Publikation von Christoph Puppe
Community-Beiträge zur Stand-der-Technik-Bibliothek des BSI
Seit das BSI die Stand-der-Technik-Bibliothek mit den maschinenlesbaren Grundschutz++-Katalogen auf GitHub veröffentlicht, begleite ich die Publikation als Reviewer: 21 Issues seit November 2025, ein Teil bereits umgesetzt und geschlossen. Die Beiträge zerfallen in drei Gruppen. Die erste betrifft die OSCAL-Substanz, also das, was maschinenlesbare Compliance von JSON-förmigem Papier unterscheidet: instabile Namespace-URIs, die auf tree/main-Links zu CSV-Dateien zeigen statt auf stabile Identifier (#57), mehrwertige Angaben als kommaseparierte Strings statt nativer OSCAL-Konstrukte (#56), identische Control-IDs in Anwenderkatalog und Mindeststandard-TLS mit Kollisionsrisiko bei der Profilauflösung (#55) und der Vorschlag, das Erweiterungs-Vokabular als externe Metaschema-Constraints zu formalisieren (#58). Die zweite Gruppe betrifft die Methodik und Modellierung: 265 Kernel-Controls ohne geregelte Zielobjektkategorie für Prozesse (#81), die ungeregelte Zuweisung der Kategorie „IT-Produkte“ für beschaffte Zielobjekte (#82) und 36 von 95 Methodik-Controls ohne documentation-Property, obwohl mehrere davon ausdrücklich Dokumentation verlangen (#80). Die dritte Gruppe sind Prozessvorschläge und Korrekturen: Releases, Versionierung und ein Changelog für nachvollziehbare Änderungen (#72, #73), Updates als Pull Requests statt stiller Neuveröffentlichung (#52) sowie konkrete Fehler vom falsch benannten Gesetz (#76) bis zum fehlenden Control im Anwenderkatalog (#78). Die Essays „What happened in the BSI Stand-der-Technik-Bibliothek“ oben liefern die dazugehörige Analyse der Publikationspipeline.