Viele Anforderungen kommen in mehreren Katalogen vor, etwa in ISO/IEC 27001 Anhang A, NIS2 und NIST SP 800-53. Entsprechungen verbinden solche Anforderungen, damit Sie Arbeit nicht doppelt machen. Diese Anleitung erklärt die Arten von Entsprechungen, die übernommene Erfüllung und die Auswertung „Abdeckung und Delta“.

Bevor Sie beginnen

  • Entsprechungen sehen und pflegen Personen mit dem Recht „Zuordnungen zwischen Katalogen pflegen“. Standardmässig sind das die ISMS-Verantwortlichen.
  • Sie brauchen mindestens zwei Kataloge, siehe Anforderungskataloge übernehmen und aktuell halten. Zwischen Plattform-Katalogen sind die Entsprechungen bereits hinterlegt.
  • Paket: Die übernommene Erfüllung und die Seite Abdeckung sind ab Paket Pro enthalten. Entsprechungen ansehen und bewerten können Sie in jedem Paket, in dem Sie mehrere Kataloge führen. Im Paket Free gibt es keine Plattform-Kataloge; dort verbinden Sie nur Ihre eigenen Kataloge.

Die Arten von Entsprechungen

Die Art beschreibt immer die Anforderung, die Sie gerade ansehen, im Verhältnis zur anderen:

  • Gleichwertig: Beide verlangen dasselbe. Die Erfüllung gilt in beide Richtungen.
  • Teilmenge: Diese Anforderung ist ganz in der anderen enthalten. Ist die andere erfüllt, gilt diese als erfüllt, nicht umgekehrt.
  • Obermenge: Diese Anforderung verlangt mehr als die andere. Sie erfüllt die andere mit, nicht umgekehrt.
  • Überschneidend: Beide betreffen dasselbe Thema, verlangen aber nicht dasselbe. Das ist nur ein Hinweis; die Erfüllung wird zur Prüfung vorgeschlagen.
  • Keine Beziehung: steht nur zur Wahl, wenn Sie eine Entsprechung anders bewerten. Sie hat dann keine Wirkung.

Was von einer Seite aus eine Teilmenge ist, ist von der anderen Seite aus eine Obermenge.

Entsprechungen ansehen und bewerten

  1. Öffnen Sie Anforderungen › Alle Anforderungen und wählen Sie eine Anforderung.
  2. Im Abschnitt Entsprechungen in anderen Katalogen sehen Sie die verbundenen Anforderungen Ihrer anderen Kataloge mit ihrer Art.
  3. Passt eine Entsprechung der Plattform für Ihre Organisation nicht, klicken Sie auf Sehe ich anders, wählen die Art aus Ihrer Sicht und begründen das. Ab dann gilt Ihre Bewertung. Mit Abweichung zurücknehmen gilt wieder die Bewertung der Plattform.
  4. Fehlt eine Verbindung, legen Sie sie mit Entsprechung hinzufügen an. Zwischen zwei Plattform-Katalogen ist eine Begründung Pflicht.

Alle Abweichungen und eigenen Entsprechungen mit Begründung finden Sie unter Anforderungen › Zuordnungen. „Zuordnungen“ ist der Name dieser Liste im Menü; gemeint sind dieselben Entsprechungen.

Übernommene Erfüllung

Ab Paket Pro übernimmt Varmo die Erfüllung automatisch, wenn eine Anforderung gleichwertig oder eine Teilmenge einer erfüllten Anforderung ist. Erfüllt heisst: anwendbar, als „Umgesetzt“ markiert und mit Beschreibung oder wirksamem Nachweis belegt.

  • Die Übernahme sehen Sie auf der Anforderung im Abschnitt „Umsetzung“. Ihr eigener Umsetzungsstatus bleibt davon unberührt.
  • Bei überschneidenden Entsprechungen und Obermengen erscheint die Erfüllung unter Zur Prüfung vorgeschlagen. Mit Übernehmen und einer Begründung bestätigen Sie sie.
  • Ist die Quelle später nicht mehr erfüllt, endet die Übernahme automatisch. Übernahmen gehen nie über Ketten hinweg.
  • Ändert sich der Text einer Anforderung oder die Version eines Katalogs, ist die Entsprechung als veraltet markiert und überträgt bis zur Prüfung nichts.

Viele Entsprechungen der Plattform sind „überschneidend“. Die automatische Übernahme greift darum seltener, als man erwartet; die übrigen erscheinen als Vorschlag zur Prüfung. Eine übernommene Erfüllung verweist auf den Nachweis der Quelle, sie ersetzt keine eigene Prüfung: In einem Audit wird die Anforderung im Zielkatalog selbst beurteilt. Halten Sie besonders bei gesetzlichen Katalogen (z. B. NIS2, DSV) in der Umsetzung fest, wie die Quelle die Anforderung erfüllt.

Anwendbarkeit, Massnahmen und Nachweise übernehmen

Die übernommene Erfüllung oben wirkt laufend und automatisch, betrifft aber nur die Umsetzung. Kommt ein neuer Katalog hinzu, können Sie ab Paket Pro zusätzlich einmalig Anwendbarkeit samt Begründung, verknüpfte Massnahmen und Nachweise aus Ihren bestehenden Katalogen übernehmen. Das ist ein bewusster Schritt mit Vorschau, und er lässt sich rückgängig machen. Wie das geht, steht in Aus bestehenden Katalogen übernehmen.

Abdeckung und Delta

Unter Anforderungen › Abdeckung (ab Paket Pro) vergleichen Sie bis zu drei Kataloge in einem Netzdiagramm. Die Achsen sind die sechs Funktionen des NIST Cybersecurity Framework 2.0. Gezählt werden nur anwendbare Anforderungen; umgesetzte und übernommene zählen ganz, teilweise umgesetzte halb. Deshalb liegt die Abdeckung meist über dem Anteil „umgesetzt“ auf der Katalogseite.

Das Delta zeigt für einen Zielkatalog, was noch fehlt, gruppiert nach:

  • Widersprüchlich entschieden: Eine gleichwertige Anforderung ist anderswo als nicht anwendbar markiert.
  • Baut auf Vorhandenem auf: Ähnliches ist schon umgesetzt, oft mit wenig Aufwand.
  • Noch nichts vorhanden: Hier liegt die eigentliche Arbeit.

Häufige Fragen

Warum sehe ich auf der Anforderung keine Entsprechungen?

Entweder fehlt Ihnen das Recht „Zuordnungen zwischen Katalogen pflegen“, oder Sie führen nur einen Katalog. Ohne Paket Pro erscheint zusätzlich ein Hinweis, dass die übernommene Erfüllung dort nicht enthalten ist.

Geht meine Bewertung an die Plattform?

Ja. Abweichungen und Ergänzungen zwischen Plattform-Katalogen gehen als Rückmeldung an die Plattform. Für Ihre Organisation gilt Ihre Bewertung sofort.

Kann ich eine bestätigte Übernahme zurückziehen?

Ja. Auf der Anforderung wählen Sie Bestätigte Übernahme zurückziehen. Die Anforderung gilt dann nicht mehr über die andere als erfüllt; der Verlauf bleibt erhalten.