organisiert, verwaltet und geprüft werden. Das BSI verfolgt mit Grundschutz++ einen datenmodellbasierten Ansatz auf Basis von OSCAL, der eine deutlich stärkere Strukturierung und Automatisierung ermöglicht.

OSCAL ist nicht nur ein Austauschformat

Ein häufiger Irrtum lautet:
„OSCAL ist einfach ein neues Format für den Austausch von Sicherheitsinformationen.“

Das greift zu kurz.

OSCAL (Open Security Controls Assessment Language) ist ein standardisiertes, maschinenlesbares Framework zur Beschreibung von Sicherheitsanforderungen, Maßnahmen, Bewertungen und Nachweisen. Ziel ist es, Prozesse zu standardisieren, Medienbrüche zu reduzieren und die Automatisierung von Compliance- und Auditprozessen zu ermöglichen.

Damit verändert sich die Arbeitsweise im ISMS grundlegend:

• Maßnahmen werden eindeutig definiert.
• Objekte erhalten feste Identitäten.
• Beziehungen werden nachvollziehbar modelliert.
• Nachweise lassen sich strukturiert zuordnen.
• Bewertungen werden konsistent verwaltet.
• Daten können automatisiert verarbeitet werden.

Methoden, die in einer dokumentenbasierten Welt lange funktioniert haben, werden dadurch zunehmend problematisch:

• Copy & Paste
• redundante Datenpflege
• individuelle Excel-Logiken
• mehrfach geführte Listen
• uneinheitliche Bezeichnungen

OSCAL steht damit nicht nur für ein neues Dateiformat, sondern für den Übergang von Dokumenten zu strukturierten Datenmodellen.

Warum Excel im OSCAL-Zeitalter
zum Risiko werden kann

Viele ISMS sind über Jahre organisch gewachsen. Die Dokumentation verteilt sich auf Tabellen, Dokumente, SharePoint-Strukturen und lokale Ablagen. Solange die Informationsmenge überschaubar bleibt, funktioniert dieser Ansatz oft ausreichend gut.

Mit OSCAL werden die Schwächen jedoch sichtbar.

1. Inkonsistente Maßnahmen

In vielen Organisationen existiert dieselbe Maßnahme mehrfach:

• in verschiedenen Excel-Dateien
• in unterschiedlichen Versionen
• mit abweichenden Verantwortlichkeiten
• mit unterschiedlichen Umsetzungsbewertungen

Ein strukturiertes Datenmodell macht solche Widersprüche sofort erkennbar.

2. Fehlende Referenzen

In Excel werden Informationen häufig kopiert statt referenziert.

Die Folge:

• Änderungen erfolgen nur lokal
• Inhalte laufen auseinander
• Konsistenz geht verloren

OSCAL hingegen basiert auf eindeutigen Beziehungen zwischen Objekten.

3. Begrenzte Auditfähigkeit

Prüfergebnisse, Nachweise und Maßnahmenhistorien liegen oft in unterschiedlichen Dateien oder Systemen.

Dadurch entstehen Fragen wie:

• Welcher Nachweis gehört zu welcher Maßnahme?
• Welche Bewertung ist aktuell?
• Wer hat die Änderung vorgenommen?

Je stärker Audits datengetrieben werden, desto wichtiger wird eine konsistente Datenbasis.

4. Hoher manueller Aufwand

Viele Tätigkeiten im ISMS entstehen ausschließlich deshalb, weil Informationen mehrfach gepflegt werden müssen.

Dazu zählen:

• Statusaktualisierungen
• Berichte
• Auditvorbereitungen
• Maßnahmenübersichten
• Compliance-Nachweise

Genau diese Redundanzen soll OSCAL reduzieren.

Welches Tool unterstützt OSCAL und
IT-Grundschutz++?

Diese Frage wird aktuell immer häufiger gestellt.

Die Antwort lautet: HiScout bereitet seine GRC-Plattform bereits auf die Anforderungen von IT-Grundschutz++ und das zugrundeliegende OSCAL-Datenmodell vor.

HiScout begleitet die Entwicklung von Grundschutz++ aktiv in den entsprechenden Arbeitsgruppen und überführt die dort entstehenden Anforderungen in zukünftige Produktkonzepte. Dadurch können Organisationen die Chancen strukturierter, maschinenlesbarer Sicherheitsinformationen frühzeitig nutzen.

Besonders relevant wird dies bei Themen wie:

• strukturierte Maßnahmenverwaltung
• nachvollziehbare Beziehungen zwischen Assets und Kontrollen
• zentrale Nachweisführung
• konsistente Auditvorbereitung
• spätere Automatisierung von Compliance-Prozessen

Denn genau diese Fähigkeiten werden im Umfeld von OSCAL und IT-Grundschutz++ zunehmend an Bedeutung gewinnen.

Was sich wirklich verändert

Der eigentliche Wandel ist nicht technisch. Er ist organisatorisch.

Mit IT-Grundschutz++ entwickelt sich Informationssicherheit von einer dokumentenzentrierten Disziplin hin zu einer datengetriebenen Arbeitsweise.

FAQ: OSCAL, Grundschutz++ und HiScout

Was ist OSCAL?

OSCAL (Open Security Controls Assessment Language) ist ein standardisiertes, maschinenlesbares Framework zur Beschreibung von Sicherheitsanforderungen, Maßnahmen, Bewertungen und Nachweisen. Es wurde entwickelt, um Sicherheits- und Compliance-Prozesse zu standardisieren und stärker zu automatisieren.

Warum setzt IT-Grundschutz++ auf OSCAL?

Das BSI verfolgt mit Grundschutz++ das Ziel, Sicherheitsanforderungen künftig strukturiert, eindeutig und maschinenlesbar bereitzustellen. Dadurch werden Automatisierung, Nachvollziehbarkeit und Wiederverwendbarkeit verbessert.

Reicht Excel für OSCAL aus?

Excel kann weiterhin für einzelne Aufgaben genutzt werden. Für ein vollständiges OSCAL-basiertes Sicherheitsmanagement fehlen jedoch zentrale Funktionen wie Objektmodellierung, Referenzen, konsistente Beziehungen und automatisierte Auswertungen.

Unterstützt HiScout OSCAL?

HiScout entwickelt seine Plattform gezielt mit Blick auf die künftigen Anforderungen von Grundschutz++ und das zugrundeliegende OSCAL-Modell weiter und begleitet die Entwicklung des Standards aktiv.

Fazit

OSCAL ist weit mehr als ein neues Austauschformat.

Es markiert den Übergang von dokumentenbasierten Sicherheitsprozessen zu strukturierten, vernetzten und maschinenlesbaren Datenmodellen. Organisationen, die heute noch überwiegend mit Excel-Listen und Word-Dokumenten arbeiten, sollten die Einführung von IT-Grundschutz++ deshalb nicht als technische Migration betrachten, sondern als Chance zur Modernisierung ihres gesamten ISMS.

Die eigentliche Frage lautet nicht:
„Müssen wir uns mit OSCAL beschäftigen?“

Sondern:
„Ist unser heutiges ISMS bereits darauf vorbereitet?“

Wer diese Frage frühzeitig beantwortet und auf ein strukturiertes, zukunftsfähiges Datenmodell setzt, schafft die Grundlage für bessere Audits, geringeren Pflegeaufwand und mehr Automatisierung. Mit seiner Ausrichtung auf Grundschutz++ und OSCAL unterstützt HiScout Organisationen dabei, genau diesen Schritt zu gehen.