Vergleich
NIST CSF 2.0 vs. ISO 27001: Ergebnisse vs. ein zertifizierbares System
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · Daten 2026-10-27
Nach Paul Gillet · Aktualisiert 2026-10-17
Das Cybersecurity Framework 2.0 des NIST beschreibt Ergebnisse: 106 Subkategorien unter sechs Funktionen (Regieren, Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen). Es ist freiwillig und nicht zertifizierbar und legt bewusst nicht fest, wie jedes Ergebnis zu erreichen ist. ISO/IEC 27001 ist ein zertifizierbarer Standard: Er fordert ein Informationssicherheitsmanagementsystem und die begründete Auswahl von Maßnahmen aus Anhang A.
Da das NIST ein Crosswalk informativer Referenzen von CSF 2.0 zu ISO 27001 veröffentlicht, sind die beiden Werke eng aufeinander abgebildet, und nahezu jedes CSF-Ergebnis ist mit ISO-Maßnahmen verknüpft. Organisationen nutzen CSF häufig als Sprache für das Board und ISO 27001 als operatives Managementsystem und Zertifizierungsgrundlage darunter.
Beim Übergang von CSF zu ISO liegt die Lücke im Managementsystem und nicht in den Sicherheitsergebnissen. Die Funktion Regieren deckt Strategie, Richtlinien, Rollen und Aufsicht ab, lässt aber konkrete Mechanismen offen, die ISO vorschreibt: einen definierten ISMS-Geltungsbereich, Informationssicherheitsziele, die Lenkung dokumentierter Informationen, interne Auditprogramme und die Managementbewertung. Diese Klauseln erscheinen unten als nicht zugeordnet.
Beim Übergang von ISO zu CSF ist die Abdeckung im Wesentlichen vollständig. Die Arbeit besteht in der Übersetzung: Aus Ihrem ISMS wird ein CSF Current Profile und Target Profile aufgebaut, und Ihre Risikobehandlungsentscheidungen werden als CSF-Ergebnisse formuliert.
Auf einen Blick
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| Was es ist | Ein freiwilliges Framework aus Ergebnissen | Ein zertifizierbarer Managementsystem-Standard |
| Struktur | 6 Funktionen, 22 Kategorien, 106 Subkategorien | Klauseln 4–10 plus 93 Maßnahmen aus Anhang A |
| Zertifizierung | Keine | Ja, durch akkreditierte Zertifizierungsstellen |
| Nutzungskosten | Kostenlos | Der Standard wird von ISO verkauft; die Zertifizierung verursacht zusätzlich Auditgebühren |
| Ideal für | Aufbau eines Programms, Berichte an das Board, Selbstbewertung | Den Nachweis von Sicherheit gegenüber Kunden und Aufsichtsbehörden international erbringen |
| Offizielle Zuordnung | Das NIST veröffentlicht die hier verwendeten Referenzen CSF 2.0 ↔ ISO 27001 | — |
Gemeinsame Nutzung
Die beiden passen gut zusammen: CSF 2.0 liefert ein Vokabular aus Ergebnissen, das Boards und Aufsichtsbehörden verstehen, und ISO 27001 liefert das zertifizierbare Managementsystem, das belegt, dass das Programm tatsächlich betrieben wird. Ein verbreitetes Muster ist, die Sicherheitslage anhand der CSF-Funktionen zu berichten, während das ISMS nach ISO 27001 zertifiziert wird.
Da das NIST jede CSF-Subkategorie mit ISO-Klauseln und Maßnahmen aus Anhang A verknüpft, können Sie einen gemeinsamen Maßnahmenkatalog führen und in beiden Richtungen berichten. Die Anforderungstabellen unten zeigen, wo die veröffentlichten Referenzen die beiden verbinden und wo ein CSF-Ergebnis in unseren Daten kein ISO-Gegenstück hat.
Was sich in CSF 2.0 geändert hat
CSF 2.0 (Februar 2024) hat eine sechste Funktion, Regieren, ergänzt. Sie umfasst den organisatorischen Kontext, die Risikostrategie, Rollen, Richtlinien, Aufsicht und das Lieferkettenrisiko. Diese Ergebnisse entsprechen eng den ISO-27001-Klauseln 4–6 und 9, weshalb sich beide Werke heute stärker überschneiden als CSF 1.1 und ISO früher.
Wer was nutzt
- NIST CSF 2.0 wird von Organisationen jeder Größe und Branche genutzt, um ein Programm aufzubauen, Ziele festzulegen und der Geschäftsführung zu berichten. Es ist die gemeinsame Sprache der kritischen Infrastrukturen in den USA, vieler Aufsichtsbehörden und Cyberversicherer und zudem kostenlos.
- ISO 27001 wird eingesetzt, wenn eine Organisation ihre Sicherheit anderen mit einem Zertifikat nachweisen muss: Software- und Dienstleistungsanbieter, die an Unternehmen verkaufen, Zulieferer in regulierten Lieferketten und Firmen, die sich um öffentliche Aufträge bewerben, besonders außerhalb der USA.
- Viele Organisationen nutzen beides: CSF zum Steuern und Berichten, ISO 27001 zur Zertifizierung.
