Vergleich
ISO 27001 vs. HIPAA Security Rule: ein ISMS für ePHI
ISO/IEC 27001:2022 · HIPAA Security Rule · Daten 2026-10-27
ISO/IEC 27001 ist ein international zertifizierbares Managementsystem; die HIPAA Security Rule ist eine gesetzliche Anforderung der USA zum Schutz elektronischer geschützter Gesundheitsinformationen (electronic protected health information, ePHI). Gesundheitseinrichtungen und ihre Dienstleister nutzen ein ISO-27001-ISMS zunehmend als Weg, ihre HIPAA-Schutzmaßnahmen umzusetzen, insbesondere wenn sie international tätig sind.
Von ISO zu HIPAA betrachtet sind nahezu alle Standards und Spezifikationen der Security Rule zugeordnet oder lose verwandt. Risikoanalyse und Risikomanagement, Sicherheit der Belegschaft, Zugriffskontrolle, Audit-Kontrollen, Integrität, Übertragungssicherheit, Notfallplanung und Zugang zu Einrichtungen haben alle ein Gegenstück in Anhang A. Übrig bleiben überwiegend HIPAA-spezifische rechtliche Inhalte, etwa Vertragsbestimmungen mit Business Associates und die Wiederverwendung von Datenträgern.
Von HIPAA zu ISO betrachtet gibt es mehr zu ergänzen. HIPAA verlangt kein Managementsystem, daher sind die Klauseln von ISO (Anwendungsbereich, Führung, Ziele, dokumentierte Informationen, interne Audits, Managementbewertung) neu. Gleiches gilt für Kontrollen zur sicheren Entwicklung (Lebenszyklus sicherer Entwicklung, sichere Programmierung, Sicherheitstests), die HIPAA nicht direkt adressiert.
Wenn Sie nach ISO 27001 zertifiziert werden, nehmen Sie ePHI ausdrücklich in den Geltungsbereich des ISMS auf und halten Sie Ihre HIPAA-Risikoanalyse nachvollziehbar mit Ihrer ISO-Risikobewertung verknüpft.
Kernaussagen
- ISO → HIPAA: Business-Associate-Verträge und HIPAA-spezifische Dokumentation ergänzen.
- HIPAA → ISO: Das ISMS um Ihre bestehende Risikoanalyse aufbauen; bei eigener Softwareentwicklung Kontrollen für sichere Entwicklung ergänzen.
- Ein ISO-Zertifikat ist für sich allein kein Nachweis der HIPAA-Konformität.
Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →
Haben ISO 27001 → benötigen HIPAA
69 Anf. 38 zugeordnet · · 2 ohne Zuordnung In der Lückenansicht öffnen →Von 69 HIPAA Security Rule-Anforderungen sind 38 auf etwas in ISO 27001 zugeordnet, 29 sind nur lose verwandt und 2 haben keine Zuordnung in unseren Daten.
Deckt nur die HIPAA Security Rule ab (nicht die Privacy Rule oder die Breach Notification Rule).
