Grundschutz++ als Code, Teil 7: Ein Nachweis, viele Standards

01 — Was ein Mapping in OSCAL ist

Eine Mapping Collection sagt für jede Anforderung eines Quellkatalogs, welche Anforderungen eines Zielkatalogs ihr entsprechen. Jede Zuordnung trägt eine Beziehung: equal-to, equivalent-to, subset-of, superset-of oder intersects-with.

Die Beziehung ist der eigentliche Inhalt. intersects-with heißt: Die Ziele decken einen Teil ab, nicht alles. Das Modell kam erst mit OSCAL 1.2.0 im Dezember 2025 dazu.

02 — Grundschutz++ als Drehscheibe

Das BSI liefert neben dem Katalog ein Mapping von ISO 27001 Annex A auf Grundschutz++. Für NIS2, DORA, C5:2026 und SOC 2 gibt es keins. Meine folgen einem einfachen Prinzip. Jede Quellanforderung nennt die Annex-A-Controls, denen sie entspricht. Die Grundschutz++-Ziele folgen dann aus dem Mapping des BSI.

Das einzige Urteil, das ich selbst fälle, ist der Schritt zu ISO. Den kann eine Prüferin gegen eine Liste kontrollieren, die sie kennt. Wo Annex A schweigt, setze ich direkte Ziele, etwa für Risikoanalyse, Mehr-Faktor-Anmeldung, den Umgang mit Schwachstellenmeldungen und Exit-Strategien.

• ISO 27001:2022 Annex A: das Mapping des BSI, 280 Grundschutz++-Anforderungen.
• NIS2: Art. 21 Abs. 2 a bis j, also § 30 Abs. 2 Nr. 1 bis 10 BSIG, 187 Anforderungen.
• NIS2-Durchführungsverordnung: die 49 Überschriften des Anhangs der Verordnung (EU) 2024/2690, Schritt zu ISO von ENISA, 223 Anforderungen.
• DORA: Art. 5 bis 30, 176 Anforderungen.
• C5:2026: 168 Kriterien, 384 Anforderungen.
• SOC 2: CC1 bis CC9, A1 und C1, 231 Anforderungen.

Für einen Teil von NIS2 muss ich den Schritt zu ISO nicht selbst gehen. Die Durchführungsverordnung (EU) 2024/2690 macht Art. 21 konkret für DNS- und Cloud-Anbieter, Rechenzentren, Managed Service Provider und weitere digitale Dienste, in 161 nummerierten Anforderungen. Zu ihrer Umsetzungshilfe hat ENISA eine Tabelle veröffentlicht, die jeder Überschrift die passenden Controls aus ISO 27001 zuordnet, unter CC BY 4.0. Das Preset nis2-ir übernimmt genau diese Zuordnung, und ein Werkzeug prüft, dass sie noch die von ENISA ist.

Ganz ohne Lesen geht das nicht. Die Spalte ist von Hand getippt: Mal steht ein griechisches Alpha, wo ein A gemeint ist, mal fehlt ein Punkt. Das Werkzeug liest sie nach festen Regeln und lehnt ab, was kein Control der Fassung 2022 ist. Ein Urteil von mir steckt nur noch in zwei Überschriften, für die ENISA allein Klauseln des Managementsystems nennt.

03 — Was der Bericht je Standard sagt

Gemessen wird gegen Grundschutz++. coverage.mjs folgt dem Mapping. Je NIS2-Absatz oder SOC-2-Kriterium sagt er, was die Messungen darüber aussagen. Mehr, als das Mapping erlaubt, sagt er nicht. Er kennt fünf Zustände: erfüllt, teilweise, nicht erfüllt, nicht gemessen und kein Mapping. „Erfüllt“ geht nur über eine Beziehung, die volle Abdeckung behauptet. Über intersects-with bleibt alles „teilweise“, auch wenn jede Messung grün ist.

node coverage.mjs --preset nis2 results/*.json

Der Bericht beginnt mit den Lücken, nicht mit einer Prozentzahl. So sieht er über die Ergebnisse einer Nacht aus, gemessen mit den fünf Checks aus Teil 8 im Testlauf am 13.10.2026:

10 requirements · mapping nis2-to-gspp.json (status draft) · results from 5 file(s)

- Not measured: 6 -- nothing evidences them; they are not satisfied by default.
- Draft mapping: every row below rests on a mapping not yet reviewed by a person.
- Not satisfied: 2
- Partial: 2
- Satisfied: 0

Sechs der zehn Buchstaben von Art. 21 Abs. 2 misst gar nichts. Zwei gelten als nicht erfüllt, weil der Update-Check einen Befund hatte. Die beiden übrigen bleiben teilweise, obwohl ihre Messung grün war. Die Beziehung ist intersects-with. Und von sieben beziehungsweise fünfzehn Zielen ist nur eines gemessen. Erfüllt ist nichts, und genau das ist die ehrliche Antwort.

04 — Warum „voll abgedeckt“ verweigert wird

Alle vier Mappings sind Entwürfe, mit KI-Hilfe geschrieben und noch von keinem Menschen geprüft. Solange das so ist, lehnt der Generator jede Beziehung ab, die volle Abdeckung behauptet. Erst wenn ein Prüfbogen durchgehakt ist, darf ein Mapping subset-of sagen.

Den Bogen erzeugt das Werkzeug gleich mit: je Quelle die Bemerkung, der Schritt zu ISO und jedes Ziel mit Titel und einem Kästchen zum Abhaken.

node worksheet.mjs --preset soc2 --sources 'CC6.*'

Ein Mapping ist eine Behauptung. Es macht aus einer Messung keinen Nachweis für einen anderen Standard. Es sagt nur, wie weit die Messung reicht.