Kosten und Aufwand
CSF kostet bei der Einführung nichts und erfordert kein Audit. Die Kosten sind daher der interne Aufwand, das Current Profile zu bewerten, ein Target Profile festzulegen und die Lücke zu schließen. ISO 27001 verursacht zusätzlich die Kosten des Standards selbst, Auditgebühren der Zertifizierungsstelle und vor allem den internen Aufwand für Aufbau und Betrieb des Managementsystems: Risikobewertung, Statement of Applicability (SoA), internes Audit und Managementbewertung. Für eine Organisation, die CSF bereits gut anwendet, ist der größte Teil der technischen Arbeit für ISO bereits erledigt; der verbleibende Aufwand betrifft vor allem das Managementsystem und seine Dokumentation.
Vom CSF zur ISO-27001-Zertifizierung
- Ordnen Sie Ihr CSF-Profil ISO zu. Die eigenen Referenzen des NIST verknüpfen CSF-2.0-Subkategorien mit ISO-Klauseln und Maßnahmen aus Anhang A; die Lückenanalyse listet jede ISO-Anforderung mit ihrer CSF-Entsprechung auf.
- Legen Sie den ISMS-Geltungsbereich fest und überführen Sie Ihr CSF Target Profile in Informationssicherheitsziele.
- Formalisieren Sie die Risikobewertung gemäß den ISO-Anforderungen (dokumentierte Methode, Verantwortliche, Akzeptanzkriterien) und erstellen Sie das Statement of Applicability.
- Ergänzen Sie die Prozesse des Managementsystems: Lenkung von Dokumenten, internes Audit, Managementbewertung und Korrekturmaßnahmen.
- Betreiben Sie das ISMS einige Monate, und buchen Sie danach die Stage-1- und Stage-2-Audits.
Viele Organisationen mit einem ausgereiften CSF-Programm erreichen die Zertifizierung in sechs bis neun Monaten.
Praxisbeispiel: ein regionaler Gesundheitsdienstleister
Ein regionaler Klinikverbund nutzt NIST CSF seit drei Jahren, um sein Programm zu strukturieren und dem Vorstand zu berichten. Ein neuer Partnervertrag verlangt für den gemeinsam genutzten Patientenportal-Dienst eine ISO-27001-Zertifizierung.
Das Current Profile des Verbunds zeigt starke Ergebnisse in Schützen und Erkennen, sodass die meisten technischen Maßnahmen aus Anhang A bereits vorhanden sind. Die Lückenanalyse hebt die Klauseln des Managementsystems hervor, ein Statement of Applicability, formelle Lieferantenvereinbarungen und die physische Sicherheit des Datenraums. Der Verbund begrenzt das ISMS auf den Patientenportal-Dienst und die unterstützende Infrastruktur, übernimmt das CSF-Risikoregister mit einer ISO-konformen Methode und wird in etwa acht Monaten zertifiziert. Gegenüber dem Vorstand berichtet er weiterhin in CSF-Begriffen, gegenüber der Zertifizierungsstelle in ISO-Begriffen, und beides beruht auf denselben Maßnahmen.
Häufige Fehler
- Zuordnung zu CSF 1.1. Viele ältere Tabellen ordnen ISO 27001:2013 dem CSF 1.1 zu; beide Werke haben sich inzwischen geändert, und Links zu zurückgezogenen Subkategorien laufen ins Leere.
- Ein CSF-Profil als ISMS behandeln. CSF verlangt kein internes Audit, keine Managementbewertung und keine Lenkung von Dokumenten; ISO-Auditoren schon.
- Einen zu engen Geltungsbereich zertifizieren, um Aufwand zu sparen, und dann feststellen, dass das Zertifikat nicht abdeckt, was Kunden tatsächlich beziehen.
- Zwei unterschiedliche Bilder berichten. Berichte an das Board in CSF-Begriffen und Auditnachweise in ISO-Begriffen sollten aus denselben Maßnahmen stammen, sonst driften sie auseinander.
Kernaussagen
- Wenn Sie ein Zertifikat benötigen, liefert ISO 27001 eines; CSF wird nie eines liefern.
- CSF → ISO: Planen Sie für die Mechanismen des ISMS (Geltungsbereich, Ziele, dokumentierte Informationen, internes Audit, Managementbewertung).
- ISO → CSF: Erstellen Sie CSF-Profile aus Ihrem bestehenden SoA; es ist kaum neuer Maßnahmenaufwand nötig.
Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →
Haben NIST CSF 2.0 → benötigen ISO 27001
123 Anf. 79 zugeordnet · · 10 ohne Zuordnung In der Lückenansicht öffnen →Von 123 ISO/IEC 27001:2022-Anforderungen sind 79 auf etwas in NIST CSF 2.0 zugeordnet, 34 sind nur lose verwandt und 10 haben keine Zuordnung in unseren Daten.
