Die Mapping-Datei des BSI ist als Entwurf gekennzeichnet und lässt 17 Bausteine aus

Fakt?gemeldet?gefunden 18. Oktober 2026

Betrifft

APP.2.3, CON.2, CON.3, CON.6, IND.2.2, IND.2.3, INF.5, INF.6, INF.7, INF.9, NET.4.3, OPS.1.2.4, ORP.4, SYS.1.2.2, SYS.1.3, SYS.2.4, SYS.3.2.3

Nachprüfbar an

https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/blob/main/control_layer/Mappings/IT-GS2023-zu-GSpp/ITGS-to-GS++-mapping_collection.json

Gemeldet

19. Oktober 2026 über E-Mail an das BSI Service Center (Kopie an die Stand-der-Technik-Redaktion)

Die Vergleichsseiten dieses Projekts beruhen auf der Mapping-Datei, mit der das BSI die Anforderungen des IT-Grundschutz-Kompendiums (Edition 2023) den Anforderungen von Grundschutz++ zuordnet. Beim genauen Lesen der Datei fielen drei Dinge auf, die für den Umgang mit den Zuordnungen wichtig sind. Dieser Befund beschreibt, was in der Datei steht. Er bewertet das BSI nicht.

Befund

1. Die Datei kennzeichnet sich selbst als Entwurf. In den Metadaten steht status: draft, bei beiden Zuordnungsgruppen ebenfalls. Dazu mode: draft und only_done: false, letzter Änderungsstand 21. Juli 2026.
2. 17 von 111 Bausteinen kommen nicht vor. Es gibt keine einzige Zuordnung zu ihnen, darunter ORP.4 (Identitäts- und Berechtigungsmanagement), CON.2 (Datenschutz), CON.3 (Datensicherungskonzept) und CON.6 (Löschen und Vernichten). Die Liste mit allen 17 steht unter Vergleich.
3. Bei 156 von 1185 Zuordnungen steht relationship_defaulted: true. Alle 156 haben den Beziehungstyp „überschneidet sich mit“, den schwächsten der fünf Typen. Wir lesen das so, dass der Typ dort nicht einzeln bewertet, sondern als Standardwert gesetzt wurde. Eine Beschreibung der Eigenschaft haben wir in der Stand-der-Technik-Bibliothek nicht gefunden; das ist unsere Lesart, keine Aussage des BSI.

Nachprüfen

Mit einem Klon der Stand-der-Technik-Bibliothek und jq, Stand der Bibliothek zum Zeitpunkt der Prüfung: Commit a128311 vom 1. Oktober 2026.

F=control_layer/Mappings/IT-GS2023-zu-GSpp/ITGS-to-GS++-mapping_collection.json

# 1. Status der Datei und der beiden Gruppen
jq -r '.["mapping-collection"].provenance.status' $F          # draft
jq -c '[.["mapping-collection"].mappings[].status]' $F        # ["draft","draft"]

# 3. Zuordnungen mit Standardwert und alle Zuordnungen
jq '[.["mapping-collection"].mappings[].maps[]
     | select(any(.props[]; .name=="relationship_defaulted" and .value=="true"))]
    | length' $F                                                # 156
jq '[.["mapping-collection"].mappings[].maps[]] | length' $F    # 1185

Für Punkt 2 genügt es, die Bausteine der Datei zu zählen (94) und mit den 111 Bausteinen des Kompendiums zu vergleichen.

Warum wichtig

Wer nach den Vergleichsseiten migriert, nimmt die Zuordnungen als belastbar. Ein Entwurf, in dem ein Teil der Bausteine fehlt und ein Teil der Beziehungstypen nicht einzeln bewertet ist, trägt diese Belastbarkeit nicht ohne Hinweis. Die Dateien selbst sind als Entwurf gekennzeichnet, das ist korrekt und kein Fehler. Der Fehler lag bei uns: Die Seite nannte die Datei „offiziell“ und erwähnte den Entwurfsstatus nicht.

Was daraus folgte

• Die Seite Vergleich und jede Baustein-Seite weisen den Entwurfsstatus jetzt aus. Die 156 Zeilen mit Standardwert tragen am Beziehungsbadge einen Stern, die 17 Bausteine ohne Zuordnung stehen in einer eigenen Liste, und die Suche antwortet für sie mit einer Erklärung statt zu schweigen.
• Der Hinweis wird aus den Metadaten der Datei erzeugt. Steht dort kein draft mehr, verschwindet er von selbst.
• Wir haben am 19. Oktober 2026 beim BSI nachgefragt, ob die Datei finalisiert werden soll, und ob die fehlenden Bausteine und die Standardwerte Lücken des Entwurfs oder Absicht sind. Die Antwort tragen wir hier nach.

Offen

• Ob die Inhalte der 17 Bausteine im Grundschutz++-Katalog an anderer Stelle aufgehen, haben wir nicht Anforderung für Anforderung geprüft. Das wäre eine eigene Beobachtung und gehört nicht in diesen Befund.
• Die Datei kann sich zur Vorstellung der Methodik auf der it-sa (27.–29. Oktober 2026) ändern. Dann wird dieser Befund aktualisiert.