Blog
Blog
Analysen auf Basis der Crosswalk-Daten, praktische Anleitungen und Meinungen von Paul Gillet. RSS-Feed
Analyse
Analyse · 2026-10-27CPS 234 und ISO 27001: Was das ISMS abdeckt und was APRA ergänztEin ISO-27001-ISMS deckt nahezu jeden Absatz der CPS 234 der APRA ab, dennoch ergänzt die APRA Pflichten des Vorstands, Zusicherungen durch Dritte und strenge Meldefristen.
Analyse · 2026-10-27Cyber Essentials vs. Essential Eight: Zwei nationale Baselines im VergleichDas britische Cyber Essentials und das australische Essential Eight zielen beide auf gängige Angriffe ab, decken aber unterschiedliche Bereiche ab. Was sich überschneidet, was nicht und warum.
Analyse · 2026-10-27DORA vs NIS2: Was ein NIS2-Programm bereits abdecktDORA und NIS2 teilen den größten Teil ihrer Sicherheitsinhalte, doch DORA ergänzt ein Register, Vertragsklauseln und bedrohungsorientierte Tests. Artikel für Artikel: Was sich übertragen lässt.
Analyse · 2026-10-13MFA-Anforderungen im Vergleich über 11 Security-FrameworksWelche Frameworks MFA verlangen, für wen und wie streng: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 und HIPAA im direkten Vergleich.
Analyse · 2026-09-29HIPAA-Sicherheitsregel aus der Perspektive des NIST CSF 2.0Ein Programm nach NIST CSF 2.0 deckt nahezu jede Anforderung der HIPAA-Sicherheitsregel ab. Was sich übertragen lässt, die zwei Punkte, die nicht passen, und was CSF über HIPAA hinaus bietet.
Analyse · 2026-09-15Verschlüsselungsanforderungen im Vergleich: Was Frameworks vorgeben und was sie Ihnen überlassenWie ISO 27001, PCI DSS, CMMC, HIPAA, DSGVO (GDPR), und NIS2 Verschlüsselung ruhender und übertragener Daten sowie Schlüsselmanagement behandeln, mit den Anforderungs-IDs.
Analyse · 2026-08-18Incident Response: Anforderungen im Framework-VergleichIncident-Response-Pläne, Tests und Meldefristen im Vergleich über ISO 27001, SOC 2, PCI DSS, NIS2, DSGVO (GDPR), CMMC und HIPAA.
Analyse · 2026-08-04Physische Sicherheit über Frameworks hinweg: das Thema, das cloud-first-Unternehmen übersehenAnforderungen an physische Sicherheit im Vergleich von ISO 27001, PCI DSS, CMMC, HIPAA und SOC 2 und wie cloud-first-Unternehmen sie erfüllen.
Analyse · 2026-07-02Logging- und Aufbewahrungsanforderungen im VergleichAudit-Logging und Log-Aufbewahrung über ISO 27001, PCI DSS, CIS, SOC 2, HIPAA, CMMC und NIST im Vergleich, inkl. der wenigen festen Fristen.
Analyse · 2026-05-19Wie viel von PCI DSS v4.0.1 deckt ISO 27001 tatsächlich ab?ISO 27001 ist weniger als einem Drittel der PCI-DSS-v4.0.1-Anforderungen zugeordnet. Wo die Überschneidungen liegen, warum der größte Teil von PCI auch für ein ISMS neue Arbeit bedeutet und wie Sie sich darauf vorbereiten.
Analyse · 2026-04-07Sicherheitsartikel der DSGVO (GDPR) im ÜberblickDSGVO (GDPR) ist ein Datenschutzgesetz, enthält aber Sicherheitspflichten in den Artikeln 5, 25, 28, 32 bis 35 und 37 bis 39. Wie sie sich auf ISO 27001 und NIST abbilden und was ein ISMS auslässt.
Analyse · 2026-02-24Backup- und Wiederherstellungsanforderungen im Framework-VergleichVergleich von Backup-Häufigkeit, Schutz und Wiederherstellungstests in ISO 27001, CIS, PCI DSS, HIPAA, SOC 2, NIS2, den Essential Eight und NIST.
Analyse · 2026-01-06CMMC Level 2 und SP 800-53: Was Appendix D des NIST zeigtJede CMMC-Level-2-Praxis lässt sich über SP 800-171 Appendix D auf SP 800-53 zurückführen. Funktionsweise der Zuordnung, Änderungen in Rev 5 und die eine übrig gebliebene Praxis.
