OSCAL Foundation löst sich auf

Die OSCAL Foundation wird aufgelöst. Das hat ihr Technical Coordinator Stephen Banghart am Dienstag, dem 10. November, per E-Mail an die Community mitgeteilt. Die gemeinnützige Organisation war Anfang 2025 angetreten, um Verbreitung, Weiterentwicklung und Internationalisierung der Open Security Controls Assessment Language (OSCAL) zu bündeln.

Gescheitert ist sie an fehlender Nachfrage. OSCAL entstand ab 2016 als gemeinsames Projekt der US-Standardisierungsbehörde NIST und des Cloud-Zulassungsprogramms FedRAMP, gedacht als maschinenlesbares Datenformat für dessen Autorisierungspakete. FedRAMP hat nach eigenen Angaben 2025 mehr als 100 Rev5-Autorisierungen bearbeitet, ohne dass eine einzige Einreichung OSCAL nutzte. Auch die Teilnehmer des Pilotverfahrens FedRAMP 20x strukturierten ihre maschinenlesbaren Unterlagen anders.

IT-Grundschutz++ auf OSCAL

Den größten neuen Anwender hat die Foundation übersehen: Das BSI hat den IT-Grundschutz++ gerade auf OSCAL umgestellt und veröffentlicht seine Kataloge in dem Format. In der Arbeit der Foundation spielte das keine erkennbare Rolle. Das BSI zeigte sich von der Meldung überrascht.

Wie es weitergeht, ist offen. Die Spezifikation ist Open Source, und es existieren genügend Forks, um den Bestand zu sichern, falls das NIST sein Repository löscht. Der Name OSCAL ist allerdings als Marke geschützt, ein Fork müsste also anders heißen.