Voraussichtlich neuer Aufwand: ISO 27001-Anforderungen ohne Zuordnung zu NIST CSF 2.0 (10)
| ISO 27001 | Anforderung | Abgleich | NIST CSF 2.0 | Nachweis |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
| Clause 5.1 | Leadership and commitment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
| Clause 6.2 | Information security objectives and planning to achieve them | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
| Clause 6.3 | Planning of changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
| Clause 7.5.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
| Clause 7.5.2 | Creating and updating | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
| Clause 7.5.3 | Control of documented information | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
| Clause 9.2.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
| Clause 9.2.2 | Internal audit programme | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
| Clause 10.2 | Nonconformity and corrective action | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu NIST CSF 2.0 in unseren Daten. |
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (34)
| ISO 27001 | Anforderung | Abgleich | NIST CSF 2.0 | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | Teilt nur CSF GV.OC-05, GV.RR-02, PR.AA-05: verwandt, aber keine Zuordnung | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | Teilt nur CSF GV.OC-05, ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | Teilt nur CSF PR.DS-01, PR.DS-02, PR.DS-10: verwandt, aber keine Zuordnung | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | Teilt nur CSF PR.AA-03, PR.AA-05: verwandt, aber keine Zuordnung | |
| A.5.32 | Intellectual property rights | GV.PO-02 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| A.5.33 | Protection of records | PR.DS-01 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| A.5.35 | Independent review of information security | GV.OV-02 | Teilt nur CSF GV.OV-02: verwandt, aber keine Zuordnung | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Teilt nur CSF GV.PO-01, GV.RR-04, PR.DS-01: verwandt, aber keine Zuordnung | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Teilt nur CSF GV.PO-01, GV.RR-04, PR.DS-01: verwandt, aber keine Zuordnung | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | Teilt nur CSF GV.RR-03, GV.RR-04: verwandt, aber keine Zuordnung | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | Teilt nur CSF PR.DS-01, PR.IR-02: verwandt, aber keine Zuordnung | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | Teilt nur CSF ID.AM-08, PR.DS-01: verwandt, aber keine Zuordnung | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | Teilt nur CSF ID.AM-08, PR.IR-02: verwandt, aber keine Zuordnung | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | Teilt nur CSF PR.AA-05, PR.DS-01, PR.DS-02: verwandt, aber keine Zuordnung | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | Teilt nur CSF DE.CM-09, PR.IR-04: verwandt, aber keine Zuordnung | |
| A.8.23 | Web filtering | PR.IR-01 | Teilt nur CSF PR.IR-01: verwandt, aber keine Zuordnung | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | Teilt nur CSF PR.IR-03: verwandt, aber keine Zuordnung | |
| A.8.30 | Outsourced development | GV.OV-03 | Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | Teilt nur CSF PR.PS-06: verwandt, aber keine Zuordnung | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | Teilt nur CSF GV.OV-03, ID.RA-07: verwandt, aber keine Zuordnung | |
| A.8.33 | Test information | PR.DS-01 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | Teilt nur CSF GV.OC-02: verwandt, aber keine Zuordnung | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | Teilt nur CSF GV.SC-02: verwandt, aber keine Zuordnung | |
| Clause 7.1 | Resources | GV.RR-03 | Teilt nur CSF GV.RR-03: verwandt, aber keine Zuordnung | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | Teilt nur CSF GV.RR-01, GV.RR-02, GV.RR-03: verwandt, aber keine Zuordnung | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | Teilt nur CSF GV.OC-01, GV.OC-02, GV.SC-01: verwandt, aber keine Zuordnung | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | Teilt nur CSF GV.OC-01, GV.OC-02: verwandt, aber keine Zuordnung | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | Teilt nur CSF GV.OC-01, GV.OC-02: verwandt, aber keine Zuordnung | |
| Clause 9.3.1 | General | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.3 | Management review results | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
Zugeordnet (79)
| ISO 27001 | Anforderung | Abgleich | NIST CSF 2.0 | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | Crosswalk | GV.PO-01GV.PO-02 | Gleiches Thema: Governance-Richtlinie |
| A.5.2 | Information security roles and responsibilities | Crosswalk | GV.RR-01GV.RR-02GV.RR-03 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| A.5.4 | Management responsibilities | Crosswalk | GV.RR-01GV.RR-02GV.RR-03 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| A.5.5 | Contact with authorities | Crosswalk | RS.CO-02 | Gleiches Thema: Meldung |
