Methodik
ControlMapping gruppiert Sicherheitsanforderungen in 50 Themen (Verschlüsselung, Multi-Faktor-Authentifizierung, Incident Response, …) und zeigt, welche Anforderung in jedem Framework welches Thema abdeckt. Diese Seite erklärt, woher jede Zuordnung stammt, damit Sie beurteilen können, wie weit Sie sich darauf verlassen können.
Die Symbole lesen
Die gleichen fünf Symbole haben auf jeder Seite dieselbe Bedeutung. Jedes trägt eine Beschriftung; die Farbe dient nur als Zusatzhinweis.
- Themendefinition: NIST-CSF-2.0-Ergebnisse, die das Thema definieren.
- Crosswalk: Ein veröffentlichter Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her.
- Redaktionell: Die Einschätzung von ControlMapping, wo kein Crosswalk existiert; der Grund wird angezeigt.
- : Teilt nur ein CSF-2.0-Ergebnis: einen Blick wert, aber keine Zuordnung.
- Keine Zuordnung in unseren Daten: In unseren Daten ist nichts zugeordnet; oft handelt es sich um neue Arbeit, prüfen Sie aber die Hinweise zur Abdeckung.
Eine Zuordnung ist Crosswalk oder Redaktionell: Die beiden Anforderungen sind demselben Thema redaktionell zugeordnet oder direkt verknüpft. Nur Zuordnungen zählen als Abdeckung, im Lückentool, in Vergleichen und Zählungen. ist ein Hinweis zum Prüfen, niemals Abdeckung.
Keine Zuordnung in unseren Daten bedeutet, dass in unseren Daten nichts zugeordnet ist. Bei den meisten Frameworks handelt es sich wahrscheinlich um neue Arbeit, die Abdeckung ist jedoch ungleichmäßig: CIS v8.1: Die meisten CIS-Verknüpfungen sind redaktionell; der veröffentlichte Crosswalk der CIS deckt 49 von 153 Safeguards ab; SOC 2: SOC-2-Verknüpfungen sind nur redaktionell; DSGVO (GDPR): Nur die Sicherheitsartikel der DSGVO sind zugeordnet, und zwar redaktionell; Essential Eight: Essential-Eight-Verknüpfungen sind nur redaktionell; DORA: DORA-Verknüpfungen sind redaktionell, und ihre technischen Standards sind nicht zugeordnet; CPS 234: CPS 234 ist prinzipienbasiert, und seine Verknüpfungen sind redaktionell; Cyber Essentials: Cyber Essentials umfasst nur fünf technische Kontrollen. Behandeln Sie dort fehlende Zuordnungen als „noch nicht zugeordnet“ und prüfen Sie dies, bevor Sie Budget planen.
1. NIST CSF 2.0 ist die Drehscheibe
Jedes Thema wird durch eine oder mehrere Subkategorien des NIST Cybersecurity Framework 2.0 definiert (zum Beispiel Verschlüsselung = PR.DS-01 Daten im Ruhezustand und PR.DS-02 Daten bei der Übertragung). Die Auswahl dieser Subkategorien ist unsere redaktionelle Entscheidung, und sie wird auf jeder Themenseite ausgewiesen.
2. Crosswalk vs. redaktionelle Zuordnung
Für alle anderen Frameworks wird jede Anforderung, die einem Thema zugeordnet ist, mit veröffentlichten Crosswalks aus dem Katalog Online Informative References (OLIR) des NIST abgeglichen:
- Crosswalk: Ein veröffentlichter Crosswalk verknüpft diese Anforderung mit einer der CSF-Subkategorien des Themas, entweder direkt oder über eine SP-800-53-Kontrolle, die selbst verknüpft ist. Die Verknüpfung wird angezeigt, z. B. „Crosswalk: PR.DS-01“ oder „NIST HIPAA map: SC-13“.
- Redaktionell: Kein veröffentlichter Crosswalk stellt die Verbindung her, wir halten sie jedoch für relevant; der Grund wird angezeigt. Jede Zuordnung zu DSGVO, SOC 2 und Essential Eight ist redaktionell: Für sie existiert kein frei lizenzierter Crosswalk.