Analyse · 2025-11-25Die Sicherheitsthemen, die die wenigsten Frameworks verlangen, und warum das wichtig istDNS, Threat Intelligence, API- und Webanwendungssicherheit sind die Themen, die die wenigsten Frameworks verlangen. Warum das so ist und warum das kein Freibrief ist, sie auszulassen.
Analyse · 2025-10-14Was ISO 27001 in NIS2 abdeckt, Punkt für PunktISO 27001 lässt sich auf jeden Punkt der NIS2-Durchführungsverordnung abbilden, doch allein die Zertifizierung ist noch keine NIS2-Konformität. Was sich übertragen lässt, was nicht und warum.
Analyse · 2025-08-27Crosswalk oder Ermessenssache? Wie viel Framework-Mapping auf veröffentlichten Belegen beruhtWir haben jedes Framework-Mapping als veröffentlichten Crosswalk oder redaktionelle Einschätzung gekennzeichnet. Wie die Aufteilung je Framework variiert und warum sie für Sie wichtig ist.
Analyse · 2025-07-15Der gemeinsame Kern: Sicherheitsanforderungen aller FrameworksFünf Sicherheitsthemen finden sich in allen 11 großen Frameworks, von ISO 27001 und SOC 2 bis NIS2 und den Essential Eight. Was sie umfassen und warum Sie sie zuerst aufbauen sollten.
Analyse · 2025-06-03CIS Controls: Warum nur 49 von 153 Safeguards im Crosswalk stehenCIS' veröffentlichte Zuordnung zu NIST CSF 2.0 deckt nur 49 von 153 Safeguards ab. Warum und was das für CIS-Zuordnungen bedeutet, auf die Sie sich stützen.
Analyse · 2025-04-17Lieferantenrisiko und Lieferkettenrisiko: Wer verlangt wasVergleich der Anforderungen an Lieferanten- und Lieferkettensicherheit in ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, HIPAA und NIST CSF 2.0.
Analyse · 2025-04-02SOC-2-Kriterien ohne ISO-27001-Entsprechung und ihr HintergrundDie meisten SOC-2-Kriterien lassen sich auf ISO 27001 abbilden, die Verarbeitungsintegrität und die meisten Datenschutzkriterien hingegen nicht. Welche das sind, warum das so ist und was zu tun ist, wenn sie im Umfang enthalten sind.
Analyse · 2025-03-04NIST CSF 1.1 zu 2.0: Verbleib der zurückgezogenen SubkategorienNIST zog 79 CSF-1.1-Subkategorien in CSF 2.0 zurück und verschob oder fasste sie in anderen zusammen. Vollständige Tabelle und Hinweise zur Aktualisierung alter Zuordnungen.
Analyse · 2025-01-21Die Funktion Steuern von NIST CSF 2.0: Welche Frameworks decken sie bereits ab?CSF 2.0 hat die Funktion Steuern für Risikostrategie, Rollen, Richtlinien, Aufsicht und Lieferkettenrisiko ergänzt. Welche Frameworks sie bereits abdecken und wo Lücken bestehen.
Analyse · 2024-12-05Welches Security Framework ist der beste Ausgangspunkt? Wir haben es gemessenWir haben gemessen, wie viel von zehn anderen Frameworks jedes von 11 Security Frameworks abdeckt. SP 800-53 und ISO 27001 liegen vorn, doch entscheidend ist, wer fragt.
Analyse · 2024-10-22Essential Eight vs. ISO 27001: Warum die meisten Verknüpfungen nur „lose verwandt“ sindISO 27001 deckt im Prinzip jede Strategie der Essential Eight ab, doch die meisten Kontrollen der ASD sind nur lose mit Annex A verwandt. Was das für Sie bedeutet.Anleitung
Anleitung · 2026-09-01Vorbereitung auf eine CMMC-Level-2-Bewertung, wenn Sie bereits SP 800-53 betreibenWie Organisationen, die NIST SP 800-53 bereits betreiben, sich auf eine CMMC-Level-2-Bewertung vorbereiten können: CUI-Geltungsbereich, SSP, Wiederverwendung von Nachweisen und typische Fallstricke.
Anleitung · 2026-07-21Crosswalks richtig lesen und wann man ihnen nicht trauen darfWas ein Framework-Crosswalk über Beziehungstypen, Richtung, Versionen, Granularität und Urheberschaft verrät, mit Prüfungen vor dem Einsatz.
