Publikation von Christoph Puppe
German BSI Baseline Manual goes OSCAL: Tools and Learnings
Der Vortrag in der monatlichen Workshop-Reihe des NIST erzählt dem amerikanischen OSCAL-Publikum die deutsche Geschichte: warum das BSI seinen Grundschutz nach drei Jahrzehnten Papier als maschinenlesbaren Katalog neu baut und was anderthalb Jahre praktische Arbeit mit dem Format gelehrt haben. Die zentrale Lektion: Einen Prosa-Standard nach OSCAL zu bringen heißt Semantik rekonstruieren, und das Budget muss das einpreisen. Ein einziger typischer Anforderungssatz trägt sieben implizite Felder, von Control-ID über Modalverb und Rolle bis zu Schutzzielen und Gefährdungsbezug; OSCAL verlangt sie alle explizit. Die Konvertierungspipeline für die Edition 2023 folgt darum einer harten Regel: Was Regex sein kann, muss Regex sein, das LLM bekommt nur den Rest. Die Bilanz des Formats fällt zweigeteilt aus. Die Trennung von Catalog und Profile passt sauber auf Kompendium und Modellierung, und Back-Matter-Importe lassen sich auf Commit und SHA-256 pinnen. Aber Modalität hat kein natives Feld, die Rollensemantik ist flacher als der Grundschutz-Rollenkatalog, und die Profilauflösung gegen bewegliche Branches verwirft Controls ohne Warnung. Am schärfsten zeigt sich das beim Props-Problem: Die rund 1.000 Controls des Anwenderkatalogs tragen 13.000 Props, im Median 13 pro Control, und die Hälfte der konvertierten Daten steckt in Feldern, deren Bedeutung außerhalb des Dokuments lebt. Ein Prop ist ein Versprechen ohne Vertrag, und Werkzeuge ignorieren, was sie nicht validieren können. Daraus folgt der konkrete Vorschlag an die Community: im Dokument deklarierte, selbstbeschreibende Extensions mit Datentypen, erlaubten Werten und Wirkungsklassen, eingereicht als Draft-Pull-Request 2267 im OSCAL-Repository des NIST und abgeleitet aus dem Facetten-Modell von JASCON. Dazu Live-Demos, vom OSCAL Pruner gegen das Kontextfenster-Problem bis zur SSP-Werkstatt im Browser. Der Zeitdruck dahinter ist real: Alle Bundesbehörden, die meisten Landesbehörden und eine vierstellige Zahl von Unternehmen müssen bis zum 1. Januar 2031 migrieren. Das Schlusswort taugt als Programm: Compliance-as-Code lässt Audits nicht verschwinden, es macht sie langweilig. Ein größeres Kompliment kann ein Audit nicht bekommen.
Folien (PDF) · Folien beim NIST · Video (MP4) · Transkript · Workshop-Reihe beim NIST · Permalink