Grundschutz++ und OSCAL
Neue Anforderungen an moderne ISMS
(PresseBox) - Die Informationssicherheit befindet sich im Wandel. Mit der Weiterentwicklung des IT-Grundschutzes in Richtung Grundschutz++ und der Nutzung von OSCAL (Open Security Controls Assessment Language) gewinnt ein Ansatz an Bedeutung, der Sicherheitsinformationen nicht mehr primär dokumentenbasiert, sondern datenbasiert organisiert. Für viele Organisationen stellt sich damit die Frage, ob bestehende Werkzeuge und Prozesse den zukünftigen Anforderungen noch gerecht werden.
OSCAL verändert die Arbeitsweise im ISMS
OSCAL wird häufig als neues Austauschformat für Sicherheitsinformationen beschrieben. Tatsächlich geht die Bedeutung des Standards jedoch deutlich weiter. OSCAL wurde entwickelt, um Sicherheitsanforderungen, Maßnahmen, Bewertungen und Nachweise in einer standardisierten, maschinenlesbaren Struktur abzubilden. Ziel ist es, Sicherheits- und Compliance-Prozesse stärker zu standardisieren und Automatisierungspotenziale nutzbar zu machen.
Dadurch verändert sich die Art und Weise, wie Informationen im Informationssicherheitsmanagement verwaltet werden. Maßnahmen, Nachweise, Bewertungen und Verantwortlichkeiten sollen nicht mehr isoliert in Dokumenten und Tabellen gepflegt, sondern über klar definierte Beziehungen miteinander verknüpft werden.
Wenn gewachsene Strukturen an Grenzen stoßen
In vielen Unternehmen ist das Informationssicherheitsmanagementüber Jahre organisch gewachsen. Excel-Tabellen, Word-Dokumente, SharePoint-Strukturen und individuelle Ablagen bilden häufig das Fundament der täglichen Arbeit. Solange Umfang und Komplexität überschaubar bleiben, können solche Ansätze durchaus funktionieren.
Mit zunehmenden regulatorischen Anforderungen und steigenden Erwartungen an Nachvollziehbarkeit, Konsistenz und Auditfähigkeit werden jedoch strukturelle Schwächen sichtbar.
Typische Herausforderungen sind:
Mehrfach gepflegte Maßnahmen mit unterschiedlichen Bearbeitungsständen
Uneinheitliche Bezeichnungen und Bewertungslogiken
Fehlende Verknüpfungen zwischen Maßnahmen, Nachweisen und Auditergebnissen
Hoher manueller Aufwand für Berichte und Compliance-Nachweise
Erschwerte Nachvollziehbarkeit vonÄnderungen und Verantwortlichkeiten
Während dokumentenbasierte Ansätze häufig auf Kopien und parallelen Informationsständen beruhen, setzt OSCAL auf Referenzen, eindeutige Identitäten und konsistente Beziehungen zwischen den einzelnen Objekten. Dadurch können Widersprüche schneller erkannt und Informationen effizienter weiterverarbeitet werden.
Mehr Transparenz bei Audits und Compliance
Besonders relevant wird dieser Wandel im Umfeld von Audits und Compliance-Anforderungen. Prüfer erwarten zunehmend nachvollziehbare Zusammenhänge zwischen Anforderungen, umgesetzten Maßnahmen und den dazugehörigen Nachweisen.
In vielen Organisationen liegen diese Informationen heute noch verteilt in unterschiedlichen Dokumenten und Systemen vor. Die Zusammenführung erfolgt häufig erst im Rahmen konkreter Prüfungen. Dies erhöht den Aufwand und erschwert die Bewertung des tatsächlichen Sicherheitsstatus.
Ein datenmodellbasierter Ansatz schafft hier deutliche Vorteile. Sicherheitsmaßnahmen, Bewertungen und Nachweise können in einer konsistenten Struktur miteinander verbunden werden. Dadurch lassen sich Informationen schneller bereitstellen, Änderungen nachvollziehen und Prüfprozesse effizienter gestalten.
Von der Dokumentation zur Datenbasis
Die eigentliche Veränderung durch Grundschutz++ und OSCAL ist daher weniger technischer als organisatorischer Natur. Informationssicherheit entwickelt sich zunehmend von einer dokumentenzentrierten Disziplin zu einer datengetriebenen Arbeitsweise.
Für Organisationen bedeutet dies, bestehende Prozesse kritisch zu hinterfragen:
Sind Maßnahmen zentral und konsistent verwaltet?
Lassen sich Nachweise eindeutig zuordnen?
Können Informationen ohne Medienbrüche weiterverarbeitet werden?
Ist das ISMS auf zukünftige Automatisierungsanforderungen vorbereitet?
Je früher diese Fragen beantwortet werden, desto leichter gelingt die Weiterentwicklung bestehender Sicherheitsmanagementprozesse.
Ausblick
Mit Grundschutz++ und OSCAL entstehen die Voraussetzungen für stärker automatisierte, nachvollziehbare und standardisierte Sicherheits- und Compliance-Prozesse. Unternehmen, die bereits heute auf strukturierte Datenmodelle und konsistente Informationsstrukturen setzen, schaffen eine wichtige Grundlage für zukünftige Anforderungen im Informationssicherheitsmanagement.
Der Wandel sollte daher nicht ausschließlich als technische Umstellung verstanden werden, sondern als Chance, Informationssicherheit effizienter, transparenter und nachhaltiger zu organisieren.
Die HiScout GmbH mit Hauptsitz in Berlin ist ein Softwareunternehmen mit etwa 50 Mitarbeitenden und wurde als 100%ige Tochter der HiSolutions AG am 19.03.2009 gegründet. Die HiScout GRC Suite besteht u.a. aus den Modulen HiScout Grundschutz, HiScout Datenschutz, HiScout ISM, HiScout Auditmanagement, HiScout Geheim- und Sabotageschutz und HiScout BCM und ist bei zahlreichen Bundes- und Landesbehörden sowie Unternehmen der Privatwirtschaft im Einsatz.
Die HiScout GmbH mit Hauptsitz in Berlin ist ein Softwareunternehmen mit etwa 50 Mitarbeitenden und wurde als 100%ige Tochter der HiSolutions AG am 19.03.2009 gegründet. Die HiScout GRC Suite besteht u.a. aus den Modulen HiScout Grundschutz, HiScout Datenschutz, HiScout ISM, HiScout Auditmanagement, HiScout Geheim- und Sabotageschutz und HiScout BCM und ist bei zahlreichen Bundes- und Landesbehörden sowie Unternehmen der Privatwirtschaft im Einsatz.
Datum: 18.08.2026 - 09:53 Uhr
Sprache: Deutsch
News-ID 2267557
Anzahl Zeichen: 0
Kontakt-Informationen:
Ansprechpartner: Karin Paulsen
Stadt:
Berlin
Telefon: +49 (30) 3300888-0
Kategorie:
Softwareindustrie
Dieser Fachartikel wurde bisher 7 mal aufgerufen.
Der Fachartikel mit dem Titel:
"Grundschutz++ und OSCAL"
steht unter der journalistisch-redaktionellen Verantwortung von
HiScout GmbH (Nachricht senden)
Beachten Sie bitte die weiteren Informationen zum Haftungsauschluß (gemäß TMG - TeleMedianGesetz) und dem Datenschutz (gemäß der DSGVO).