Anleitung · 2026-06-03Von ISO 27001 zu NIS2: praxisnaher Plan zur LückenschließungSchritt-für-Schritt-Plan für nach ISO 27001 zertifizierte Organisationen unter NIS2: Geltungsbereich, Registrierung, Leitungspflichten, Meldung und vertiefte Maßnahmen.
Anleitung · 2026-04-21Due Diligence bei Lieferanten: ein Prozess für viele FrameworksEin Due-Diligence-Prozess für Lieferanten für ISO 27001, SOC 2, PCI DSS, DSGVO (GDPR), HIPAA und NIS2: Einstufung, Prüfberichte, Verträge und Überwachung.
Anleitung · 2026-03-10Vom Lückenbericht zum Projektplan: Verantwortliche, Nachweise und ZeitpläneSo überführen Sie eine Framework-Lückenanalyse in einen Projektplan: Workstreams, Reihenfolge, Aufwand, Owner und bis zum Audit verfolgte Nachweise.
Anleitung · 2026-01-21Change-Management-Nachweise, die Auditoren akzeptierenWelche Change-Management-Nachweise bei Audits nach SOC 2 (CC8.1), ISO 27001 (A.8.32), PCI DSS und NIS2 bestehen, von Pull Requests bis zu Notfalländerungen.
Anleitung · 2025-12-09Nutzerzugriffsprüfungen, die jeden Auditor überzeugenSo führen Sie Nutzerzugriffsprüfungen durch, die Audits nach ISO 27001, SOC 2, PCI DSS, HIPAA und CMMC bestehen: Umfang, Häufigkeit, Prüfer und Nachweise.
Anleitung · 2025-10-28Lückenanalyse zwischen zwei Frameworks: Vorgehen und TrackerEine praxisnahe Methode für die Lückenanalyse zwischen zwei Sicherheits-Frameworks: Geltungsbereich festlegen, jede Übereinstimmung prüfen, Verknüpfungen validieren und daraus einen Tracker machen.
Anleitung · 2025-09-11Eine Risikobewertung für ISO 27001, SOC 2 und HIPAAWie Sie eine Informationssicherheits-Risikobewertung durchführen, die ISO 27001, SOC 2 und die HIPAA Security Rule erfüllt, und was jedes Audit prüft.
Anleitung · 2025-07-29Die Wahl des Ziel-Reifegrads der Essential EightSo wählen Sie einen Ziel-Reifegrad der Essential Eight: welche Stufe gegen welche Angreifer schützt, wer Level Two oder Three braucht und wie Sie aufsteigen.
Anleitung · 2025-06-17Erklärung zur Anwendbarkeit schreiben, die das Audit bestehtSo erstellen Sie eine Erklärung zur Anwendbarkeit nach ISO/IEC 27001:2022: was sie enthalten muss, wie Sie Ausschlüsse begründen und welche Auditfeststellungen häufig vorkommen.
Anleitung · 2025-05-20Berichterstattung an den Vorstand mit NIST CSF 2.0 ProfilenSo nutzen Sie NIST CSF 2.0 Current und Target Profiles, um dem Vorstand über Cybersicherheit zu berichten: was Sie zeigen sollten und wie Sie es mit Ihren Frameworks verknüpfen.
Anleitung · 2025-05-01Erster SOC 2-Bericht: Scope festlegen, ohne sich zu übernehmenSo legen Sie den Scope eines ersten SOC 2-Berichts fest: welches System, welche Trust Services Criteria, Carve-outs und ergänzende Kontrollen der Nutzerunternehmen sowie kostspielige Scope-Fehler.
Anleitung · 2025-03-18Richtlinien für mehrere Frameworks abbilden, nicht neu schreibenWie man ein Set an Sicherheitsrichtlinien strukturiert, das ISO 27001, SOC 2, NIST, PCI DSS und NIS2 erfüllt, und was jedes Framework schriftlich verlangt.
Anleitung · 2025-02-04Verfahren zur Vorfallmeldung für die NIS2-Fristen von 24 und 72 StundenSo erstellen Sie ein NIS2-Verfahren zur Meldung erheblicher Vorfälle: Bewertung der Erheblichkeit, die Frühwarnung nach 24 Stunden, die Meldung nach 72 Stunden und der Abschlussbericht nach einem Monat.