| A.5.6 | Contact with special interest groups | Redaktionell | RS.CO-03 | Gleiches Thema: Kommunikation (Redaktionelle Auswahl) |
| A.5.7 | Threat intelligence | Crosswalk | DE.AE-07ID.RA-02ID.RA-03 | Gleiches Thema: Threat Intelligence |
| A.5.9 | Inventory of information and other associated assets | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Gleiches Thema: Asset-Management |
| A.5.11 | Return of assets | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Gleiches Thema: Asset-Management |
| A.5.12 | Classification of information | Crosswalk | ID.AM-05ID.AM-07 | Gleiches Thema: Datenklassifizierung |
| A.5.13 | Labelling of information | Crosswalk | ID.AM-05ID.AM-07 | Gleiches Thema: Datenklassifizierung |
| A.5.14 | Information transfer | Crosswalk | DE.CM-09PR.DS-01PR.DS-02+1 | Gleiches Thema: E-Mail-Sicherheit, Datenschutz |
| A.5.15 | Access control | Crosswalk | PR.AA-01PR.AA-03PR.AA-04+2 | Gleiches Thema: Zugriffskontrolle, Zero Trust |
| A.5.16 | Identity management | Crosswalk | PR.AA-01PR.AA-05 | Gleiches Thema: Zugriffskontrolle |
| A.5.18 | Access rights | Crosswalk | PR.AA-01PR.AA-05 | Gleiches Thema: Zugriffskontrolle |
| A.5.19 | Information security in supplier relationships | Crosswalk | DE.CM-06GV.SC-01GV.SC-03+7 | Gleiches Thema: Lieferantenrisikomanagement, Lieferkettenrisiko |
| A.5.20 | Addressing information security within supplier agreements | Crosswalk | DE.CM-06GV.SC-04GV.SC-06+2 | Gleiches Thema: Lieferantenrisikomanagement |
| A.5.21 | Managing information security in the ICT supply chain | Crosswalk | GV.SC-01GV.SC-03GV.SC-05+2 | Gleiches Thema: Lieferkettenrisiko |
| A.5.22 | Monitoring, review and change management of supplier services | Crosswalk | DE.CM-06GV.SC-04GV.SC-06+2 | Gleiches Thema: Lieferantenrisikomanagement |
| A.5.23 | Information security for use of cloud services | Crosswalk | ID.AM-04PR.IR-01PR.PS-01 | Gleiches Thema: Cloud-Sicherheit |
| A.5.24 | Information security incident management planning and preparation | Crosswalk | ID.IM-04RS.MA-01RS.MA-02+2 | Gleiches Thema: Incident Response |
| A.5.25 | Assessment and decision on information security events | Crosswalk | DE.AE-03DE.AE-06DE.AE-08+5 | Gleiches Thema: SIEM / SOC |
| A.5.26 | Response to information security incidents | Crosswalk | ID.IM-04RC.CO-03RC.CO-04+7 | Gleiches Thema: Incident Response, Kommunikation & Wiederherstellung |
| A.5.27 | Learning from information security incidents | Crosswalk | ID.IM-03RC.RP-06 | Gleiches Thema: Erkenntnisse aus Vorfällen |
| A.5.28 | Collection of evidence | Crosswalk | RS.AN-03RS.AN-06RS.AN-07 | Gleiches Thema: Forensik |
| A.5.29 | Information security during disruption | Crosswalk | GV.OC-04ID.IM-04PR.IR-03+3 | Gleiches Thema: Business Continuity, Wiederherstellungsplanung |
| A.5.30 | ICT readiness for business continuity | Crosswalk | GV.OC-04ID.IM-04PR.IR-03+4 | Gleiches Thema: Business Continuity, Wiederherstellungsplanung, Disaster Recovery |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Crosswalk | GV.OC-03GV.OV-03 | Gleiches Thema: Compliance |
| A.5.36 | Compliance with policies, rules and standards for information security | Redaktionell | GV.OC-03GV.OV-03 | Gleiches Thema: Compliance (Redaktionelle Auswahl) |
| A.5.37 | Documented operating procedures | Crosswalk | GV.PO-01GV.PO-02 | Gleiches Thema: Governance-Richtlinie |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Crosswalk | DE.CM-03GV.RR-04 | Gleiches Thema: Insider-Bedrohungen |
| A.6.3 | Information security awareness, education and training | Crosswalk | PR.AT-01PR.AT-02 | Gleiches Thema: Awareness & Training |
| A.6.4 | Disciplinary process | Crosswalk | DE.CM-03GV.RR-04 | Gleiches Thema: Insider-Bedrohungen |
| A.6.7 | Remote working | Redaktionell | PR.AA-05PR.PS-01 | Gleiches Thema: Mobile Security (Redaktionelle Auswahl) |
| A.6.8 | Information security event reporting | Crosswalk | RS.CO-02 | Gleiches Thema: Meldung |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Gleiches Thema: Physische Sicherheit |
| A.7.2 | Physical entry | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Gleiches Thema: Physische Sicherheit |
| A.7.3 | Securing offices, rooms and facilities | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Gleiches Thema: Physische Sicherheit |
| A.7.4 | Physical security monitoring | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Gleiches Thema: Physische Sicherheit |
| A.7.5 | Protecting against physical and environmental threats | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Gleiches Thema: Physische Sicherheit |
| A.7.6 | Working in secure areas | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Gleiches Thema: Physische Sicherheit |
| A.7.8 | Equipment siting and protection | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Gleiches Thema: Physische Sicherheit |
