Einmal umsetzen, in mehreren Katalogen nachweisen.
Viele Anforderungen kommen in ISO/IEC 27001, NIST, NIS2 und weiteren Katalogen ähnlich vor. Varmo verbindet sie über Entsprechungen, damit Sie Arbeit nicht doppelt machen.
Drei Kataloge, eine Umsetzung.
Eine Entsprechung verbindet eine Anforderung mit einer Anforderung in einem anderen Katalog, zum Beispiel eine Massnahme aus ISO/IEC 27001 Anhang A mit einem Control aus NIST SP 800-53. Die Art beschreibt immer diese Anforderung im Verhältnis zur anderen: Was von der einen Seite aus eine Teilmenge ist, ist von der anderen Seite aus eine Obermenge.
- Setzen Sie A.8.3 um, gilt AC-3 als erfüllt – und umgekehrt, weil beide gleichwertig sind.
- Ist PR.AA-05 erfüllt, gilt auch AC-3 als erfüllt: AC-3 ist ganz in PR.AA-05 enthalten (Teilmenge).
- AC-3 allein deckt PR.AA-05 nur teilweise ab (von dort aus eine Obermenge). Varmo schlägt die Erfüllung nur zur Prüfung vor.
- A.8.3 und PR.AA-05 überschneiden sich nur. Die Entsprechung zeigt, dass Ihre Umsetzung beide betrifft; übernommen wird nichts automatisch.
Vier Arten von Entsprechungen.
Die Art bestimmt, ob die Erfüllung automatisch übernommen oder nur zur Prüfung vorgeschlagen wird.
Gleichwertig
Zwei Anforderungen aus verschiedenen Katalogen verlangen im Wesentlichen dasselbe. Ist eine erfüllt, gilt automatisch auch die andere als erfüllt – in beide Richtungen.
Erfüllung gilt in beide Richtungen
Teilmenge
Eine Anforderung verlangt weniger als die andere und ist ganz in ihr enthalten. Ist die umfassendere Anforderung erfüllt, gilt automatisch auch die enthaltene als erfüllt – nicht umgekehrt.
Gilt als erfüllt, wenn die andere erfüllt ist
Obermenge
Eine Anforderung verlangt mehr als die andere und schliesst sie ganz ein. Ist nur die kleinere erfüllt, ist die umfassendere erst teilweise erfüllt; die Erfüllung wird nur zur Prüfung vorgeschlagen.
Erfüllt die andere mit, nicht umgekehrt
Überschneidend
Zwei Anforderungen decken sich nur teilweise; jede verlangt etwas, das die andere nicht verlangt. Die Erfüllung wird nicht automatisch übernommen, sondern nur zur Prüfung vorgeschlagen.
Nur Hinweis, Erfüllung zur Prüfung
Was Sie damit gewinnen.
Entsprechungen sparen Arbeit, ohne Ihnen Entscheide abzunehmen.
- Übernommene Erfüllung (ab Pro)Ist eine Anforderung gleichwertig oder in einer erfüllten enthalten, gilt sie automatisch als erfüllt. Übernahmen gehen nie über Ketten, und jede Zuordnung können Sie mit Begründung anders bewerten.
- Katalog später ergänzen (ab Pro)Kommt ein Katalog hinzu, übernehmen Sie Anwendbarkeit, Massnahmen und Nachweise aus bestehenden Katalogen – mit Vorschau und rückgängig machbar.
- Abdeckung und Delta (ab Pro)Bis zu drei Kataloge im Vergleich nach den sechs Funktionen des NIST CSF 2.0, und je Zielkatalog, was noch fehlt.
- Anwendbarkeit bleibt Ihr EntscheidOb eine Anforderung für Sie gilt, entscheiden Sie je Katalog. Widersprechen sich Entscheide bei gleichwertigen Anforderungen, zeigt die Anforderung das an.
Diese Kataloge sind verbunden.
Die Plattform-Kataloge werden zentral gepflegt und sind über Zuordnungen miteinander verbunden. Eigene Kataloge verbinden Sie selbst.
- ISO/IEC 27001:2022
- NIST CSF 2.0
- NIST SP 800-53
- NIS2
- IKT-Grundschutz (Schweiz)
- IKT-Minimalstandard (Schweiz)
- FINMA-RS 2023/1
- DORA
Schritt für Schritt erklärt: Entsprechungen zwischen Katalogen nutzen
Häufige Fragen.
- Wie entstehen die Zuordnungen zwischen den Katalogen?
- Die Zuordnungen zwischen ISO/IEC 27001 und NIST CSF 2.0 stammen aus dem öffentlichen NIST-Katalog der Online Informative References. Die Zuordnungen von NIST SP 800-53 zu ISO/IEC 27001 und zum NIST CSF 2.0 hat NIST selbst veröffentlicht, im selben Katalog bzw. als Informative References des CSF 2.0. Die meisten Controls, die NIST nicht dem CSF zuordnet, haben wir ergänzt; einzelne ohne Bezug zum CSF bleiben ohne Zuordnung. Die Zuordnungen von NIS2 und dem IKT-Grundschutz (Schweiz) zu den anderen Katalogen sind eine eigene fachliche Zuordnung, denn dazu gibt es keine offizielle Quelle. Der IKT-Minimalstandard (Schweiz) ist über die Überleitung von NIST dem CSF 2.0 und über die Verweise im Standard ISO/IEC 27001 und NIST SP 800-53 zugeordnet. Jede Zuordnung hat eine Art: gleich (beide verlangen im Wesentlichen dasselbe), Teilmenge bzw. Obermenge (eine Anforderung ist in der anderen vollständig enthalten) oder überschneidend (sie decken sich nur teilweise). Bei gleichen und enthaltenen Anforderungen gilt die eine automatisch als erfüllt, sobald die andere erfüllt ist; diese Arten setzen wir nur nach einer Prüfung. Überschneidende Zuordnungen zeigen nur, wo eine Umsetzung auch andere Anforderungen betrifft. Sie können jede Zuordnung mit Begründung anders bewerten.
- Ersetzt eine übernommene Erfüllung die Prüfung im Audit?
- Nein. Eine übernommene Erfüllung verweist auf den Nachweis der Quelle; im Audit wird jede Anforderung im Zielkatalog selbst beurteilt. Halten Sie besonders bei gesetzlichen Katalogen wie NIS2 in der Umsetzung fest, wie die Quelle die Anforderung erfüllt.
- Wird die Anwendbarkeit auch übertragen?
- Nicht automatisch. Ob eine Anforderung für Sie gilt, entscheiden Sie je Katalog. Kommt ein Katalog hinzu, können Sie ab Paket Pro Anwendbarkeit samt Begründung, Massnahmen und Nachweise aus bestehenden Katalogen übernehmen – als bewusster Schritt mit Vorschau, der sich rückgängig machen lässt.
- In welchem Paket gibt es das?
- Eigene Kataloge verbinden Sie in jedem Paket selbst. Die Plattform-Kataloge mit ihren Zuordnungen nutzen Sie gemeinsam ab Paket Pro (Starter enthält ISO/IEC 27001 Anhang A). Übernommene Erfüllung, Übernahme aus bestehenden Katalogen sowie Abdeckung und Delta sind ab Pro enthalten.
Mehrere Kataloge, ein ISMS.
Starten Sie kostenlos mit eigenen Katalogen oder lassen Sie sich die Entsprechungen in einer Demo zeigen.