Crosswalk oder Ermessenssache? Wie viel Framework-Mapping auf veröffentlichten Belegen beruht

Jede Compliance-Plattform, Beratungstabelle und jedes Audit-Tool enthält Zuordnungen zwischen Frameworks. Meist wird nicht offengelegt, woher diese Zuordnungen stammen. Einige sind aus offiziellen Crosswalks übernommen; viele beruhen auf der besten Einschätzung einer Person, einmal erstellt und nie überprüft. Beides kann nützlich sein, aber Sie sollten wissen, worauf Sie sich verlassen.

ControlMapping kennzeichnet jede Verknüpfung: Crosswalk, wenn ein veröffentlichter Crosswalk sie stützt, redaktionell, wenn es sich um unsere Einschätzung mit angegebener Begründung handelt. Hier ist die Aufteilung.

Die Zahlen

Framework	Zuordnungen	Crosswalk	Redaktionell	Anteil des Crosswalks
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Alle	829	475	354	57%

Insgesamt sind etwas mehr als die Hälfte unserer Thema-Zuordnungen durch einen veröffentlichten Crosswalk belegt. Der Rest ist redaktionell. Die Aufteilung unterscheidet sich je nach Framework enorm.

Warum die Aufteilung variiert

Manche Frameworks haben maßgebliche Crosswalks. NIST veröffentlicht offizielle Zuordnungen von CSF 2.0 zu SP 800-53 und von SP 800-53 zu ISO 27001. ENISA, die EU-Agentur, veröffentlicht eine Zuordnung von jedem Punkt der NIS2-Durchführungsverordnung zu ISO 27001 und CSF 2.0. Anhang D von NIST SP 800-171 ordnet die Anforderungen von CMMC SP 800-53 zu. Zuordnungen für diese Frameworks sind größtenteils durch Crosswalks belegt.

Manche Crosswalks sind unvollständig. Die eigene Zuordnung von CIS im Katalog von NIST umfasst nur 49 der 153 CIS-Safeguards; die Zuordnung der PCI SSC zu CSF 2.0 lässt einige Kernanforderungen aus, etwa die MFA-Anforderungen. Alles darüber hinaus ist redaktionell.

Für manche Frameworks gibt es keinen brauchbaren Crosswalk. Für SOC 2, DSGVO (GDPR) oder die Essential Eight existiert kein offen lizenzierter Crosswalk. Jede Verknüpfung für diese ist redaktionell. Das macht sie nicht falsch, wohl aber zu einer Einschätzung, die Sie überprüfen können sollten.

Warum es wichtig ist

• Die Autorität unterscheidet sich. Ein Crosswalk von NIST oder ENISA hat eine öffentliche Kommentierung durchlaufen und wird branchenweit genutzt. Eine redaktionelle Zuordnung ist die Sicht eines einzelnen Analysten. Wenn ein Auditor fragt, warum Sie zwei Anforderungen als gleichwertig behandelt haben, ist „Die Zuordnung von NIST sagt das so“ die stärkere Antwort.
• Auch Crosswalks belegen keine Konformität. Selbst ein offizieller Crosswalk sagt nur, dass zwei Anforderungen verwandte Ergebnisse adressieren. Er sagt nicht, dass Ihre Umsetzung der einen die andere erfüllt.
• Unbeschriftete Zuordnungen verbergen Fehler. Wenn Sie nicht erkennen können, woher eine Zuordnung stammt, können Sie nicht erkennen, wann sie falsch ist. Wenn wir unsere eigenen Daten prüfen, machen gerade die Kennzeichnungen Fehler bei redaktionellen Zuordnungen schnell auffindbar und behebbar.

Die wichtigsten Erkenntnisse

• Nur etwas mehr als die Hälfte unserer Thema-Zuordnungen beruht auf einem veröffentlichten Crosswalk; der Rest ist redaktionelle Einschätzung.
• Der Anteil variiert je Framework: hoch bei NIST, NIS2 und CMMC, null bei SOC 2, DSGVO (GDPR) und den Essential Eight.
• Eine Einschätzung ist nicht falsch, sollte aber gekennzeichnet und erklärt werden.
• Fragen Sie bei jeder Zuordnung nach Quelle, Version, Bedeutung und Begründung, bevor Sie sich darauf verlassen.

Was Sie bei jeder Zuordnung fragen sollten

1. Was ist die Quelle? Ein offizieller Crosswalk, der Framework-Eigentümer oder die Einschätzung einer Person?
2. Ist die Begründung sichtbar? Eine redaktionelle Verknüpfung sollte erklären, warum sie besteht.
3. Welche Version? Zuordnungen zu ersetzten Versionen (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1) können gravierend falsch sein.
4. Was bedeutet „zugeordnet“? Gleichwertig, teilweise überlappend oder lediglich verwandt?

Unsere Methodik benennt jede Quelle und Version, jede Anforderungsseite zeigt die Grundlage jeder Verknüpfung, und die Downloads enthalten die Spalte mit den Belegen, damit Sie unsere Arbeit überprüfen können.

Fragen

Was ist ein Framework-Crosswalk?

Eine veröffentlichte Zuordnung zwischen den Anforderungen zweier Frameworks, etwa NISTs Zuordnung von SP 800-53 zu ISO 27001. Sie zeigt, dass Anforderungen verwandte Ergebnisse adressieren, nicht dass die Erfüllung der einen die andere erfüllt.

Warum sind SOC-2-Zuordnungen redaktionell?

Das AICPA veröffentlicht Zuordnungen der Trust Services Criteria zu anderen Frameworks, jedoch nicht unter einer offenen Lizenz, daher kann ControlMapping sie nicht als Beleg verwenden. Jede SOC-2-Verknüpfung ist unsere Einschätzung, mit angezeigter Begründung.

Sind redaktionelle Zuordnungen weniger genau als Crosswalks?

Nicht unbedingt; eine Expertenbeurteilung kann präziser sein als ein breiter veröffentlichter Crosswalk. Der Unterschied liegt in Autorität und Nachprüfbarkeit, weshalb redaktionelle Verknüpfungen immer eine Begründung enthalten sollten.