| A.7.11 | Supporting utilities | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Gleiches Thema: Physische Sicherheit |
| A.7.12 | Cabling security | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Gleiches Thema: Physische Sicherheit |
| A.7.14 | Secure disposal or re-use of equipment | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Gleiches Thema: Asset-Management |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Crosswalk | PR.AA-05PR.PS-01DE.CM-09+1 | Gleiches Thema: Mobile Security, Endpoint-Schutz |
| A.8.2 | Privileged access rights | Crosswalk | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff |
| A.8.3 | Information access restriction | Crosswalk | PR.AA-01PR.AA-05 | Gleiches Thema: Zugriffskontrolle |
| A.8.5 | Secure authentication | Crosswalk | PR.AA-03PR.AA-04PR.AA-05+2 | Gleiches Thema: Multi-Faktor-Authentifizierung, Zero Trust, API-Sicherheit |
| A.8.7 | Protection against malware | Redaktionell | DE.CM-09PR.PS-05 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| A.8.8 | Management of technical vulnerabilities | Crosswalk | ID.RA-01ID.RA-08PR.PS-02 | Gleiches Thema: Schwachstellenmanagement, Patch-Management |
| A.8.9 | Configuration management | Crosswalk | PR.PS-01 | Gleiches Thema: Sichere Konfiguration |
| A.8.10 | Information deletion | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Gleiches Thema: Datenschutz |
| A.8.11 | Data masking | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Gleiches Thema: Datenschutz |
| A.8.12 | Data leakage prevention | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Gleiches Thema: DLP |
| A.8.13 | Information backup | Crosswalk | PR.DS-11RC.RP-03 | Gleiches Thema: Backup & Recovery |
| A.8.14 | Redundancy of information processing facilities | Crosswalk | GV.OC-04PR.IR-03RC.RP-02+2 | Gleiches Thema: Business Continuity, Disaster Recovery |
| A.8.15 | Logging | Crosswalk | DE.AE-03PR.PS-04 | Gleiches Thema: Protokollierung & Audit |
| A.8.16 | Monitoring activities | Crosswalk | DE.AE-02DE.AE-03DE.AE-04+6 | Gleiches Thema: Angriffserkennung, Anomalieerkennung, SIEM / SOC |
| A.8.17 | Clock synchronization | Crosswalk | DE.AE-03PR.PS-04 | Gleiches Thema: Protokollierung & Audit |
| A.8.18 | Use of privileged utility programs | Crosswalk | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff |
| A.8.19 | Installation of software on operational systems | Crosswalk | DE.CM-09PR.PS-05 | Gleiches Thema: Endpoint-Schutz |
| A.8.20 | Networks security | Crosswalk | DE.CM-01ID.AM-03PR.IR-01 | Gleiches Thema: DNS-Sicherheit, WAF, Firewall / Netzsegmentierung |
| A.8.21 | Security of network services | Crosswalk | DE.CM-01ID.AM-03PR.IR-01 | Gleiches Thema: DNS-Sicherheit, Firewall / Netzsegmentierung |
| A.8.22 | Segregation of networks | Crosswalk | ID.AM-03PR.AA-03PR.AA-04+2 | Gleiches Thema: Firewall / Netzsegmentierung, Zero Trust |
| A.8.24 | Use of cryptography | Crosswalk | PR.DS-01PR.DS-02 | Gleiches Thema: Verschlüsselung |
| A.8.25 | Secure development life cycle | Crosswalk | PR.PS-06 | Gleiches Thema: Sichere Entwicklung |
| A.8.26 | Application security requirements | Crosswalk | PR.AA-03PR.IR-01PR.PS-06 | Gleiches Thema: API-Sicherheit, Webanwendungssicherheit, Sichere Entwicklung |
| A.8.28 | Secure coding | Crosswalk | PR.PS-06 | Gleiches Thema: Sichere Entwicklung |
| A.8.29 | Security testing in development and acceptance | Crosswalk | PR.PS-06 | Gleiches Thema: Sichere Entwicklung |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | Crosswalk | GV.OC-01GV.OC-04GV.OC-05 | Gleiches Thema: Geschäftsumfeld |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Crosswalk | GV.OC-01GV.OC-04GV.OC-05 | Gleiches Thema: Geschäftsumfeld |
| Clause 5.2 | Policy | Crosswalk | GV.PO-01GV.PO-02 | Gleiches Thema: Governance-Richtlinie |
| Clause 6.1.1 | General | Crosswalk | GV.RM-01GV.RM-02GV.RM-03+1 | Gleiches Thema: Risikomanagement |
| Clause 6.1.2 | Information security risk assessment | Crosswalk | ID.RA-03ID.RA-04ID.RA-05+1 | Gleiches Thema: Risikobewertung |
| Clause 6.1.3 | Information security risk treatment | Crosswalk | GV.RM-01GV.RM-02GV.RM-03+5 | Gleiches Thema: Risikomanagement |
| Clause 7.3 | Awareness | Crosswalk | PR.AT-01PR.AT-02 | Gleiches Thema: Awareness & Training |
| Clause 7.4 | Communication | Crosswalk | RC.CO-03RC.CO-04RC.RP-05+1 | Gleiches Thema: Kommunikation & Wiederherstellung |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Crosswalk | GV.OC-03GV.OV-03 | Gleiches Thema: Compliance |
| Clause 10.1 | Continual improvement | Redaktionell | ID.IM-03RC.RP-06 | Gleiches Thema: Erkenntnisse aus Vorfällen (Redaktionelle Auswahl) |
Haben ISO 27001 → benötigen NIST CSF 2.0
106 Anf. 89 zugeordnet · · 2 ohne Zuordnung In der Lückenansicht öffnen →Von 106 NIST Cybersecurity Framework 2.0-Anforderungen sind 89 auf etwas in ISO 27001 zugeordnet, 15 sind nur lose verwandt und 2 haben keine Zuordnung in unseren Daten.