Crosswalks unterscheiden sich in ihrer Autorität. Jene des NIST oder des Eigentümers des Frameworks (CIS für die CIS Controls) sind am stärksten. Der PCI-DSS-Crosswalk stammt vom PCI SSC selbst. Die Crosswalks von ISO 27001 zu CSF 2.0 wurden von unabhängigen Stellen eingereicht, und das NIST überprüft Einreichungen von Nicht-NIST-Quellen nicht auf Richtigkeit. ISO-Verknüpfungen werden zusätzlich mit der eigenen Zuordnung des NIST von 800-53 zu ISO 27001 abgeglichen. Die folgende Tabelle nennt jede Quelle.
Verknüpfungen über ganze 800-53-Kontrollfamilien (ältere NIST-Daten verknüpfen einige Subkategorien mit jeder Familie) gelten nicht als Nachweis. Eine CMMC-, HIPAA- oder ISO-Verknüpfung, die über eine SP-800-53-Kontrolle läuft, zählt nur, wenn diese 800-53-Kontrolle selbst per Crosswalk mit dem Thema verknüpft ist.
Von den 968 Anforderungszuordnungen außerhalb von CSF 2.0 sind 475 durch einen Crosswalk belegt und 493 sind redaktionell.
3. Beziehungen zwischen Anforderungen
Anforderungsseiten, Vergleiche, das Lückentool und die Downloads setzen Anforderungen über Frameworks hinweg in Beziehung. Zwei Anforderungen gelten als zugeordnet, wenn:
- beide Auswahlen im selben ControlMapping-Thema sind (kuratiert und wie oben validiert). Die Verknüpfung ist Crosswalk, wenn beide Auswahlen in diesem Thema durch einen Crosswalk belegt sind, und andernfalls Redaktionell; oder
- eine paarweise Zuordnung sie direkt verknüpft: die Tabelle von ENISA für NIS2 → ISO 27001, der Crosswalk des NIST von HIPAA → SP 800-53, die Zuordnung des NIST von SP 800-53 → ISO 27001 oder, für CMMC, die Verweise des NIST aus SP 800-171r2 Anhang D und SP 800-171r3 → SP 800-53 (alle Crosswalk). Wo kein Crosswalk existiert, schließt eine kleine Menge redaktioneller ControlMapping-Paare offensichtliche Lücken (zum Beispiel SOC 2 CC4.1 ↔ ISO 27001 Klausel 9.2); jedes trägt seinen Grund (Redaktionell).
Andernfalls werden zwei Anforderungen, die mit derselben NIST-CSF-2.0-Subkategorie verknüpft sind, als angezeigt: Sie adressieren verwandte Ergebnisse, doch keine erfüllt die andere. Diese Hinweise werden gereiht (zuerst durch Crosswalk belegte, dann nach gemeinsamen Ergebnissen), auf Anforderungsseiten auf 8 pro Framework begrenzt und eingeklappt angezeigt. Zwei Arten von Verknüpfungen werden als Rauschen verworfen: Verknüpfungen, die nur über die allgemeinen Verbesserungsergebnisse von CSF (ID.IM) geteilt werden, und SP-800-53-Richtlinien- und Verfahrenskontrollen mit „-1“, es sei denn, das gemeinsame Ergebnis ist ein Richtlinienergebnis (GV.PO).
CMMC-Praktiken erreichen CSF 2.0 über ihr Gegenstück in SP 800-171 Rev 3 oder über die 800-53-Kontrollen aus Anhang D, und HIPAA-Anforderungen über den Crosswalk des NIST von HIPAA → SP 800-53. Die Downloads enthalten jede Verknüpfung von Anforderung → CSF 2.0, sodass Sie die Arbeit prüfen oder erweitern können.
4. Jede ID wird validiert
Der Build schlägt fehl, wenn eine Anforderungs-ID im Katalog ihres Frameworks nicht existiert oder zurückgezogen wurde (zum Beispiel CSF-1.1-IDs wie ID.BE-01, die in CSF 2.0 zurückgezogen wurden).
