Warum wir jede Zuordnung als „Crosswalk“ oder „Redaktionell“ kennzeichnen

Jede Zuordnung auf ControlMapping trägt eine von zwei Markierungen. Crosswalk bedeutet, dass ein veröffentlichter Crosswalk die Verknüpfung stützt: NIST, ENISA, CIS oder PCI SSC haben erklärt, dass diese Anforderungen zusammenhängen. Redaktionell bedeutet, dass es sich um unsere Einschätzung handelt, deren Begründung schriftlich festgehalten ist. Es ist die wichtigste Gestaltungsentscheidung der Website und geht auf eine einfache Beobachtung zurück: Die meisten Framework-Zuordnungen im Umlauf lassen nicht erkennen, welche Art von Zuordnung vorliegt.

Das Problem, das es löst

Eine Zuordnung ist eine Behauptung: „Diese Anforderung hängt mit jener zusammen.“ Manche Behauptungen beruhen auf offiziellen Crosswalks, die eine öffentliche Kommentierung durchlaufen haben. Andere sind die Einschätzung einer einzelnen Analystin oder eines einzelnen Analysten. Beide können richtig sein. Doch wenn sie identisch aussehen, übernimmt jede Zuordnung die Glaubwürdigkeit der besten, und jeder Fehler versteckt sich unter den übrigen. So kommt es, dass Organisationen Prüfern mitteilen, ein Kontrollziel „erfülle“ eine Anforderung, weil ein Tool das so angezeigt hat.

Was die Markierungen ermöglichen

• Sie können die Belege abwägen. Ein Crosswalk-Link aus NISTs eigener Zuordnung ist belastbar; ein redaktioneller Link ist eine begründete Meinung, die zu prüfen ist.
• Fehler werden auffindbar. Wenn wir unsere eigenen Daten auf Fehler prüfen, machen die Markierungen und Begründungen sie schnell auffindbar und behebbar. Ein unmarkierter Crosswalk gibt einem Prüfer nichts, womit er arbeiten kann.
• Ehrlichkeit über Grenzen. Manche Frameworks haben gar keinen offen lizenzierten Crosswalk (SOC 2, DSGVO (GDPR), Essential Eight). Wenn wir alle ihre Verknüpfungen als redaktionell kennzeichnen, sagt das klar, dass es hier keine Autorität gibt, statt eine solche nur zu suggerieren, die nicht existiert.

So sieht die Aufteilung heute aus:

Framework	Zuordnungen	Crosswalk	Redaktionell	Anteil des Crosswalks
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Alle	829	475	354	57%

Warum nicht nur Crosswalk-Links veröffentlichen?

Weil Crosswalks Lücken haben. Die veröffentlichte Zuordnung von CIS deckt 49 von 153 Safeguards ab; die von PCI SSC lässt einige Kernanforderungen aus; für SOC 2 gibt es keinen, den wir nutzen könnten. Eine Website, die nur Crosswalk-Links zeigte, würde SOC 2 als nicht zugeordnet und den größten Teil von CIS als fehlend darstellen. Das wäre weniger nützlich und auf seine Art irreführend. Redaktionelle Links schließen diese Lücken, und sie sind so gekennzeichnet, dass Sie wissen, worauf Sie sich verlassen.

Die Regeln hinter den Markierungen

• Ein redaktioneller Link hat immer eine Begründung.
• Ein Link zählt nur dann als Crosswalk, wenn der Crosswalk ihn tatsächlich stützt: Verweise auf Framework-Ebene und Ketten über redaktionelle Links zählen nicht.
• Jede Anforderungs-ID wird bei jedem Build gegen den offiziellen Katalog geprüft.
• „Lose verwandt“ wird separat angezeigt und nie als Abdeckung gezählt.

Wie ein redaktioneller Link aussieht

Ein redaktioneller Link ist nie nur eine Linie zwischen zwei IDs. Jeder trägt eine kurze Begründung, die jeder nachprüfen kann. Beispiel: SOC 2 CC4.1 (laufende und gesonderte Bewertungen des internen Kontrollsystems) ist mit ISO 27001 Klausel 9.2 (interne Audits) verknüpft, mit dem Hinweis, dass beide eine unabhängige Bewertung verlangen, ob Kontrollen wirksam sind, durch Überwachung, internes Audit und unabhängige Prüfung. Wer widerspricht, kann genau sehen, was wir angenommen haben, und uns das mitteilen. Sehen Sie es auf der Seite zur Anforderung CC4.1.

Wichtigste Erkenntnisse

• Markierungen ermöglichen es, die Belege jeder Zuordnung abzuwägen.
• Redaktionelle Links schließen echte Lücken in veröffentlichten Crosswalks, jeweils mit Begründung.
• Jede Compliance-Zuordnung sollte ihre Quelle ausweisen.

Was ich von allen anderen erwarte

Kennzeichnen Sie Ihre Zuordnungen. Das kostet fast nichts und verändert, wie viel man ihnen vertrauen kann. Wenn Sie Compliance-Tools entwickeln, zeigen Sie die Quelle jeder Verknüpfung; wenn Sie solche Tools kaufen, fordern Sie das ein. Unsere Methodik erklärt jede Regel, und die Downloads enthalten die Grundlage jeder Zuordnung, damit Sie unsere Arbeit prüfen und uns mitteilen können, wo wir falsch liegen.

Fragen

Was bedeutet ein Crosswalk-Link auf ControlMapping?

Ein veröffentlichter Crosswalk aus einer maßgeblichen Quelle (NIST, ENISA, CIS oder PCI SSC) stützt die Verknüpfung, direkt oder über eine SP 800-53-Kontrolle, die selbst crosswalk-verknüpft ist.

Was bedeutet ein redaktioneller Link?

Es gibt keinen veröffentlichten Crosswalk für diese Verknüpfung, aber ControlMapping beurteilt die Anforderungen als zusammenhängend; die Begründung wird immer angezeigt, damit Sie sie prüfen können.

Kann ich eine Korrektur für eine Zuordnung vorschlagen?

Ja. Jede Anforderungsseite enthält einen Link, der erklärt, wie eine falsche oder fehlende Zuordnung gemeldet wird; geben Sie die IDs, das erwartete Framework und Ihre Quelle an.