Voraussichtlich neuer Aufwand: NIST CSF 2.0-Anforderungen ohne Zuordnung zu ISO 27001 (2)
| NIST CSF 2.0 | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (15)
| NIST CSF 2.0 | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | Teilt nur CSF GV.OC-02: verwandt, aber keine Zuordnung | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | Teilt nur CSF GV.OV-01: verwandt, aber keine Zuordnung | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | Teilt nur CSF GV.OV-02: verwandt, aber keine Zuordnung | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | Teilt nur CSF GV.RM-04: verwandt, aber keine Zuordnung | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | Teilt nur CSF GV.RM-05: verwandt, aber keine Zuordnung | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | Teilt nur CSF GV.RM-07: verwandt, aber keine Zuordnung | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | Teilt nur CSF GV.SC-02: verwandt, aber keine Zuordnung | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | Teilt nur CSF GV.SC-08: verwandt, aber keine Zuordnung | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | Teilt nur CSF GV.SC-10: verwandt, aber keine Zuordnung | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | Teilt nur CSF ID.RA-07: verwandt, aber keine Zuordnung | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | Teilt nur CSF PR.AA-02: verwandt, aber keine Zuordnung | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | Teilt nur CSF PR.IR-04: verwandt, aber keine Zuordnung | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | Teilt nur CSF PR.PS-03: verwandt, aber keine Zuordnung | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | Teilt nur CSF RS.AN-08: verwandt, aber keine Zuordnung | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | Teilt nur CSF RS.MA-05: verwandt, aber keine Zuordnung | |
Zugeordnet (89)
| NIST CSF 2.0 | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Crosswalk | A.8.16 | Gleiches Thema: Angriffserkennung, Anomalieerkennung |
| DE.AE-03 | Information is correlated from multiple sources | Crosswalk | A.5.25A.8.15A.8.16+1 | Gleiches Thema: SIEM / SOC, Protokollierung & Audit |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Crosswalk | A.8.16 | Gleiches Thema: Anomalieerkennung |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Crosswalk | A.5.25A.8.16 | Gleiches Thema: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Crosswalk | A.5.7 | Gleiches Thema: Threat Intelligence |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Crosswalk | A.5.25A.8.16 | Gleiches Thema: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Crosswalk | A.8.16A.8.20A.8.21 | Gleiches Thema: Kont. Überwachung, Angriffserkennung, DNS-Sicherheit, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Crosswalk | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Crosswalk | A.6.1A.6.4A.8.16 | Gleiches Thema: Insider-Bedrohungen, Kont. Überwachung |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Crosswalk | A.5.19A.5.20A.5.22 | Gleiches Thema: Lieferantenrisikomanagement |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Crosswalk | A.5.14A.8.16A.8.19+2 | Gleiches Thema: E-Mail-Sicherheit, Kont. Überwachung, Anomalieerkennung, Endpoint-Schutz |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Crosswalk | Clause 4.1Clause 4.2 | Gleiches Thema: Geschäftsumfeld |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Crosswalk | A.5.31Clause 9.1A.5.36 | Gleiches Thema: Compliance |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Crosswalk | A.5.29A.5.30A.8.14+2 | Gleiches Thema: Business Continuity |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Crosswalk | Clause 4.1Clause 4.2 | Gleiches Thema: Geschäftsumfeld |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Crosswalk | A.5.31Clause 9.1A.5.36 | Gleiches Thema: Compliance |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Crosswalk | A.5.1A.5.37Clause 5.2 | Gleiches Thema: Governance-Richtlinie |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Crosswalk | A.5.1A.5.37Clause 5.2 | Gleiches Thema: Governance-Richtlinie |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Crosswalk | Clause 6.1.1Clause 6.1.3 | Gleiches Thema: Risikomanagement |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Crosswalk | Clause 6.1.1Clause 6.1.3 | Gleiches Thema: Risikomanagement |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Crosswalk | Clause 6.1.1Clause 6.1.3 | Gleiches Thema: Risikomanagement |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Crosswalk | Clause 6.1.1Clause 6.1.3 | Gleiches Thema: Risikomanagement |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Crosswalk | A.5.2A.5.4 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Crosswalk | A.5.2A.5.4 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Crosswalk | A.5.2A.5.4 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| GV.RR-04 | Cybersecurity is included in human resources practices | Crosswalk | A.6.1A.6.4A.8.16 | Gleiches Thema: Insider-Bedrohungen |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Crosswalk | A.5.19A.5.21 | Gleiches Thema: Lieferkettenrisiko |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Crosswalk | A.5.19A.5.21 | Gleiches Thema: Lieferkettenrisiko |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Crosswalk | A.5.19A.5.20A.5.22 | Gleiches Thema: Lieferantenrisikomanagement |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Crosswalk | A.5.19A.5.21 | Gleiches Thema: Lieferkettenrisiko |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Crosswalk | A.5.19A.5.20A.5.22 | Gleiches Thema: Lieferantenrisikomanagement |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Crosswalk | A.5.19A.5.20A.5.22 | Gleiches Thema: Lieferantenrisikomanagement |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Crosswalk | A.5.19A.5.21 | Gleiches Thema: Lieferkettenrisiko |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Crosswalk | A.5.9A.5.11A.7.14 | Gleiches Thema: Asset-Management |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Crosswalk | A.5.9A.5.11A.7.14 | Gleiches Thema: Asset-Management |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Crosswalk | A.8.20A.8.21A.8.22 | Gleiches Thema: Firewall / Netzsegmentierung |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Crosswalk | A.5.9A.5.11A.5.23+1 | Gleiches Thema: Asset-Management, Cloud-Sicherheit |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Crosswalk | A.5.12A.5.13 | Gleiches Thema: Datenklassifizierung |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Crosswalk | A.5.12A.5.13 | Gleiches Thema: Datenklassifizierung |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Crosswalk | A.5.9A.5.11A.7.14 | Gleiches Thema: Asset-Management |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Crosswalk | A.5.27Clause 10.1 | Gleiches Thema: Erkenntnisse aus Vorfällen |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Crosswalk | A.5.24A.5.25A.5.26+2 | Gleiches Thema: Incident Response |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Crosswalk | A.8.8 | Gleiches Thema: Schwachstellenmanagement |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Crosswalk | A.5.7 | Gleiches Thema: Threat Intelligence |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Crosswalk | A.5.7Clause 6.1.2Clause 6.1.3 | Gleiches Thema: Threat Intelligence, Risikobewertung |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Crosswalk | Clause 6.1.2Clause 6.1.3 | Gleiches Thema: Risikobewertung |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Crosswalk | Clause 6.1.2Clause 6.1.3 | Gleiches Thema: Risikobewertung |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Crosswalk | Clause 6.1.2Clause 6.1.3 | Gleiches Thema: Risikobewertung |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Crosswalk | A.8.8 | Gleiches Thema: Schwachstellenmanagement |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Crosswalk | A.5.19A.5.21 | Gleiches Thema: Lieferkettenrisiko |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Crosswalk | A.5.19A.5.20A.5.22 | Gleiches Thema: Lieferantenrisikomanagement |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Crosswalk | A.5.15A.5.16A.5.18+1 | Gleiches Thema: Zugriffskontrolle |
| PR.AA-03 | Users, services, and hardware are authenticated | Crosswalk | A.5.15A.8.5A.8.22+1 | Gleiches Thema: Zero Trust, Multi-Faktor-Authentifizierung, API-Sicherheit |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Crosswalk | A.5.15A.8.5A.8.22 | Gleiches Thema: Zero Trust |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Crosswalk | A.5.15A.5.16A.5.18+7 | Gleiches Thema: Zugriffskontrolle, Zero Trust |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Crosswalk | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Crosswalk | A.6.3Clause 7.3 | Gleiches Thema: Awareness & Training |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Crosswalk | A.6.3Clause 7.3 | Gleiches Thema: Awareness & Training |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Crosswalk | A.5.14A.8.10A.8.11+2 | Gleiches Thema: Datenschutz |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Crosswalk | A.5.14A.8.10A.8.11+2 | Gleiches Thema: Datenschutz, E-Mail-Sicherheit |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Crosswalk | A.5.14A.8.10A.8.11+1 | Gleiches Thema: Datenschutz |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Crosswalk | A.8.13 | Gleiches Thema: Backup & Recovery |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Crosswalk | A.5.15A.5.23A.8.5+4 | Gleiches Thema: Zero Trust, Cloud-Sicherheit, API-Sicherheit |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Crosswalk | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Crosswalk | A.5.29A.5.30A.8.14 | Gleiches Thema: Business Continuity, Disaster Recovery |