5. Quellen und Versionen
| Framework | Anforderungskatalog | Verwendeter Crosswalk | Zuordnungen (Crosswalk) |
|---|---|---|---|
| NIST Cybersecurity Framework 2.0 | NIST-CPRT-Export von CSF 2.0 (einschließlich zurückgezogener 1.1-Subkategorien) | Die Drehscheibe: Jedes Thema wird durch CSF-2.0-Subkategorien definiert | — |
| ISO/IEC 27001:2022 | Anhang-A-Kontroll- und Klauselnummern mit Kurztiteln (der Normtext ist urheberrechtlich geschützt durch ISO) | ISO/IEC 27001:2022 zu CSF 2.0 (OLIR, unabhängige Einreichende) sowie die eigene Zuordnung des NIST von SP 800-53 Rev 5 zu ISO/IEC 27001:2022 | 105 (99) |
| CIS Controls v8.1 | CIS-Controls-v8.1-Safeguards mit den Titeln der CIS (CC BY-NC-ND 4.0) | Die eigene Zuordnung der CIS von CIS Controls v8.1 zu CSF 2.0 in OLIR, die 49 von 153 Safeguards abdeckt; der Rest ist redaktionell | 163 (40) |
| SOC 2 (Trust Services Criteria) | IDs der Trust Services Criteria von 2017 (überarbeitete Schwerpunkte 2022) mit eigenen einzeiligen Zusammenfassungen von ControlMapping; der Kriterientext ist urheberrechtlich geschützt durch das AICPA | Das AICPA veröffentlicht TSC-Zuordnungen (z. B. zu NIST 800-53 und ISO 27001), jedoch nicht unter einer offenen Lizenz, daher sind alle SOC-2-Zuordnungen hier redaktionelle Zuordnungen von ControlMapping | 66 (0) |
| PCI DSS v4.0.1 | Nummerierung der Anforderungen von PCI DSS v4.0.1 (anhand des Crosswalks geprüft) mit eigenen einzeiligen Zusammenfassungen von ControlMapping; der Anforderungstext ist urheberrechtlich geschützt durch den PCI SSC | Die eigene Zuordnung des PCI SSC von PCI DSS v4.0.1 zu CSF 2.0 (Board of Advisors), veröffentlicht in den Informativen Referenzen zu CSF 2.0 des NIST | 95 (70) |
| CMMC Level 2 | NIST-CPRT-Export von SP 800-171 Rev 2 (die 110 Praktiken von CMMC Level 2) mit den Praktikennamen von DoD für CMMC Level 2 | NIST SP 800-171 Rev 2 Anhang D (→ SP 800-53, Rev-4-IDs übernommen in Rev 5), zusätzlich SP 800-171 Rev 3 → SP 800-53 sowie CSF 2.0 → 800-171r3-Verweise über die passende Anforderung aus Rev 3 | 72 (60) |
| NIST SP 800-53 Rev 5.2 | OSCAL-Katalog des NIST, SP 800-53 Rev 5.2.0 (einschließlich zurückgezogener Kontrollen) | Informative Referenzen des NIST zu CSF 2.0 (800-53 Rev 5.2.0 und 5.1.1) | 120 (106) |
| HIPAA Security Rule | NIST SP 800-66r2 (CPRT): Standards und Implementierungsspezifikationen der Security Rule. Die IDs folgen der Form des NIST, die bei Standards die nachgestellte (1) des CFR weglässt: §164.310(a) hier entspricht §164.310(a)(1) | Crosswalk des NIST von der HIPAA Security Rule zu SP 800-53 Rev 5.1.1 (OLIR), über die durch Crosswalk belegten 800-53-Kontrollen des Themas | 47 (36) |
| DSGVO (GDPR) | DSGVO-Artikel mit Sicherheitspflichten (Art. 5, 24–25, 28–30, 32–35, 37–39) | Existiert nicht (die DSGVO ist ein Datenschutzgesetz), daher sind alle DSGVO-Zuordnungen redaktionell | 34 (0) |
| NIS2-Durchführungsverordnung (EU) 2024/2690 | Die 49 Anforderungspunkte des Anhangs der Durchführungsverordnung (EU) 2024/2690 der Kommission mit den Titeln der ENISA | Die offizielle Zuordnungstabelle der ENISA (v1.2) von jedem Punkt zu NIST CSF 2.0 und ISO/IEC 27001:2022; normalisiert (z. B. zurückgezogene CSF-1.1-IDs über die Daten des NIST übertragen) und allgemeine ID.IM-Verbesserungsverknüpfungen nur dann verwendet, wenn nichts anderes zugeordnet ist | 65 (64) |
