Drei SOLLTE-Anforderungen tragen die Stufe „erhöht“, der Standard 300-1 sagt KANN

Faktgemeldetgefunden 27. Oktober 2026

Betrifft: BES.1.4, DET.4.12.1, REA.2.5
Nachprüfbar an: https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/blob/main/control_layer/Grundschutz++/Grundschutz++-resolved_catalog.json
Gemeldet: 29. Oktober 2026 über E-Mail an das Team Stand der Technik (BSI), Kopie an Referat S 13 und das Service Center

Jede Anforderung im Anwenderkatalog trägt ein Modalverb (MUSS, SOLLTE, KANN) und ein Sicherheitsniveau („normal-SdT“ oder „erhöht“). Der Standard 300-1 beschreibt in 3.4.2, wie beides zusammenhängt. Dieser Befund beschreibt, wo der Katalog davon abweicht. Er bewertet das BSI nicht.

Befund

Der Standard sagt in 3.4.2: „Anforderungen mit dem Sicherheitsniveau ‚erhöht‘ beinhalten das Modalverb ‚KANN‘ und sind optional zu erfüllen.“

Im Katalog (Version 2026-10-22, 1.000 Anforderungen) verteilen sich Modalverb und Niveau so:

Modalverb	Niveau	Anzahl
MUSS	normal-SdT	149
SOLLTE	normal-SdT	624
KANN	erhöht	224
SOLLTE	erhöht	3

Die drei Ausnahmen sind:

BES.1.4, Outsourcing-Strategie
DET.4.12.1, Auslastung des Netzes
REA.2.5, IT-Forensik

Nachprüfen

Mit einem Klon der Stand-der-Technik-Bibliothek, Commit 160c177 vom 23. Oktober 2026, und jq.

F=control_layer/Grundschutz++/Grundschutz++-resolved_catalog.json

# Anforderungen der Stufe "erhöht", deren Modalverb nicht KANN ist
jq -r '.. | objects | select(has("id") and has("parts"))
       | select(any(.props[]?; .name=="sec_level" and .value=="erhöht"))
       | select(any(.parts[]?; .name=="statement"
                 and any(.props[]?; .name=="modal_verb" and .value!="KANN")))
       | .id' $F
# BES.1.4
# DET.4.12.1
# REA.2.5

Der Satz des Standards steht in Kapitel 3.4.2, Seite 17 des PDFs.

Warum wichtig

Wer nach dem Niveau filtert, behandelt „erhöht“ als optional. Für diese drei Anforderungen sagt das Modalverb SOLLTE dagegen, dass sie normalerweise zu erfüllen sind. Welche der beiden Angaben gemeint ist, geht aus den Daten nicht hervor, deshalb nennen wir keine als die richtige. Betroffen ist jede Auswahl oder Suche, die das Niveau als Filter benutzt, auch der RAG-Datensatz dieses Projekts.