Grundschutz++ und OSCAL
Neue Anforderungen an moderne ISMS
Berlin, 18.08.2026 (PresseBox) - Die Informationssicherheit befindet sich im Wandel. Mit der Weiterentwicklung des IT-Grundschutzes in Richtung Grundschutz++ und der Nutzung von OSCAL (Open Security Controls Assessment Language) gewinnt ein Ansatz an Bedeutung, der Sicherheitsinformationen nicht mehr primär dokumentenbasiert, sondern datenbasiert organisiert. Für viele Organisationen stellt sich damit die Frage, ob bestehende Werkzeuge und Prozesse den zukünftigen Anforderungen noch gerecht werden.
OSCAL verändert die Arbeitsweise im ISMS
OSCAL wird häufig als neues Austauschformat für Sicherheitsinformationen beschrieben. Tatsächlich geht die Bedeutung des Standards jedoch deutlich weiter. OSCAL wurde entwickelt, um Sicherheitsanforderungen, Maßnahmen, Bewertungen und Nachweise in einer standardisierten, maschinenlesbaren Struktur abzubilden. Ziel ist es, Sicherheits- und Compliance-Prozesse stärker zu standardisieren und Automatisierungspotenziale nutzbar zu machen.
Dadurch verändert sich die Art und Weise, wie Informationen im Informationssicherheitsmanagement verwaltet werden. Maßnahmen, Nachweise, Bewertungen und Verantwortlichkeiten sollen nicht mehr isoliert in Dokumenten und Tabellen gepflegt, sondern über klar definierte Beziehungen miteinander verknüpft werden.
Wenn gewachsene Strukturen an Grenzen stoßen
In vielen Unternehmen ist das Informationssicherheitsmanagement über Jahre organisch gewachsen. Excel-Tabellen, Word-Dokumente, SharePoint-Strukturen und individuelle Ablagen bilden häufig das Fundament der täglichen Arbeit. Solange Umfang und Komplexität überschaubar bleiben, können solche Ansätze durchaus funktionieren.
Mit zunehmenden regulatorischen Anforderungen und steigenden Erwartungen an Nachvollziehbarkeit, Konsistenz und Auditfähigkeit werden jedoch strukturelle Schwächen sichtbar.
Typische Herausforderungen sind:
- Mehrfach gepflegte Maßnahmen mit unterschiedlichen Bearbeitungsständen
- Uneinheitliche Bezeichnungen und Bewertungslogiken
- Fehlende Verknüpfungen zwischen Maßnahmen, Nachweisen und Auditergebnissen
- Hoher manueller Aufwand für Berichte und Compliance-Nachweise
- Erschwerte Nachvollziehbarkeit von Änderungen und Verantwortlichkeiten
Mehr Transparenz bei Audits und Compliance
Besonders relevant wird dieser Wandel im Umfeld von Audits und Compliance-Anforderungen. Prüfer erwarten zunehmend nachvollziehbare Zusammenhänge zwischen Anforderungen, umgesetzten Maßnahmen und den dazugehörigen Nachweisen.
In vielen Organisationen liegen diese Informationen heute noch verteilt in unterschiedlichen Dokumenten und Systemen vor. Die Zusammenführung erfolgt häufig erst im Rahmen konkreter Prüfungen. Dies erhöht den Aufwand und erschwert die Bewertung des tatsächlichen Sicherheitsstatus.
Ein datenmodellbasierter Ansatz schafft hier deutliche Vorteile. Sicherheitsmaßnahmen, Bewertungen und Nachweise können in einer konsistenten Struktur miteinander verbunden werden. Dadurch lassen sich Informationen schneller bereitstellen, Änderungen nachvollziehen und Prüfprozesse effizienter gestalten.
Von der Dokumentation zur Datenbasis
Die eigentliche Veränderung durch Grundschutz++ und OSCAL ist daher weniger technischer als organisatorischer Natur. Informationssicherheit entwickelt sich zunehmend von einer dokumentenzentrierten Disziplin zu einer datengetriebenen Arbeitsweise.
Für Organisationen bedeutet dies, bestehende Prozesse kritisch zu hinterfragen:
- Sind Maßnahmen zentral und konsistent verwaltet?
- Lassen sich Nachweise eindeutig zuordnen?
- Können Informationen ohne Medienbrüche weiterverarbeitet werden?
- Ist das ISMS auf zukünftige Automatisierungsanforderungen vorbereitet?
Ausblick
Mit Grundschutz++ und OSCAL entstehen die Voraussetzungen für stärker automatisierte, nachvollziehbare und standardisierte Sicherheits- und Compliance-Prozesse. Unternehmen, die bereits heute auf strukturierte Datenmodelle und konsistente Informationsstrukturen setzen, schaffen eine wichtige Grundlage für zukünftige Anforderungen im Informationssicherheitsmanagement.
Der Wandel sollte daher nicht ausschließlich als technische Umstellung verstanden werden, sondern als Chance, Informationssicherheit effizienter, transparenter und nachhaltiger zu organisieren.