| ASD Essential Eight | Die 126 Kontrollen des Information Security Manual, die die ASD mit Reifegraden der Essential Eight kennzeichnet (ISM September 2026, CC BY 4.0), gruppiert nach den acht Strategien der ASD | Keine: Die ASD veröffentlicht keinen Crosswalk der Essential Eight bzw. des ISM zu NIST oder ISO, daher sind die Verknüpfungen Strategie → CSF 2.0 sowie die Themenzuordnungen redaktionelle Zuordnungen von ControlMapping. Die Zuordnung von Kontrollen zu Strategien folgt dem Essential Eight Maturity Model der ASD | 62 (0) |
| DORA (Verordnung (EU) 2022/2554) | Verordnung (EU) 2022/2554 in der Fassung des Amtsblatts (Amt für Veröffentlichungen): die 22 Artikel, die Finanzunternehmen binden, mit ihrem Absatz- und Punkttext | Existiert nicht, daher sind alle DORA-Zuordnungen redaktionell, auf Absatz- oder Punktebene mit jeweils einer Begründung | 93 (0) |
| APRA CPS 234 Informationssicherheit | APRA Prudential Standard CPS 234 im Federal Register of Legislation registriert (F2018L01745, CC BY 4.0): operative Absätze 13 bis 36 mit den Kurztiteln von ControlMapping | Existiert nicht, daher sind alle CPS-234-Zuordnungen redaktionell | 35 (0) |
| UK Cyber Essentials (NCSC) | NCSC Cyber Essentials Requirements for IT Infrastructure v3.3 (April 2026): die fünf technischen Kontrollthemen (Crown Copyright: nur Namen) | Existiert nicht, daher sind alle Cyber-Essentials-Zuordnungen redaktionell, wobei jeweils die konkrete Anforderung genannt wird | 11 (0) |
Quelldaten abgerufen am 2026-10-16; Zuordnungen erstellt am 2026-10-27.
6. Bekannte Lücken
- Die CSF-Zuordnung des PCI SSC lässt einige Kernanforderungen aus, darunter die MFA-Anforderungen (8.4.x) und den größten Teil der Netzwerksicherheitskontrollen von Anforderung 1. Wo wir diese aufnehmen, sind sie als redaktionell gekennzeichnet.
- Der OLIR-Crosswalk der CIS deckt nur 49 der 153 Safeguards von CIS v8.1 ab, daher sind viele CIS-Zuordnungen redaktionell. Die CIS veröffentlicht eine umfassendere Zuordnung hinter einem Download-Formular, die nicht eingearbeitet ist.
- Der Crosswalk des NIST für HIPAA ordnet auf SP 800-53 ab, daher gilt eine HIPAA-Anforderung nur dann als durch Crosswalk belegt, wenn sie eine der per Crosswalk verknüpften 800-53-Kontrollen des Themas erreicht.
- CMMC Level 2 basiert auf SP 800-171 Rev 2. Die offiziellen Verknüpfungen stammen aus dem eigenen Anhang D von Rev 2 (der SP-800-53-Rev-4-Kontrollen nennt; sieben, die in Rev 5 zurückgezogen wurden, folgen den Verknüpfungen „incorporated into“ des NIST, und SC-19 für VoIP hat keinen Nachfolger) sowie aus der passenden Anforderung in Rev 3. Rev 3 hat einige Anforderungen neu formuliert, daher ist eine Verknüpfung zu Rev 3 ein Nachweis für dasselbe Thema, nicht für identischen Wortlaut.
- Manche Themen haben in einem Framework keine gleichwertige Anforderung. Zum Beispiel hat CMMC Level 2 keine Praktik zur Wiederherstellungsplanung, und CIS v8.1 hat keinen Safeguard zur Governance. Diese Lücken sind real und keine Auslassungen.
7. Keine Compliance-Beratung
Crosswalks zeigen, wo Frameworks ähnliche Ergebnisse adressieren. Sie belegen nicht, dass die Erfüllung einer Anforderung eine andere erfüllt. Prüfen Sie dies anhand des offiziellen Texts jedes Frameworks und mit Ihrem Assessor oder Auditor.