Compliance
Einhaltung der anwendbaren Anforderungen an die Cybersicherheit sicherstellen.
Compliance wird durch die NIST CSF 2.0 Outcomes GV.OC-03 (Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed); GV.OV-03 (Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, PCI DSS, 800-53 und NIS2. Redaktionell Redaktionell zugeordnet in SOC 2, CMMC, HIPAA, GDPR, DORA und CPS 234. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für CIS v8.1, Essential Eight und Cyber Essentials.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.OC-03GV.OV-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed; Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Themendefinition | GV.OC-03 GV.OV-03 |
| ISO 27001 | A.5.31A.5.36Clause 9.1 | Legal, statutory, regulatory and contractual requirements; Compliance with policies, rules and standards for information security; Monitoring, measurement, analysis and evaluation | Crosswalk | A.5.31: via GV.OC-03 A.5.36: Compliance with policies, rules and standards is the Annex A control for checking internal compliance; not linked in the OLIR mapping. Clause 9.1: via GV.OV-03; NIST 800-53 map: PM-6 |
| CIS v8.1 | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine CIS v8.1-Anforderung diesem Thema zugeordnet. |
| SOC 2 | CC4.1CC4.2 | Ongoing and/or separate evaluations of controls; Communicating and remediating control deficiencies | Redaktionell | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.4.2 | Service providers: quarterly reviews of operational tasks | Crosswalk | 12.4.2: via GV.OV-03 |
| CMMC | CA.L2-3.12.1 | Security Control Assessment | Redaktionell | CA.L2-3.12.1: Periodically assess security controls: CMMC's compliance-checking practice; NIST's crosswalk only reaches it via CA-2, itself an editorial pick here. |
| 800-53 | CA-2PM-4PM-6 | Control Assessments; Plan of Action and Milestones Process; Measures of Performance | Crosswalk | CA-2: Control assessments are how compliance with requirements is checked; NIST's CSF 2.0 references don't link CA-2 to GV.OC-03/GV.OV-03. PM-4: via GV.OV-03 PM-6: via GV.OV-03 |
| HIPAA | §164.308(a)(8) | Evaluation | Redaktionell | §164.308(a)(8): Evaluation (periodic technical and non-technical evaluation); NIST maps it to CA-2, itself an editorial pick for this topic. |
| GDPR | Art.5(2) | Principles relating to processing of personal data | Redaktionell | Art.5(2): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.22.3 | Compliance monitoring; Independent review of information and network security | Crosswalk | 2.2: via ENISA ISO map: A.5.31, A.5.36 2.3: Independent review of network and information security; ENISA links it to GV.OV-02. |
| Essential Eight | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Essential Eight-Anforderung diesem Thema zugeordnet. |
| DORA | Art.6(6)Art.6(7)Art.5(2)(f) | ICT risk management framework; ICT risk management framework; Governance and organisation | Redaktionell | Art.6(6): The ICT risk management framework is subject to regular internal audit. Art.6(7): A formal follow-up process to verify and remediate critical ICT audit findings. Art.5(2)(f): The management body approves and reviews ICT internal audit plans. |
| CPS 234 | Para 32Para 33Para 34 | Internal audit reviews control design and effectiveness; Assurance provided by appropriately skilled personnel; Internal audit assesses third-party assurance relied on | Redaktionell | Para 32: Internal audit reviews the design and operating effectiveness of information security controls. Para 33: Control assurance is provided by appropriately skilled personnel. Para 34: Internal audit assesses the third-party assurance it relies on. |
| Cyber Essentials | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Cyber Essentials-Anforderung diesem Thema zugeordnet. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über Compliance
Compliance-Management umfasst die Ermittlung aller anwendbaren rechtlichen, regulatorischen, vertraglichen und branchenspezifischen Anforderungen an die Cybersicherheit sowie die Implementierung von Kontrollen, um diese zu erfüllen. Dazu gehört die Nachverfolgung von Pflichten aus Frameworks wie DSGVO (GDPR), HIPAA, PCI DSS und SOX, die Aufbewahrung von Nachweisen zur Einhaltung durch Dokumentation und Audit-Trails sowie die Durchführung periodischer interner Audits oder Lückenanalysen. Ein ausgereiftes Compliance-Programm entwickelt sich von reaktiven Abhakübungen hin zur proaktiven Integration regulatorischer Anforderungen in den täglichen Sicherheitsbetrieb.