Voraussichtlich neuer Aufwand: HIPAA-Anforderungen ohne Zuordnung zu ISO 27001 (2)
| HIPAA | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (29)
| HIPAA | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | Teilt nur CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: verwandt, aber keine Zuordnung | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | Teilt nur CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: verwandt, aber keine Zuordnung | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | Teilt nur CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: verwandt, aber keine Zuordnung | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | Teilt nur CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: verwandt, aber keine Zuordnung | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | Teilt nur CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02…: verwandt, aber keine Zuordnung | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | Teilt nur CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: verwandt, aber keine Zuordnung | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | Teilt nur CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: verwandt, aber keine Zuordnung | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | Teilt nur CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04: verwandt, aber keine Zuordnung | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | Teilt nur CSF PR.AT-01, PR.AT-02: verwandt, aber keine Zuordnung | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | Teilt nur CSF ID.RA-04, ID.RA-05: verwandt, aber keine Zuordnung | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | Teilt nur CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: verwandt, aber keine Zuordnung | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | Teilt nur CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11…: verwandt, aber keine Zuordnung | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | Teilt nur CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: verwandt, aber keine Zuordnung | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | Teilt nur CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03…: verwandt, aber keine Zuordnung | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | Teilt nur CSF PR.DS-02: verwandt, aber keine Zuordnung | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | Teilt nur CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: verwandt, aber keine Zuordnung | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | Teilt nur CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: verwandt, aber keine Zuordnung | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | Teilt nur CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: verwandt, aber keine Zuordnung | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | Teilt nur CSF ID.AM-08, ID.IM-02: verwandt, aber keine Zuordnung | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Teilt nur CSF ID.AM-08, ID.IM-02: verwandt, aber keine Zuordnung | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Teilt nur CSF ID.AM-08, ID.IM-02: verwandt, aber keine Zuordnung | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | Teilt nur CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: verwandt, aber keine Zuordnung | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | Teilt nur CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02…: verwandt, aber keine Zuordnung | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | Teilt nur CSF ID.AM-08, ID.IM-02: verwandt, aber keine Zuordnung | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | Teilt nur CSF ID.AM-07, ID.AM-08: verwandt, aber keine Zuordnung | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | Teilt nur CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: verwandt, aber keine Zuordnung | |
Zugeordnet (38)
| HIPAA | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Crosswalk | Clause 6.1.2Clause 6.1.3A.8.8+1 | Gleiches Thema: Risikobewertung, Schwachstellenmanagement |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Redaktionell | A.8.8Clause 6.1.1Clause 6.1.3+1 | Gleiches Thema: Schwachstellenmanagement, Risikomanagement (Redaktionelle Auswahl) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Redaktionell | A.6.1A.6.4A.8.16 | Gleiches Thema: Insider-Bedrohungen (Redaktionelle Auswahl) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Crosswalk | A.5.25A.8.16 | Gleiches Thema: SIEM / SOC, Kont. Überwachung |
| §164.308(a)(2) | Assigned Security Responsibility | Crosswalk | A.5.2A.5.4 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Crosswalk | A.6.1A.6.4A.8.16 | Gleiches Thema: Insider-Bedrohungen |