Anleitung · 2024-12-24Audit-Nachweise für SOC 2, ISO 27001 und PCI DSS wiederverwendenWelche Audit-Nachweise gleichzeitig SOC 2, ISO 27001 und PCI DSS dienen, was jeder Prüfer braucht, das die anderen nicht verlangen, und wie Sie sie einmal erheben.
Anleitung · 2024-11-06Ein Kontrollset für SOC 2 und ISO 27001: beide betreiben, ohne alles doppelt zu tunSo betreiben Sie SOC 2 und ISO 27001 aus einem einzigen Kontrollset: was sich überschneidet, was jeweils hinzukommt, wie Kontrollen und Nachweise strukturiert werden und wie sich die Audits aufeinander abstimmen lassen.Meinung
Meinung · 2026-06-17Warum wir jede Zuordnung als „Crosswalk“ oder „Redaktionell“ kennzeichnenControlMapping kennzeichnet jede Zuordnung als Crosswalk oder redaktionelle Einschätzung. Warum sichtbare Quellen bei Compliance-Daten zählen.
Meinung · 2026-05-05Der Fall für offene, kostenlose Compliance-DatenFramework-Mappings stecken größtenteils in kostenpflichtigen Tools und Tabellen. Warum Compliance-Mapping-Daten offen, nachvollziehbar belegt und kostenlos wiederverwendbar sein sollten.
Meinung · 2026-03-24Was 20 Jahre in der Cybersicherheit mich über Audits gelehrt habenLehren aus zwei Jahrzehnten Sicherheitsaudits: Nachweise schlagen Erzählungen, der Scope entscheidet alles, Kontrollen ohne Verantwortliche scheitern.
Meinung · 2026-02-05KI-generierte Sicherheitsrichtlinien: nützliche Abkürzung oder Audit-Risiko?Generative KI kann Sicherheitsrichtlinien in Minuten entwerfen. Wo das hilft, wo es Auditfeststellungen erzeugt und wie man sie ohne leere Richtlinien einsetzt.
Meinung · 2025-12-23Compliance ist nicht gleich Sicherheit, aber Crosswalks helfen bei beidemWarum bestandene Audits eine Organisation nicht sicher machen, wo Compliance und Sicherheit sich decken und wie Framework-Mapping Zeit für Sicherheit freisetzt.
Meinung · 2025-11-11Keine Compliance-Tools kaufen, bevor die Richtlinien stehenWarum Organisationen, die Compliance- oder Security-Tools kaufen, bevor sie festlegen, wie sie arbeiten, oft auf Shelfware sitzen bleiben, und die Reihenfolge der Arbeit, die das vermeidet.
Meinung · 2025-09-25Das Problem mit Anbieter-Crosswalks, die Sie nicht prüfen könnenCompliance-Plattformen verknüpfen Kontrollen per nicht prüfbarem Crosswalk mit vielen Frameworks. Warum das riskant ist und was Sie stattdessen fordern sollten.
Meinung · 2025-08-12NIS2-Haftung der Geschäftsleitung: Ändert sich damit das Verhalten von Leitungsgremien?NIS2 verpflichtet Leitungsgremien, Cybersicherheit zu genehmigen, zu überwachen und zu schulen, mit Haftung. Was sich dadurch ändert und was Leitungsgremien tun sollten.
Meinung · 2025-07-01Braucht ein kleines Unternehmen ISO 27001?Wann ISO 27001 für ein kleines Unternehmen sinnvoll ist, wann SOC 2 oder eine technische Baseline zuerst kommen sollte und wie die Zertifizierung verhältnismäßig bleibt.
Meinung · 2025-02-18Framework-Ermüdung: Ein Hub-Framework wählen und alles zuordnenWer mehreren Security-Frameworks genügen muss, verschleißt sich bei getrennter Umsetzung. Warum ein Hub-Framework mit Zuordnung besser funktioniert.
Meinung · 2025-01-07Sollten Organisationen außerhalb Australiens die Essential Eight nutzen?Die Essential Eight des ASD sind eine australische Baseline mit universell gültigen Empfehlungen. Warum Organisationen anderswo sie einführen könnten und wie sie sich neben ISO oder NIST einfügen.
Meinung · 2024-11-20Warum „Sind Sie SOC 2 zertifiziert?“ die falsche Frage istEs gibt keine SOC 2-Zertifizierung. Was die Frage wirklich verlangt, was ein SOC 2-Bericht zeigt und was nicht, und bessere Fragen an Anbieter.