| PR.PS-01 | Configuration management practices are established and applied | Crosswalk | A.5.23A.8.1A.8.9+1 | Gleiches Thema: Cloud-Sicherheit, Mobile Security, Sichere Konfiguration |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Crosswalk | A.8.8 | Gleiches Thema: Patch-Management |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Crosswalk | A.8.15A.8.17 | Gleiches Thema: Protokollierung & Audit |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Crosswalk | A.8.19A.8.1A.8.7 | Gleiches Thema: Endpoint-Schutz |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Crosswalk | A.8.5A.8.25A.8.26+2 | Gleiches Thema: API-Sicherheit, Sichere Entwicklung, Webanwendungssicherheit |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Crosswalk | A.5.26Clause 7.4 | Gleiches Thema: Kommunikation & Wiederherstellung |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Crosswalk | A.5.26Clause 7.4 | Gleiches Thema: Kommunikation & Wiederherstellung |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Crosswalk | A.5.29A.5.30 | Gleiches Thema: Wiederherstellungsplanung |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Crosswalk | A.5.29A.5.30A.8.14 | Gleiches Thema: Wiederherstellungsplanung, Disaster Recovery |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Crosswalk | A.8.13 | Gleiches Thema: Backup & Recovery |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Crosswalk | A.5.29A.5.30A.8.14 | Gleiches Thema: Business Continuity |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Crosswalk | A.5.26A.5.30A.8.14+1 | Gleiches Thema: Kommunikation & Wiederherstellung, Disaster Recovery |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Crosswalk | A.5.27Clause 10.1 | Gleiches Thema: Erkenntnisse aus Vorfällen |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Crosswalk | A.5.28 | Gleiches Thema: Forensik |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Crosswalk | A.5.28 | Gleiches Thema: Forensik |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Crosswalk | A.5.28 | Gleiches Thema: Forensik |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Crosswalk | A.5.5A.6.8 | Gleiches Thema: Meldung |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Crosswalk | Clause 7.4A.5.6 | Gleiches Thema: Kommunikation |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Crosswalk | A.5.24A.5.25A.5.26 | Gleiches Thema: Incident Response |
| RS.MA-02 | Incident reports are triaged and validated | Crosswalk | A.5.24A.5.25A.5.26 | Gleiches Thema: Incident Response |
| RS.MA-03 | Incidents are categorized and prioritized | Crosswalk | A.5.24A.5.25A.5.26 | Gleiches Thema: Incident Response |
| RS.MA-04 | Incidents are escalated or elevated as needed | Crosswalk | A.5.24A.5.25A.5.26 | Gleiches Thema: Incident Response |
| RS.MI-01 | Incidents are contained | Crosswalk | A.5.26 | Gleiches Thema: Mitigation |
| RS.MI-02 | Incidents are eradicated | Crosswalk | A.5.26 | Gleiches Thema: Mitigation |
Nach Thema
Beide abgedeckt (50):
Governance-RichtlinieAwareness & TrainingRisikomanagementLieferkettenrisikoRollen und VerantwortlichkeitenComplianceAsset-ManagementRisikobewertungGeschäftsumfeldDatenklassifizierungSchwachstellenmanagementThreat IntelligenceZugriffskontrolleMulti-Faktor-AuthentifizierungVerschlüsselungDatenschutzBackup & RecoveryPrivilegierter ZugriffFirewall / NetzsegmentierungEndpoint-SchutzPatch-ManagementSichere KonfigurationSichere EntwicklungE-Mail-SicherheitWebanwendungssicherheitZero TrustMobile SecurityCloud-SicherheitDNS-SicherheitWAFDLPKont. ÜberwachungProtokollierung & AuditAngriffserkennungAnomalieerkennungSIEM / SOCIncident ResponseForensikKommunikationMitigationMeldungWiederherstellungsplanungBusiness ContinuityErkenntnisse aus VorfällenKommunikation & WiederherstellungDisaster RecoveryAPI-SicherheitInsider-BedrohungenLieferantenrisikomanagementPhysische Sicherheit
Fragen
Kann man gegen NIST CSF zertifiziert werden?
Nein. Das NIST bietet keine Zertifizierung an; Organisationen führen eine Selbstbewertung durch oder beauftragen eine unabhängige Prüfung. ISO 27001 ist die zertifizierbare Option.
Ist NIST CSF einfacher als ISO 27001?
Es ist weniger präskriptiv und kennt kein Audit, daher fällt der Einstieg leichter. Inhaltlich ist es jedoch nicht leichter: Um alle CSF-2.0-Ergebnisse abzudecken, braucht es ein ausgereiftes Programm.
Woher stammt die Zuordnung?
Aus den eigenen informativen Referenzen des NIST für CSF 2.0 und der Zuordnung des NIST SP 800-53 zu ISO 27001. Siehe die Methodik.
Ist ISO 27001 strenger als NIST CSF?
Beide sind auf unterschiedliche Weise streng. ISO 27001 wird auditiert und ist zertifizierbar und verlangt ein Managementsystem; NIST CSF ist im Umfang breiter angelegt (insbesondere bei Governance und Lieferkettenrisiko seit 2.0), kennt aber kein Audit. Die Strenge hängt davon ab, wie jeweils umgesetzt wird.
Können NIST CSF und ISO 27001 eine Risikobewertung gemeinsam nutzen?
Ja. Eine Risikobewertung, die die ISO-27001-Anforderungen an eine dokumentierte Methode, Verantwortliche und Akzeptanzkriterien erfüllt, unterstützt auch die Ergebnisse des CSF zum Risikomanagement.
Verlangt die US-Regierung ISO 27001?
In der Regel nein. Bundessysteme der USA nutzen NIST SP 800-53 und das Risk Management Framework; CSF ist in der Privatwirtschaft weit verbreitet. ISO 27001 wird häufiger von internationalen Kunden verlangt.
Muss ich ISO 27001 kaufen, um es zu nutzen?
Ja, der Standard wird von ISO und nationalen Normungsorganisationen verkauft. NIST CSF und seine Referenzen können kostenlos heruntergeladen werden.
Was ist für ein kleines Unternehmen besser?
NIST CSF ist kostenlos und leichter einzuführen; ISO 27001 lohnt sich, wenn Kunden oder Ausschreibungen eine Zertifizierung verlangen. Viele kleine Unternehmen starten mit CSF und lassen sich später zertifizieren.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Zugeordnet = gemeinsam in einem ControlMapping-Thema kuratiert oder direkt verknüpft. Crosswalks belegen keine Konformität. Methodik · Daten herunterladen · Fehler melden.