| §164.308(a)(4) | Information Access Management | Crosswalk | A.5.15A.5.16A.5.18+1 | Gleiches Thema: Zugriffskontrolle |
| §164.308(a)(5) | Security Awareness and Training | Crosswalk | A.6.3Clause 7.3 | Gleiches Thema: Awareness & Training |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Crosswalk | A.6.3Clause 7.3 | Gleiches Thema: Awareness & Training |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Redaktionell | A.8.1A.8.7A.8.19 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| §164.308(a)(6) | Security Incident Procedures | Crosswalk | A.5.24A.5.25A.5.26 | Gleiches Thema: Incident Response |
| §164.308(a)(6)(ii) | Required Response and Reporting | Crosswalk | A.5.5A.5.24A.5.25+2 | Gleiches Thema: Meldung, Incident Response |
| §164.308(a)(7) | Contingency Plan | Crosswalk | A.5.29A.5.30 | Gleiches Thema: Wiederherstellungsplanung |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Crosswalk | A.8.13 | Gleiches Thema: Backup & Recovery |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Crosswalk | A.5.29A.5.30A.8.14 | Gleiches Thema: Wiederherstellungsplanung, Disaster Recovery |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Crosswalk | A.5.29A.5.30A.8.14 | Gleiches Thema: Business Continuity |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Redaktionell | A.5.30A.8.14 | Gleiches Thema: Disaster Recovery (Redaktionelle Auswahl) |
| §164.308(a)(8) | Evaluation | Crosswalk | A.8.8A.5.31A.5.36+1 | Gleiches Thema: Schwachstellenmanagement, Compliance |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Crosswalk | A.5.19A.5.20A.5.22+1 | Gleiches Thema: Lieferantenrisikomanagement |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Crosswalk | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Redaktionell | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Crosswalk | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit |
| §164.310(b) | Workstation Use | Crosswalk | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit |
| §164.310(c) | Workstation Security | Crosswalk | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit |
| §164.310(d) | Device and Media Controls | Crosswalk | A.5.9A.5.11A.7.14+2 | Gleiches Thema: Asset-Management |
| §164.310(d)(2)(i) | Required Disposal | Redaktionell | A.5.14A.8.10A.8.11 | Gleiches Thema: Datenschutz (Redaktionelle Auswahl) |
| §164.310(d)(2)(iii) | Addressable Accountability | Crosswalk | A.5.9A.5.11A.7.14 | Gleiches Thema: Asset-Management |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Crosswalk | A.8.13 | Gleiches Thema: Backup & Recovery |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Crosswalk | A.5.15A.5.16A.5.18+1 | Gleiches Thema: Zugriffskontrolle |
| §164.312(a)(2)(i) | Required Unique User Identification | Crosswalk | A.5.15A.5.16A.5.18+1 | Gleiches Thema: Zugriffskontrolle |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Crosswalk | A.8.24 | Gleiches Thema: Verschlüsselung |
| §164.312(b) | Audit Controls | Crosswalk | A.8.15A.8.17 | Gleiches Thema: Protokollierung & Audit |
| §164.312(c) | Integrity | Crosswalk | A.5.14A.8.10A.8.11 | Gleiches Thema: Datenschutz |
| §164.312(d) | Person or Entity Authentication | Redaktionell | A.5.15A.5.16A.5.18+1 | Gleiches Thema: Zugriffskontrolle (Redaktionelle Auswahl) |
| §164.312(e)(2)(ii) | Addressable Encryption | Crosswalk | A.8.24 | Gleiches Thema: Verschlüsselung |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Crosswalk | A.5.19A.5.20A.5.22 | Gleiches Thema: Lieferantenrisikomanagement |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Crosswalk | A.5.1A.5.37Clause 5.2 | Gleiches Thema: Governance-Richtlinie |
| §164.316(b)(2)(iii) | Required Updates | Crosswalk | A.5.1A.5.37Clause 5.2 | Gleiches Thema: Governance-Richtlinie |
Haben HIPAA → benötigen ISO 27001
123 Anf. 58 zugeordnet · · 19 ohne Zuordnung In der Lückenansicht öffnen →Von 123 ISO/IEC 27001:2022-Anforderungen sind 58 auf etwas in HIPAA zugeordnet, 46 sind nur lose verwandt und 19 haben keine Zuordnung in unseren Daten.
Voraussichtlich neuer Aufwand: ISO 27001-Anforderungen ohne Zuordnung zu HIPAA (19)
