Kommunikation
Kommunikation während und nach Sicherheitsvorfällen koordinieren.
Kommunikation wird durch das NIST CSF 2.0 Outcome RS.CO-03 (Information is shared with designated internal and external stakeholders) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, CIS v8.1, CMMC, 800-53 und NIS2. Redaktionell Redaktionell zugeordnet in SOC 2, DORA und CPS 234. In PCI DSS und HIPAA nur lose verwandt. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für GDPR, Essential Eight und Cyber Essentials.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | RS.CO-03 | Information is shared with designated internal and external stakeholders | Themendefinition | RS.CO-03 |
| ISO 27001 | A.5.6Clause 7.4 | Contact with special interest groups; Communication | Crosswalk | A.5.6: Contact with special interest groups (information sharing); not linked to RS.CO-03 in the OLIR mapping. Clause 7.4: via RS.CO-03 |
| CIS v8.1 | CIS 17.2CIS 17.6 | Establish and Maintain Contact Information for Reporting Security Incidents; Define Mechanisms for Communicating During Incident Response | Crosswalk | CIS 17.2: via RS.CO-03 CIS 17.6: Communication mechanisms during incident response; CIS's crosswalk links it to recovery subcategories only. |
| SOC 2 | CC2.3 | Communication with external parties | Redaktionell | CC2.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.8.212.8.412.10.112.10.6 | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (RS.CO-03) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| CMMC | IR.L2-3.6.2 | Incident Reporting | Crosswalk | IR.L2-3.6.2: via 800-171r3 03.06.02 ↔ RS.CO-03 → IR-7; 800-171r2 Appendix D → IR-7 |
| 800-53 | IR-7 | Incident Response Assistance | Crosswalk | IR-7: via RS.CO-03 |
| HIPAA | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)§164.314(a)(2)(i)§164.314(a)(2)(iii)§164.314(b)(2)(iv) | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (RS.CO-03) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| GDPR | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine GDPR-Anforderung diesem Thema zugeordnet. |
| NIS2 | 4.3 | Crisis management | Crosswalk | 4.3: via RS.CO-03 |
| Essential Eight | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Essential Eight-Anforderung diesem Thema zugeordnet. |
| DORA | Art.14(1)Art.14(2)Art.17(3)(d) | Communication; Communication; ICT-related incident management process | Redaktionell | Art.14(1): Crisis communication plans for responsible disclosure of major incidents to clients, counterparts and the public. Art.14(2): Communication policies for internal staff and external stakeholders. Art.17(3)(d): Plans for communication to staff, external stakeholders, media and clients. |
| CPS 234 | Para 25 | Response plans cover all stages and escalation | Redaktionell | Para 25: Escalation and reporting of incidents to the Board and others responsible for oversight. |
| Cyber Essentials | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Cyber Essentials-Anforderung diesem Thema zugeordnet. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über Kommunikation
Die Kommunikation im Vorfall stellt sicher, dass alle Stakeholder, darunter interne Teams, die Geschäftsleitung, Kunden, Aufsichtsbehörden und Strafverfolgungsbehörden, während und nach einem Cybersicherheitsvorfall zeitnah und korrekt informiert werden. Vorab festgelegte Kommunikationspläne sollten Meldeschwellen, Sprecherrollen, zugelassene Kommunikationskanäle und Mustermitteilungen für unterschiedliche Vorfallarten und Zielgruppen definieren. Regulatorische Vorgaben wie die 72-Stunden-Meldepflicht bei Datenschutzverletzungen nach DSGVO (GDPR), die Offenlegungsregeln der SEC sowie die Melderegeln der US-Bundesstaaten machen eine strukturierte Kommunikationsplanung zu einer rechtlichen Notwendigkeit und nicht nur zu einer bewährten Praxis.