Stand der Technik
Gesetze wie das BSI-Gesetz verlangen von Einrichtungen Sicherheitsmaßnahmen, die den Stand der Technik berücksichtigen. Was das konkret heißt, ließ sich bisher nur aus vielen Einzelquellen ableiten: Normen, Technische Richtlinien, Mindeststandards, das IT-Grundschutz-Kompendium.
Mit Grundschutz++ identifiziert und veröffentlicht das BSI den Stand der Technik an einer Stelle, auf Grundlage bestehender Normen etwa von ISO, ETSI und IETF. Das Sicherheitsniveau „normal-SdT“ im Anforderungspaket steht genau dafür: die Anforderungen, die nach Einschätzung des BSI den Stand der Technik abbilden.
Wie komme ich an den Stand der Technik?
Gesetze nennen den Stand der Technik, definieren ihn aber nicht im Detail. So gehen Sie praktisch vor:
- Pflicht klärenWelche Vorgabe verlangt bei Ihnen den Stand der Technik, etwa das BSI-Gesetz für NIS2-Einrichtungen, Art. 32 DSGVO oder ein Vertrag? Daraus ergeben sich Geltungsbereich und Nachweisform.
- Amtliche Referenz nutzenDer Anwenderkatalog Grundschutz++ im Sicherheitsniveau normal-SdT ist die Einschätzung des BSI. Ergänzend gelten Mindeststandards und Technische Richtlinien des BSI sowie branchenspezifische Sicherheitsstandards (B3S).
- Technologien bewertenFür einzelne Maßnahmen und Produkte hilft die Handreichung des TeleTrusT. Sie zeigt, wie man den Stand der Technik methodisch bestimmt und bewertet.
- Entscheidung dokumentierenHalten Sie fest, welche Quelle Sie herangezogen haben, wie Parameter konkretisiert wurden und warum eine Maßnahme dem Stand der Technik entspricht.
- Regelmäßig überprüfenDer Stand der Technik bewegt sich. Prüfen Sie Ihre Bewertung mindestens bei neuen Katalogversionen und im Rahmen der Managementbewertung.
TeleTrusT-Handreichung „Stand der Technik in der IT-Sicherheit“
Der Bundesverband IT-Sicherheit TeleTrusT gibt seit Jahren eine Handreichung heraus, die Unternehmen, Anbietern und Dienstleistern hilft, den Stand der Technik in der IT-Sicherheit zu bestimmen. Sie eignet sich als Referenz für Verträge, Ausschreibungen und die Bewertung umgesetzter Maßnahmen. Die vollständig überarbeitete Neuausgabe ist 2025 erschienen, erstmals mit ISBN. Eine englische Fassung ist in Zusammenarbeit mit der ENISA entstanden.
Zur Handreichung beim TeleTrusT →
ATM Consulting arbeitet im TeleTrusT-Arbeitskreis „Stand der Technik“ mit. Die Handreichung ersetzt keine individuelle technische, organisatorische oder rechtliche Beratung.
Die Stand-der-Technik-Bibliothek
Das Architekturbild des BSI zeigt die Bibliothek als Zentrum eines größeren Systems:
| Bereich | Inhalt laut BSI-Architekturbild |
|---|---|
| Digitales Kompendium | Anforderungen, Hinweise, Meta-Informationen |
| Erweiterungen | Mindeststandards, Technische Richtlinien, ISO-Standards, Maßnahmen |
| SdT-Produkte | Checklisten, Werkzeuge, Landkarte, Statistiken |
| Kommunikation | intern mit BSI-Fachreferaten, Standardisierung, Zertifizierung; extern über Diskussionen, Pilotierungen, Workshops |
Technisch liegt die Bibliothek öffentlich auf GitHub, unter der Lizenz CC BY-SA 4.0. Sie ist in drei Ebenen gegliedert:
- Control Layer: Kataloge, Profile, aufgelöste Kataloge und Mappings. Hier liegt der Anwenderkatalog Grundschutz++.
- Implementation Layer: wiederverwendbare Beschreibungen konkreter Umsetzungen, etwa von Produkten, Diensten, Richtlinien und Prozessen.
- Assessment Layer: vorgesehen für maschinenlesbare Prüfartefakte zu Planung, Durchführung und Nachbereitung von Prüfungen. Diese Ebene ist bislang ein Platzhalter.
Issues und Diskussionen im Repository werden vom BSI nicht beantwortet; sie dienen der Community. Für die fachliche Zusammenarbeit nennt das BSI die Adresse stand-der-technik@bsi.bund.de.
OSCAL: Anforderungen als Daten
OSCAL steht für Open Security Controls Assessment Language. Das Format wurde vom US-amerikanischen NIST entwickelt und beschreibt Sicherheitsanforderungen, ihre Umsetzung und ihre Prüfung in maschinenlesbarer Form, als JSON, XML oder YAML.
OSCAL kennt mehrere aufeinander aufbauende Modelle:
- Catalog und Profile: die Anforderungen selbst und eine Auswahl daraus, etwa ein Anforderungspaket.
- Component Definition und System Security Plan: wie ein Produkt oder ein Informationsverbund die Anforderungen umsetzt.
- Assessment Plan, Assessment Results und Plan of Action and Milestones: Prüfung, Ergebnisse und Maßnahmenplanung.
Grundschutz++ nutzt OSCAL für die Kataloge. Die Modelle für Umsetzung und Prüfung entsprechen den Ebenen Implementation und Assessment der Bibliothek. OSCAL beim NIST →
Was das für Ihr ISMS bedeutet
Werkzeuge
Ein ISMS-Tool, das OSCAL einliest, übernimmt Anforderungen, Zielobjektkategorien und Parameter direkt aus dem Katalog. Neue Katalogversionen lassen sich abgleichen statt abzutippen. Fragen Sie Ihren Anbieter, welche Katalogversion unterstützt wird und wie Aktualisierungen eingespielt werden.
Nachweise
Jede Anforderung hat eine feste Kennung. Nachweise, Scans und Konfigurationsprüfungen lassen sich ihr eindeutig zuordnen. Mit Mappings auf andere Regelwerke wird ein Nachweis mehrfach nutzbar: einmal nachweisen, mehrfach ausleiten.
Audit
Parameter wie „regelmäßig“ sind ausdrücklich für die automatisierte Prüfung gedacht. Solange der Assessment Layer leer ist, bleibt die Prüfung selbst aber Handarbeit. Für Auditoren zählt deshalb vorerst: Tool, Zeitpunkt und Ergebnis jeder automatisierten Prüfung müssen nachvollziehbar dokumentiert sein.
ATM Consulting arbeitet im TeleTrusT-Arbeitskreis „Stand der Technik“ mit und setzt sich für einen gemeinsamen Kontrollkern und einheitliche Prüfgrundlagen in der Bibliothek ein.