| ISO 27001 | Anforderung | Abgleich | HIPAA | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| A.8.28 | Secure coding | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| A.8.29 | Security testing in development and acceptance | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| A.8.31 | Separation of development, test and production environments | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 4.3 | Determining the scope of the ISMS | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 4.4 | Information security management system | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 5.1 | Leadership and commitment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 6.2 | Information security objectives and planning to achieve them | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 6.3 | Planning of changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 7.1 | Resources | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 7.5.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 7.5.2 | Creating and updating | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 7.5.3 | Control of documented information | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 9.2.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 9.2.2 | Internal audit programme | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
| Clause 10.2 | Nonconformity and corrective action | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu HIPAA in unseren Daten. |
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (46)
| ISO 27001 | Anforderung | Abgleich | HIPAA | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Teilt nur CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: verwandt, aber keine Zuordnung | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | Teilt nur CSF GV.OV-01, RS.CO-03: verwandt, aber keine Zuordnung | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | Teilt nur CSF DE.AE-07, ID.RA-03, ID.RA-05: verwandt, aber keine Zuordnung | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | Teilt nur CSF GV.OC-05, ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | Teilt nur CSF ID.AM-05, ID.AM-08, PR.DS-01: verwandt, aber keine Zuordnung | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Teilt nur CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | Teilt nur CSF PR.AA-03, PR.AA-05: verwandt, aber keine Zuordnung | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | Teilt nur CSF GV.SC-03, GV.SC-09, GV.SC-10: verwandt, aber keine Zuordnung | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | Teilt nur CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03…: verwandt, aber keine Zuordnung | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | Teilt nur CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01…: verwandt, aber keine Zuordnung | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Teilt nur CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: verwandt, aber keine Zuordnung | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Teilt nur CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: verwandt, aber keine Zuordnung | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | Teilt nur CSF GV.RR-04: verwandt, aber keine Zuordnung | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Teilt nur CSF PR.DS-01, PR.IR-02: verwandt, aber keine Zuordnung | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | Teilt nur CSF ID.AM-08, PR.DS-01: verwandt, aber keine Zuordnung | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | Teilt nur CSF ID.AM-08, PR.IR-02: verwandt, aber keine Zuordnung | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | Teilt nur CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: verwandt, aber keine Zuordnung | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | Teilt nur CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | Teilt nur CSF PR.AA-01, PR.AA-03, PR.AA-05: verwandt, aber keine Zuordnung | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Teilt nur CSF DE.CM-09: verwandt, aber keine Zuordnung | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Teilt nur CSF ID.AM-03, PR.IR-01, PR.DS-02: verwandt, aber keine Zuordnung | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Teilt nur CSF ID.AM-03, PR.IR-01: verwandt, aber keine Zuordnung | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Teilt nur CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | Teilt nur CSF PR.IR-01: verwandt, aber keine Zuordnung | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | Teilt nur CSF PR.IR-03: verwandt, aber keine Zuordnung | |
| A.8.30 | Outsourced development | §164.308(a)(8) | Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | Teilt nur CSF GV.OV-03, ID.RA-07: verwandt, aber keine Zuordnung | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | Teilt nur CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02…: verwandt, aber keine Zuordnung | |
| Clause 7.2 | Competence | §164.308(a)(2) | Teilt nur CSF GV.RR-01, GV.RR-02: verwandt, aber keine Zuordnung | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | Teilt nur CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: verwandt, aber keine Zuordnung | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | Teilt nur CSF GV.SC-03, RC.RP-04: verwandt, aber keine Zuordnung | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Teilt nur CSF ID.IM-02, PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Teilt nur CSF ID.IM-02, PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Teilt nur CSF ID.IM-02, PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | Teilt nur CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06: verwandt, aber keine Zuordnung | |
