Risikomanagement
Cybersicherheitsrisiken identifizieren, bewerten und steuern.
Risikomanagement wird durch die NIST CSF 2.0 Outcomes GV.RM-01 (Risk management objectives are established and agreed to by organizational stakeholders); GV.RM-02 (Risk appetite and risk tolerance statements are established, communicated, and maintained); GV.RM-03 (Cybersecurity risk management activities and outcomes are included in enterprise risk management processes); GV.RM-06 (A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, PCI DSS, CMMC, 800-53 und NIS2. Redaktionell Redaktionell zugeordnet in SOC 2, HIPAA, GDPR, DORA und CPS 234. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für CIS v8.1, Essential Eight und Cyber Essentials.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.RM-01GV.RM-02GV.RM-03GV.RM-06 | Risk management objectives are established and agreed to by organizational stakeholders; Risk appetite and risk tolerance statements are established, communicated, and maintained; Cybersecurity risk management activities and outcomes are included in enterprise risk management processes… | Themendefinition | GV.RM-01 GV.RM-02 GV.RM-03 GV.RM-06 |
| ISO 27001 | Clause 6.1.1Clause 6.1.3 | General; Information security risk treatment | Crosswalk | Clause 6.1.1: via GV.RM-01; NIST 800-53 map: PM-9 Clause 6.1.3: via GV.RM-03; NIST 800-53 map: RA-7 |
| CIS v8.1 | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine CIS v8.1-Anforderung diesem Thema zugeordnet. |
| SOC 2 | CC3.1CC9.1CC5.1 | Objectives specified clearly enough to identify risks; Mitigating risks from business disruptions; Control activities that mitigate risks | Redaktionell | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Crosswalk | 12.3.1: via GV.RM-06 |
| CMMC | RA.L2-3.11.1 | Risk Assessments | Crosswalk | RA.L2-3.11.1: via 800-171r3 03.11.01 ↔ GV.RM-06 |
| 800-53 | PM-9PM-28RA-7 | Risk Management Strategy; Risk Framing; Risk Response | Crosswalk | PM-9: via GV.RM-01; GV.RM-02; GV.RM-03; GV.RM-06 PM-28: via GV.RM-06 RA-7: via GV.RM-01; GV.RM-03 |
| HIPAA | §164.308(a)(1)(ii)(B) | Risk Management | Redaktionell | §164.308(a)(1)(ii)(B): HIPAA's Risk Management specification (implement measures to reduce risk); NIST maps it to RA-2/RA-3, which sit under risk assessment here. |
| GDPR | Art.24(1)Art.32(2) | Responsibility of the controller; Security of processing | Redaktionell | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.17.1 | Risk management framework; Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | Crosswalk | 2.1: via GV.RM-01; GV.RM-03; GV.RM-06; ENISA ISO map: Clause 6.1.3 7.1: via GV.RM-06 |
| Essential Eight | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Essential Eight-Anforderung diesem Thema zugeordnet. |
| DORA | Art.6(1)Art.6(8)Art.5(2)(a)Art.24(1)Art.16(1) | ICT risk management framework; ICT risk management framework; Governance and organisation… | Redaktionell | Art.6(1): A sound, comprehensive and documented ICT risk management framework within the overall risk management system. Art.6(8): A digital operational resilience strategy, including the ICT risk tolerance and the impact tolerance for disruptions. Art.5(2)(a): The management body bears ultimate responsibility for managing ICT risk. Art.24(1): A digital operational resilience testing programme to find weaknesses, deficiencies and gaps. Art.16(1): Small and non-interconnected entities follow a simplified ICT risk management framework instead of Articles 5 to 15. |
| CPS 234 | Para 13Para 15Para 27Para 31 | Board ultimately responsible for information security; Maintain a capability commensurate with threats; Systematic testing programme for control effectiveness… | Redaktionell | Para 13: The Board ensures information security is commensurate with the threats to information assets. Para 15: An information security capability commensurate with the size and extent of threats. Para 27: Test the effectiveness of controls through a systematic testing programme. Para 31: Review the sufficiency of the testing programme at least annually. |
| Cyber Essentials | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Cyber Essentials-Anforderung diesem Thema zugeordnet. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über Risikomanagement
Ein strukturiertes Risikomanagement-Programm ermöglicht es Organisationen, Sicherheitsinvestitionen zu priorisieren, indem sie Bedrohungen systematisch identifizieren, deren Eintrittswahrscheinlichkeit und Auswirkungen bewerten und geeignete Maßnahmen zur Risikominderung umsetzen. Übliche Ansätze umfassen die Pflege eines Risikoregisters, die regelmäßige Durchführung von Risikobewertungen auf Basis von Frameworks wie NIST RMF oder ISO 27005 sowie die Festlegung von Kriterien für die Risikoakzeptanz, die von der Geschäftsleitung genehmigt werden. Ein wirksames Risikomanagement erfordert eine kontinuierliche Überwachung, da sich die Bedrohungslage, die Geschäftsprozesse und die technischen Umgebungen laufend weiterentwickeln.