CPS 234 und ISO 27001: Was das ISMS abdeckt und was APRA ergänzt

Die Prudentielle Norm CPS 234 Informationssicherheit der APRA gilt seit dem 1. Juli 2019 für australische Banken, Versicherer und Superannuation-Treuhänder. Sie ist kurz: Die verbindlichen Anforderungen passen auf 24 Absätze, und sie beschreiben Ergebnisse statt Kontrollen. Das macht sie zu einer naheliegenden Ergänzung für Organisationen, die bereits ein ISO-27001-Informationssicherheits-Managementsystem betreiben. Die häufigste Frage lautet dann, wie viel von CPS 234 das ISMS bereits abdeckt.

Die Kernzahl

Von den 24 CPS 234-Absätze sind 23 (96%) auf etwas in ISO 27001 zugeordnet, 0 sind nur lose verwandt und 1 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Die APRA veröffentlicht kein Crosswalk, daher ist jede Verknüpfung hier redaktionell von ControlMapping erstellt, Absatz für Absatz, anhand derselben Sicherheitsthemen wie bei ISO 27001. Die vollständige Liste:

CPS 234	Anforderung	Abgleich	ISO 27001
Para 13	Board ultimately responsible for information security	Redaktionell	A.5.2A.5.4Clause 6.1.1Clause 6.1.3
Para 14	Define information security roles and responsibilities	Redaktionell	A.5.2A.5.4
Para 15	Maintain a capability commensurate with threats	Redaktionell	Clause 6.1.1Clause 6.1.3
Para 16	Assess third parties' information security capability	Redaktionell	A.5.19A.5.20A.5.21A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	Redaktionell	A.5.7A.8.8Clause 6.1.2Clause 6.1.3
Para 18	Maintain an information security policy framework	Redaktionell	A.5.1A.5.37Clause 5.2
Para 19	Policies direct everyone with security obligations	Redaktionell	A.5.1A.5.37Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	Redaktionell	A.5.9A.5.11A.5.12A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	Redaktionell	A.5.14A.8.10A.8.11Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	Redaktionell	A.5.19A.5.20A.5.21A.5.22
Para 23	Detect and respond to incidents in a timely manner	Redaktionell	A.5.24A.5.25A.5.26A.8.16
Para 24	Maintain information security response plans	Redaktionell	A.5.24A.5.25A.5.26
Para 25	Response plans cover all stages and escalation	Redaktionell	A.5.6A.5.24A.5.25A.5.26
Para 26	Review and test response plans annually	Redaktionell	A.5.24A.5.25A.5.26
Para 27	Systematic testing programme for control effectiveness	Redaktionell	A.8.8Clause 6.1.1Clause 6.1.3
Para 28	Check third parties' control testing is adequate	Redaktionell	A.5.19A.5.20A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	Keine Zuordnung in unseren Daten	—
Para 30	Testing by skilled, functionally independent specialists	Redaktionell	A.8.8
Para 31	Review the testing programme at least annually	Redaktionell	Clause 6.1.1Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	Redaktionell	A.5.31A.5.36Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	Redaktionell	A.5.31A.5.36Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	Redaktionell	A.5.19A.5.20A.5.22A.5.31
Para 35	Notify APRA of material incidents within 72 hours	Redaktionell	A.5.5A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	Redaktionell	A.5.5A.6.8

Die Übereinstimmung ist eng, weil CPS 234 und ISO 27001 eine ähnliche Struktur haben: ein Richtlinienwerk, Klassifizierung der Informationswerte, risikobasiert gewählte Kontrollen, Vorfallmanagement, Tests und interne Revision.

Was CPS 234 zusätzlich verlangt

Die Verknüpfungen zeigen, wo Sie suchen müssen; die Details sind der Punkt, an dem CPS 234 weiter geht.

• Der Vorstand trägt die letztendliche Verantwortung für die Informationssicherheit (Absatz 13), und Rollen müssen vom Vorstand an abwärts definiert werden (Absatz 14). ISO 27001 verlangt von der obersten Leitung, Führung und Engagement zu zeigen; CPS 234 weist die Verantwortung namentlich dem Vorstand zu, und die APRA überwacht, wie sie wahrgenommen wird.
• Dritte liegen innerhalb des Perimeters. Sie müssen die Sicherheitsfähigkeit jeder verbundenen oder dritten Partei beurteilen, die Ihre Informationswerte verwaltet (Absatz 16), das Design ihrer Kontrollen bewerten (Absatz 22), prüfen, ob deren Kontrolltests Ihrem eigenen Standard genügen, wenn Sie sich darauf stützen (Absatz 28), und die interne Revision die Zusicherungen beurteilen lassen, die sie Ihnen geben (Absatz 34). Die Lieferantenkontrollen der ISO 27001 (A.5.19 bis A.5.22) decken dasselbe Feld ab; CPS 234 verlangt ausdrücklich die Prüfung der Kontrollen Dritter, nicht nur deren vertragliche Bindung.
• Tests durch unabhängige Fachleute. Kontrolltests müssen systematisch erfolgen, mit einer Häufigkeit, die sich an Bedrohungen, Kritikalität und Änderungen orientiert (Absatz 27), und von angemessen qualifizierten und funktional unabhängigen Fachleuten durchgeführt werden (Absatz 30). Mängel, die sich nicht rechtzeitig beheben lassen, gehen an den Vorstand oder die Geschäftsleitung (Absatz 29).
• Jährlich getestete Reaktionspläne (Absatz 26). ISO 27001 verlangt Vorfallplanung, legt aber keine Häufigkeit fest.
• Die APRA informieren. Die APRA ist innerhalb von 72 Stunden nach Kenntniserlangung über einen wesentlichen Informationssicherheitsvorfall zu benachrichtigen (Absatz 35) und innerhalb von 10 Geschäftstagen über eine wesentliche Kontrollschwäche, die Sie nicht rechtzeitig beheben können (Absatz 36). Ein ISMS kennt keine Meldefrist einer Aufsichtsbehörde.