Zugeordnet (58)
| ISO 27001 | Anforderung | Abgleich | HIPAA | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | Crosswalk | §164.316(a)§164.316(b)(2)(iii) | Gleiches Thema: Governance-Richtlinie |
| A.5.2 | Information security roles and responsibilities | Crosswalk | §164.308(a)(2) | Gleiches Thema: Rollen und Verantwortlichkeiten |
| A.5.4 | Management responsibilities | Crosswalk | §164.308(a)(2) | Gleiches Thema: Rollen und Verantwortlichkeiten |
| A.5.5 | Contact with authorities | Crosswalk | §164.308(a)(6)(ii) | Gleiches Thema: Meldung |
| A.5.9 | Inventory of information and other associated assets | Crosswalk | §164.310(d)§164.310(d)(2)(iii) | Gleiches Thema: Asset-Management |
| A.5.11 | Return of assets | Crosswalk | §164.310(d)§164.310(d)(2)(iii) | Gleiches Thema: Asset-Management |
| A.5.14 | Information transfer | Crosswalk | §164.312(c)§164.310(d)(2)(i) | Gleiches Thema: Datenschutz |
| A.5.15 | Access control | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Gleiches Thema: Zugriffskontrolle |
| A.5.16 | Identity management | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Gleiches Thema: Zugriffskontrolle |
| A.5.18 | Access rights | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Gleiches Thema: Zugriffskontrolle |
| A.5.19 | Information security in supplier relationships | Crosswalk | §164.308(b)(1)§164.314(a) | Gleiches Thema: Lieferantenrisikomanagement |
| A.5.20 | Addressing information security within supplier agreements | Crosswalk | §164.308(b)(1)§164.314(a) | Gleiches Thema: Lieferantenrisikomanagement |
| A.5.22 | Monitoring, review and change management of supplier services | Crosswalk | §164.308(b)(1)§164.314(a) | Gleiches Thema: Lieferantenrisikomanagement |
| A.5.23 | Information security for use of cloud services | Crosswalk | §164.308(b)(1) | Gleiches Thema: Cloud-Sicherheit |
| A.5.24 | Information security incident management planning and preparation | Crosswalk | §164.308(a)(6)§164.308(a)(6)(ii) | Gleiches Thema: Incident Response |
| A.5.25 | Assessment and decision on information security events | Crosswalk | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Gleiches Thema: SIEM / SOC, Incident Response |
| A.5.26 | Response to information security incidents | Crosswalk | §164.308(a)(6)§164.308(a)(6)(ii) | Gleiches Thema: Incident Response, Mitigation |
| A.5.29 | Information security during disruption | Crosswalk | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | Gleiches Thema: Wiederherstellungsplanung, Business Continuity |
| A.5.30 | ICT readiness for business continuity | Crosswalk | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | Gleiches Thema: Wiederherstellungsplanung, Disaster Recovery, Business Continuity |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Redaktionell | §164.308(a)(8) | Gleiches Thema: Compliance (Redaktionelle Auswahl) |
| A.5.36 | Compliance with policies, rules and standards for information security | Redaktionell | §164.308(a)(8) | Gleiches Thema: Compliance (Redaktionelle Auswahl) |
| A.5.37 | Documented operating procedures | Crosswalk | §164.316(a)§164.316(b)(2)(iii) | Gleiches Thema: Governance-Richtlinie |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Crosswalk | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Gleiches Thema: Insider-Bedrohungen |
| A.6.3 | Information security awareness, education and training | Crosswalk | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Gleiches Thema: Awareness & Training |
| A.6.4 | Disciplinary process | Crosswalk | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Gleiches Thema: Insider-Bedrohungen |
| A.6.7 | Remote working | Redaktionell | §164.310(d) | Gleiches Thema: Mobile Security (Redaktionelle Auswahl) |
| A.6.8 | Information security event reporting | Crosswalk | §164.308(a)(6)(ii) | Gleiches Thema: Meldung |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Gleiches Thema: Physische Sicherheit |
| A.7.2 | Physical entry | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Gleiches Thema: Physische Sicherheit |
| A.7.3 | Securing offices, rooms and facilities | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Gleiches Thema: Physische Sicherheit |
| A.7.4 | Physical security monitoring | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Gleiches Thema: Physische Sicherheit |
| A.7.5 | Protecting against physical and environmental threats | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Gleiches Thema: Physische Sicherheit |
