Häufig gestellte Fragen

Verwendung von ControlMapping

Was ist ControlMapping?

Ein kostenloses Nachschlagewerk, das zeigt, welche Sicherheitsanforderungen zwischen 14 Frameworks übertragbar sind: NIST CSF 2.0, ISO 27001, SOC 2, PCI DSS, NIS2, CMMC, HIPAA, DSGVO (GDPR), NIST SP 800-53, CIS Controls und die Essential Eight. Es umfasst 1.421 Anforderungen, gruppiert in 50 Sicherheitsthemen, und jede Verknüpfung zeigt, woher sie stammt.

Wie führe ich eine Lückenanalyse durch?

Öffnen Sie die Lückenanalyse und wählen Sie das Framework, das Sie haben, und das, das Sie benötigen. Jede Anforderung des benötigten Frameworks wird aufgelistet als zugeordnet (durch einen veröffentlichten Crosswalk oder durch unsere redaktionelle Einschätzung), lose verwandt oder ohne Zuordnung in unseren Daten. Die Zeilen ohne Zuordnung sind voraussichtlich Ihre neue Arbeit. Exportieren Sie das Ergebnis als CSV mit leeren Spalten für Verantwortliche, Status und Nachweise, um es als Tracker zu verwenden.

Was bedeuten die Symbole?

Crosswalk (ausgefülltes Quadrat): Ein veröffentlichter Crosswalk (von NIST, ENISA, CIS oder PCI SSC) stellt die Verbindung her. Redaktionell (umrandetes Quadrat): unsere Einschätzung, wo kein Crosswalk existiert; der Grund wird stets angezeigt. Lose verwandt (bernsteinfarbener Ring): Die beiden teilen lediglich ein NIST-CSF-2.0-Ergebnis, daher vor dem Verlassen darauf prüfen. Keine Zuordnung in unseren Daten (Strich): meist neue Arbeit, doch die Abdeckung ist bei einigen Frameworks teilweise. Eine Raute markiert die CSF-Ergebnisse, die ein Thema definieren. Siehe die Methodik.

Was ist ein Thema?

Ein Sicherheitsthema wie Verschlüsselung, Multi-Faktor-Authentifizierung oder Incident Response. Jedes Thema wird durch NIST-CSF-2.0-Ergebnisse definiert und listet die Anforderung in jedem Framework auf, das es adressiert. Themenseiten sind der schnellste Weg, ein Thema über alle Frameworks hinweg zu betrachten.

Kann ich die Daten herunterladen?

Ja. Die Seite Downloads enthält den vollständigen Crosswalk als CSV, Excel und JSON unter CC BY 4.0; die Lizenzen von Materialien Dritter sind in jeder Datei vermerkt.

Ist ControlMapping kostenlos?

Ja: kein Konto und keine Paywall. Die Daten dürfen unter CC BY 4.0 kostenlos weiterverwendet werden.

Genauigkeit und Quellen

Wie genau ist die Zuordnung?

Jede Anforderungs-ID wird beim Erstellen der Website mit dem offiziellen Katalog des Frameworks abgeglichen; zurückgezogene IDs führen zum Abbruch des Builds. Verknüpfungen mit der Bezeichnung Crosswalk stammen aus veröffentlichten Crosswalks; Verknüpfungen mit der Bezeichnung Redaktionell beruhen auf unserer Einschätzung, jeweils mit Begründung. Crosswalks zeigen, dass Anforderungen ähnliche Ergebnisse adressieren, nicht dass die Erfüllung der einen die andere erfüllt. Nutzen Sie die Website daher zur Planung und prüfen Sie den Quelltext, bevor Sie sich für ein Audit darauf verlassen.

Woher stammen die Crosswalks?