Die Gegenrichtung

Von den 123 ISO 27001-Anhang-A-Maßnahmen und ISMS-Klauseln sind 35 (28%) auf etwas in CPS 234 zugeordnet, 40 sind nur lose verwandt und 48 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Der Großteil von ISO 27001 hat in unseren Daten keine Verknüpfung zu CPS 234. Das liegt nicht daran, dass CPS 234 sich nicht um Zugriffskontrolle, Verschlüsselung oder physische Sicherheit kümmert: Die Norm verlangt Kontrollen, die zu Ihren Bedrohungen passen, nennt sie aber nicht namentlich. Wenn Sie ohne ISMS auf CPS 234 hinarbeiten, ist Anhang A ein sinnvoller Katalog, um diese Kontrollen auszuwählen, und der Leitfaden der APRA, CPG 234, beschreibt, was sie als bewährte Praxis ansieht.

Ein praktischer Plan

1. Ordnen Sie Ihre Erklärung zur Anwendbarkeit den oben genannten CPS-234-Absätzen zu; die Lückenanalyse exportiert sie als Tracker.
2. Ergänzen Sie die Berichterstattung an den Vorstand, die zeigt, dass der Vorstand seine Verantwortung wahrnimmt, und nicht nur Berichte entgegennimmt.
3. Stärken Sie die Zusicherung durch Dritte für jede Partei, die Ihre Informationswerte verwaltet, nicht nur für ausgelagerte wesentliche Geschäftstätigkeiten.
4. Prüfen Sie die Unabhängigkeit der Tester und die Häufigkeitsregeln Ihres Testprogramms.
5. Schreiben Sie das Verfahren zur Benachrichtigung der APRA mit beiden Fristen und testen Sie es jährlich zusammen mit Ihren Reaktionsplänen.
6. Lesen Sie CPS 230 parallel. Seit dem 1. Juli 2025 deckt die Norm der APRA zum operationellen Risiko Business Continuity und Dienstleister ab, was CPS 234 nicht tut.

Wichtigste Erkenntnisse

• Ein ISO-27001-ISMS deckt nahezu jeden Absatz von CPS 234 ab.
• Die zusätzlichen Anforderungen von CPS 234 betreffen die Verantwortung des Vorstands, Zusicherungen durch Dritte, unabhängige Tests und die Benachrichtigung der APRA.
• CPS 234 nennt keine Kontrollen, daher ist Anhang A von ISO 27001 ein guter Ort, um sie auszuwählen.

Wie es weitergeht

Die Framework-Seite zu CPS 234 listet jeden Absatz mit dem Originaltext der APRA auf, und der Vergleich ISO 27001 vs. CPS 234 zeigt beide Richtungen. Unser ISO-27001-Leitfaden behandelt die Zertifizierung.

Fragen

Erfüllt die ISO-27001-Zertifizierung die Anforderungen von APRA CPS 234?

Nicht allein. Ein ISO-27001-ISMS deckt nahezu jeden Absatz von CPS 234 ab, aber die APRA beaufsichtigt CPS 234 direkt, und die Norm enthält zusätzliche Pflichten: die letztendliche Verantwortung des Vorstands, die Bewertung und Prüfung der Kontrollen Dritter, Tests durch funktional unabhängige Fachleute sowie die Benachrichtigung der APRA innerhalb von 72 Stunden nach einem wesentlichen Vorfall und innerhalb von 10 Geschäftstagen nach einer wesentlichen Kontrollschwäche.

Gibt es eine offizielle Zuordnung zwischen CPS 234 und ISO 27001?

Die APRA veröffentlicht keine. Die Verknüpfungen auf ControlMapping sind redaktionell erstellt, Absatz für Absatz, und jede zeigt ihre Begründung.

Was ist CPG 234?

Der Praxisleitfaden der APRA CPG 234 beschreibt bewährte Praktiken zur Erfüllung von CPS 234. Er nennt konkrete Praktiken, ist aber nicht verbindlich, und ControlMapping ordnet ihn nicht zu.