| A.7.6 | Working in secure areas | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Gleiches Thema: Physische Sicherheit |
| A.7.8 | Equipment siting and protection | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Gleiches Thema: Physische Sicherheit |
| A.7.11 | Supporting utilities | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Gleiches Thema: Physische Sicherheit |
| A.7.12 | Cabling security | Crosswalk | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Gleiches Thema: Physische Sicherheit |
| A.7.14 | Secure disposal or re-use of equipment | Crosswalk | §164.310(d)§164.310(d)(2)(iii) | Gleiches Thema: Asset-Management |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | Redaktionell | §164.308(a)(5)(ii)(B)§164.310(d) | Gleiches Thema: Endpoint-Schutz, Mobile Security (Redaktionelle Auswahl) |
| A.8.3 | Information access restriction | Crosswalk | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Gleiches Thema: Zugriffskontrolle |
| A.8.7 | Protection against malware | Redaktionell | §164.308(a)(5)(ii)(B) | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| A.8.8 | Management of technical vulnerabilities | Crosswalk | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Gleiches Thema: Schwachstellenmanagement |
| A.8.10 | Information deletion | Crosswalk | §164.312(c)§164.310(d)(2)(i) | Gleiches Thema: Datenschutz |
| A.8.11 | Data masking | Crosswalk | §164.312(c)§164.310(d)(2)(i) | Gleiches Thema: Datenschutz |
| A.8.13 | Information backup | Crosswalk | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Gleiches Thema: Backup & Recovery |
| A.8.14 | Redundancy of information processing facilities | Crosswalk | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Gleiches Thema: Disaster Recovery, Business Continuity |
| A.8.15 | Logging | Crosswalk | §164.312(b) | Gleiches Thema: Protokollierung & Audit |
| A.8.16 | Monitoring activities | Crosswalk | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Gleiches Thema: Kont. Überwachung, SIEM / SOC, Insider-Bedrohungen |
| A.8.17 | Clock synchronization | Crosswalk | §164.312(b) | Gleiches Thema: Protokollierung & Audit |
| A.8.19 | Installation of software on operational systems | Redaktionell | §164.308(a)(5)(ii)(B) | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| A.8.24 | Use of cryptography | Crosswalk | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | Gleiches Thema: Verschlüsselung |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | Crosswalk | §164.316(a)§164.316(b)(2)(iii) | Gleiches Thema: Governance-Richtlinie |
| Clause 6.1.1 | General | Redaktionell | §164.308(a)(1)(ii)(B) | Gleiches Thema: Risikomanagement (Redaktionelle Auswahl) |
| Clause 6.1.2 | Information security risk assessment | Crosswalk | §164.308(a)(1)(ii)(A) | Gleiches Thema: Risikobewertung |
| Clause 6.1.3 | Information security risk treatment | Crosswalk | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Gleiches Thema: Risikobewertung, Risikomanagement |
| Clause 7.3 | Awareness | Crosswalk | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Gleiches Thema: Awareness & Training |
| Clause 8.2 | Information security risk assessment | Redaktionell | §164.308(a)(1)(ii)(A) | Redaktionelle Einschätzung von ControlMapping: HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | Redaktionell | §164.308(a)(1)(ii)(B) | Redaktionelle Einschätzung von ControlMapping: HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Redaktionell | §164.308(a)(8) | Gleiches Thema: Compliance (Redaktionelle Auswahl) |
Nach Thema
Beide abgedeckt (27):
Governance-RichtlinieAwareness & TrainingRisikomanagementRollen und VerantwortlichkeitenComplianceAsset-ManagementRisikobewertungSchwachstellenmanagementZugriffskontrolleVerschlüsselungDatenschutzBackup & RecoveryEndpoint-SchutzMobile SecurityCloud-SicherheitKont. ÜberwachungProtokollierung & AuditSIEM / SOCIncident ResponseMitigationMeldungWiederherstellungsplanungBusiness ContinuityDisaster RecoveryInsider-BedrohungenLieferantenrisikomanagementPhysische Sicherheit
Nur ISO 27001 (23):
LieferkettenrisikoGeschäftsumfeldDatenklassifizierungThreat IntelligenceMulti-Faktor-AuthentifizierungPrivilegierter ZugriffFirewall / NetzsegmentierungPatch-ManagementSichere KonfigurationSichere EntwicklungE-Mail-SicherheitWebanwendungssicherheitZero TrustDNS-SicherheitWAFDLPAngriffserkennungAnomalieerkennungForensikKommunikationErkenntnisse aus VorfällenKommunikation & WiederherstellungAPI-Sicherheit
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Zugeordnet = gemeinsam in einem ControlMapping-Thema kuratiert oder direkt verknüpft. Crosswalks belegen keine Konformität. Methodik · Daten herunterladen · Fehler melden.