NIST (CSF-2.0-Informative-References, SP 800-53 → ISO 27001, HIPAA → SP 800-53, SP 800-171 Anhang D), ENISA (NIS2 → ISO 27001 und CSF 2.0), CIS (CIS Controls → CSF 2.0) und PCI SSC (PCI DSS → CSF 2.0). Für SOC 2, DSGVO (GDPR) und die Essential Eight gibt es keinen offen lizenzierten Crosswalk, daher sind diese Verknüpfungen redaktionell. Die Methodik nennt jede Quelle und Version.

Warum kann ich den vollständigen Text der ISO-, PCI- oder SOC-2-Anforderungen nicht sehen?

Dieser Text ist urheberrechtlich geschützt durch ISO, PCI SSC und das AICPA. Wir zeigen die IDs, die Titel von ISO sowie unsere eigenen kurzen Zusammenfassungen für PCI DSS und SOC 2. Texte von NIST, HIPAA, NIS2 und Essential Eight werden angezeigt, soweit ihre Lizenz dies erlaubt.

Ich habe einen Fehler gefunden. Wie melde ich ihn?

Nutzen Sie den Link zur Fehlermeldung auf jeder Anforderungsseite oder siehe die Seite „Über uns“.

Frameworks

Worin unterscheiden sich SOC 2 und ISO 27001?

ISO 27001 endet mit einem Zertifikat für ein Informationssicherheits-Managementsystem, ausgestellt von einer akkreditierten Zertifizierungsstelle und drei Jahre gültig. SOC 2 endet mit einem Bericht: einer Beurteilung Ihrer Kontrollen durch eine CPA-Firma, in der Regel über einen Zeitraum von 3 bis 12 Monaten (Typ II). Ihre Sicherheitskontrollen überschneiden sich stark; ISO ergänzt das Managementsystem, SOC 2 ergänzt optionale Kriterien zu Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz. Siehe ISO 27001 vs. SOC 2.

Brauche ich SOC 2 Typ I oder Typ II?

Die meisten Kunden verlangen Typ II, der prüft, ob Kontrollen über einen Zeitraum wirksam waren. Typ I deckt nur die Konzeption zu einem Zeitpunkt ab; er ist ein nützlicher erster Schritt, während der Typ-II-Zeitraum läuft. Siehe den SOC-2-Leitfaden.

Erfüllt eine ISO-27001-Zertifizierung NIS2?

Nicht allein. ENISA ordnet jede technische Maßnahme der NIS2-Durchführungsverordnung ISO 27001 zu, daher haben zertifizierte Organisationen einen Großteil der Arbeit bereits erledigt. NIS2 ergänzt jedoch Fristen für die Meldung von Sicherheitsvorfällen (24 Stunden, 72 Stunden, ein Monat), Schulungspflichten und Verantwortlichkeit der Leitung sowie die Registrierung bei der nationalen Behörde. Siehe den NIS2-Leitfaden.

Was ist der Unterschied zwischen NIST CSF und NIST SP 800-53?

CSF 2.0 beschreibt Ergebnisse (106 Subkategorien) und ist für die meisten Organisationen freiwillig. SP 800-53 ist ein Kontrollkatalog, mit dem diese Ergebnisse erreicht werden; er ist für US-Bundessysteme verbindlich und die Grundlage von FedRAMP. NIST veröffentlicht die offizielle Zuordnung zwischen beiden, die diese Website verwendet.

Wer benötigt CMMC Level 2?

US-Vertragspartner und Unterauftragnehmer des Verteidigungsministeriums (DoD), die Controlled Unclassified Information (CUI) verarbeiten. Level 2 umfasst die 110 Anforderungen von NIST SP 800-171 Rev 2, die entweder per Selbstbewertung oder, für die meisten CUI-Verträge, durch einen akkreditierten externen Prüfer (C3PAO) bewertet werden.

Gibt es eine Zertifizierung für NIST CSF, HIPAA oder die Essential Eight?

Nein, keine offizielle. NIST CSF und die Essential Eight werden bewertet, nicht zertifiziert; HIPAA wird vom Office for Civil Rights des HHS durchgesetzt. Für alle drei gibt es Drittbestätigungen, doch keine davon ist ein offizielles Zertifikat.