05 — Was sich nicht abbilden lässt

Manches verlangt Grundschutz++ nicht, und das Mapping sagt das mit Begründung. DORA Art. 19, die Meldungen an die Aufsicht, ist so ein Fall. Bei C5 haben INQ-01 bis INQ-04, Anfragen von Behörden nach Kundendaten, kein Ziel.

Eine Lücke mit Begründung ist mehr wert als ein erzwungener Treffer.

06 — Die Gesetze selbst als Katalog

Für NIS2 und DORA gibt es keinen offiziellen OSCAL-Katalog. Der Generator erzeugt ihn aus dem deutschen Text im Amtsblatt und prüft dabei Adresse und SHA-256 jedes Dokuments. Andere Bytes lehnt er ab, und am Wortlaut ändert er nichts außer Leerzeichen.

So steht im Prüfbogen der Gesetzestext direkt neben den Zielen.

07 — Ein Katalog ohne Text

Bei SOC 2 ging das nicht. Die Trust Services Criteria gehören dem AICPA. Nach einer Registrierung kann man sie kostenlos lesen, weitergeben darf man sie nicht. Für fast alles, was eine Kette mit einem Standard tut, braucht sie den Text aber gar nicht. Mapping, Prüfplan und Ergebnis zeigen auf Kennungen. Den Wortlaut liest ein Mensch, der beurteilt, ob ein Ziel passt. Er hat die Quelle ohnehin offen.

standards/soc2.json enthält deshalb die 61 Kriterien der Fassung 2017 mit den überarbeiteten Points of Focus von 2022. Jedes trägt seine Kennung, einen Titel in eigenen Worten und den Hinweis, wo der Text steht. Die Metadaten tragen text-reproduced=none. So weiß auch ein Werkzeug, dass hier kein Wortlaut steht. Der Generator verweigert eine doppelte Kennung, ein Kriterium außerhalb seiner Serie und eine Anzahl, die nicht zur Quelle passt.

Dasselbe Muster trägt auch anderswo. C5:2026 ist maschinenlesbar veröffentlicht, aber unter CC BY-ND 4.0, also nutzt mein Mapping nur die Kennungen. Für ISO 27001 Annex A reichen die Control-Nummern und kurze eigene Titel. Das ist keine Rechtsberatung: Wer veröffentlichen will, prüft die Lizenz des jeweiligen Standards selbst.

08 — Was ein Mapping nicht ist

• Kein Audit: Ein NIS2-Bericht aus dem Mapping ersetzt keine Prüfung nach NIS2. Er zeigt, welche Messungen zu welchem Absatz etwas beitragen.
• Kein SOC-2-Bericht: Den schreibt eine Prüfungsgesellschaft. Die Kette liefert ihr den Stoff dafür, nämlich datierte Ergebnisse derselben Prüfungen über einen Zeitraum, je Kriterium lesbar. Davon handelt Teil 8.
• Nicht bei mir im Einsatz: Die Mappings sind gebaut und getestet. Mein eigenes ISMS braucht sie nicht.

09 — Die Serie im Überblick

1. Grundschutz++ gegen die eigene Dokumentation: die Methode, der Katalog als Datenmodell, der Abgleich mit IaC und GitOps.
2. Die Anwendbarkeit als Datensatz: die Anwendbarkeitserklärung als OSCAL-Profil.
3. Container, die sagen, welche Anforderungen sie erfüllen: eine signierte Komponentendefinition an jedem Image, das die Pipeline baut.
4. Messung als Nachweis: Prüfungen schreiben ihre Ergebnisse als OSCAL, datiert, signiert, nicht löschbar.
5. Das ISMS als Build-Produkt: Konzept, Prüfplan, Ergebnis und Maßnahmenplan als OSCAL-Kette, bei jeder Messung neu gebaut.
6. Was kein Repository weiß: die zweite Ebene, das laufende System gegen seinen Code.
7. Ein Nachweis, viele Standards: NIS2, DORA, C5 und SOC 2 als Mappings auf Grundschutz++. Dieser Beitrag.
8. Die Kette zum Mitnehmen: allgemeine Checks, der Bericht über einen Zeitraum und eine Vorlage, die alles zusammenschaltet.

Die Teile 1 bis 6 beschreiben, was in meinem ISMS läuft. Sie erscheinen erst, wenn der Schritt im Betrieb läuft und gemessen ist. Die Teile 7 und 8 zeigen Werkzeuge, die ich nach dem Feedback beim InfoSec-Stammtisch gebaut habe und selbst nicht einsetze. Der Code liegt in grundschutz-worksheets. Eine Karte der ganzen Serie zeigt OSCAL in der Praxis: acht Modelle, eine Kette.

Fazit

Mappings sind verführerisch, weil aus einer Messung fünf Berichte werden. Genau deshalb braucht jedes eine Regel, die volle Abdeckung verweigert, bis ein Mensch sie geprüft hat. Sonst wird aus einem grünen Branch-Schutz ein erfülltes NIS2-Kriterium, und niemand hat das je behauptet.

Ich setze die Mappings selbst nicht ein. Wer mehrere Standards zugleich nachweisen muss, bekommt damit aber eine ehrliche Antwort darauf, wie weit die eigenen Messungen reichen.

Weiter mit Teil 8: Die Kette zum Mitnehmen.