Framework-Inhaltsverzeichnis
Alle fachlichen Bausteine an einer Stelle. Die Verknüpfungen in den Onepagern zeigen, wie sie zusammenwirken.
Capabilities als eigene Sicht öffnen →Das Inhaltsverzeichnis ist keine Dokumentenablage. Es zeigt Bausteine, die sich gegenseitig erklären, steuern und nachweisbar machen.
Sechs fachliche Gruppen als Navigationsebene
Diese sechs Gruppen ordnen die Framework-Bausteine nach fachlicher Funktion und ergänzen die bewährte technische Gliederung (Framework, Thema, Methode, Prinzip, Governance, Rolle, Capability, Anforderung) weiter unten auf dieser Seite um eine zweite, fachlich orientierte Navigationsebene. Ein Klick springt zum passenden bestehenden Abschnitt.
Governance & Verantwortung
Steuerungsrahmen, Dokumentebenen und Rollen mit klarer Verantwortung. → Governance · → Rolle
Umsetzung
Methoden und Fähigkeiten, mit denen Sicherheit operativ gelebt wird. → Methode · → Capability
Risiko & Steuerung
Risikoorientierte Methoden und Prinzipien für Priorisierung und Entscheidung. → Methode · → Prinzip
Framework
Bewerten & Verbessern
Sicherheit wird regelmäßig gegen Ziele, Risiken und erwartete Wirkung überprüft und aus den Ergebnissen weiterentwickelt.
Warum wichtig: Ohne regelmäßige Bewertung bleiben Schwachstellen unentdeckt und Verbesserungen zufällig statt gezielt.
Framework verstehen
Informationssicherheit entsteht aus Zusammenhängen: Was ist wichtig? Wer trägt Verantwortung? Welche Risiken bestehen? Wie wird gehandelt, geprüft und verbessert?
Warum wichtig: Ein gemeinsames Verständnis verhindert, dass Bausteine isoliert betrachtet und Zusammenhänge übersehen werden.
Kernbegriffe
← Inhaltsverzeichnis
Warum wichtig: Einheitliche Begriffe verhindern Missverständnisse zwischen Fachbereichen, Rollen und externen Anforderungen.
Manifest
Das Framework beschreibt eine Haltung zur Informationssicherheit: methodisch, risikoorientiert, verantwortlich, evidenzbasiert und lernend.
Warum wichtig: Die Grundhaltung schafft Orientierung für Entscheidungen, wenn Regeln allein keine Antwort liefern.
Thema
Künstliche Intelligenz
KI wird wie jede andere relevante Technologie über Zweck, Daten, Risiken, Verantwortung und Wirksamkeit gesteuert.
Warum wichtig: KI-Systeme schaffen neue Daten-, Modell- und Entscheidungsrisiken, die klassische Kontrollen nicht automatisch abdecken.
Asset Management
Sicherheit beginnt mit der Kenntnis dessen, was geschützt, betrieben, verändert und wiederhergestellt werden muss.
Warum wichtig: Unbekannte oder falsch erfasste Assets lassen sich weder gezielt schützen noch im Ernstfall wiederherstellen.
Backup, Restore & Recovery
Sicherungen schaffen erst dann Resilienz, wenn die benötigten Daten und Systeme innerhalb akzeptabler Ziele wiederhergestellt werden können.
Warum wichtig: Ohne getestete Wiederherstellung bleibt jede Sicherung im Ernstfall ein ungeprüftes Versprechen.
Business Continuity und Wiederanlauf
Kritische Geschäftsleistungen sollen Störungen überstehen oder innerhalb akzeptabler Ziele wieder aufgenommen werden können.
Warum wichtig: Fehlende Kontinuitätsplanung macht aus einer technischen Störung schnell einen existenzbedrohenden Geschäftsausfall.
Capacity & Performance Management
Kapazität und Leistung werden so gesteuert, dass kritische Services auch unter Last und Veränderung zuverlässig funktionieren.
Warum wichtig: Überlastete Systeme gefährden Verfügbarkeit und Sicherheit gleichermaßen, besonders unter Stress oder Angriff.
Change- und Configuration-Management
Veränderungen an Assets werden geplant, bewertet, kontrolliert umgesetzt und in ihrem Zielzustand nachvollziehbar gehalten.
Warum wichtig: Unkontrollierte Änderungen zählen zu den häufigsten Ursachen für Ausfälle und neue Schwachstellen.
Kryptographie und Schlüsselmanagement
Kryptographische Verfahren schützen Informationen und Vertrauensbeziehungen – ihre Wirksamkeit hängt wesentlich vom Lebenszyklus der Schlüssel ab.
Warum wichtig: Kompromittierte oder verlorene Schlüssel machen selbst starke Verschlüsselung wirkungslos oder Daten unwiederbringlich.
Endgeräte- und Gerätesicherheit
Arbeitsplätze, mobile Geräte und andere Endpunkte werden über ihren Lebenszyklus geschützt und in die zentrale Sicherheitssteuerung eingebunden.
Warum wichtig: Endgeräte sind häufig der erste Angriffspunkt und damit ein zentrales Einfallstor für Vorfälle.
Identitäts- und Berechtigungsmanagement
IAM stellt sicher, dass Identitäten eindeutig sind und Zugriffe dem tatsächlichen Bedarf folgen.
Warum wichtig: Zu weitreichende oder verwaiste Berechtigungen zählen zu den häufigsten Ursachen erfolgreicher Angriffe.
Incident Management
Incidents werden erkannt, eingeordnet, behandelt und als Lernquelle genutzt, damit Auswirkungen begrenzt und Wiederholungen vermieden werden.
Warum wichtig: Unstrukturierte Reaktion auf Vorfälle verlängert Schäden und verhindert das Lernen aus Fehlern.
Informationsschutz und Datenschutz
Informationen werden entsprechend ihrer Bedeutung, Sensitivität und rechtlichen Anforderungen angemessen geschützt.
Warum wichtig: Unzureichender Schutz sensibler Informationen führt zu rechtlichen, finanziellen und reputativen Schäden.
IT-Betrieb und Infrastruktur
Stabiler und sicherer Betrieb hält technische Plattformen, Dienste und Abhängigkeiten in einem beherrschten Zustand.
Warum wichtig: Instabiler Betrieb untergräbt jede Sicherheitsmaßnahme, weil Kontrollen auf verlässlicher Infrastruktur aufbauen.
Logging & Nachvollziehbarkeit
Relevante Aktivitäten und Zustandsänderungen werden so protokolliert, dass Ereignisse erkannt, untersucht und nachvollzogen werden können.
Warum wichtig: Ohne belastbare Protokolle lassen sich Vorfälle im Nachhinein weder aufklären noch nachweisen.
Meldung schwerwiegender ICT-Vorfälle nach DORA
Ein normal behandelter ICT-Incident kann sich durch seine tatsächlichen Auswirkungen zu einem regulatorisch meldepflichtigen schwerwiegenden Vorfall entwickeln.
Warum wichtig: Verpasste oder verspätete DORA-Meldungen ziehen aufsichtsrechtliche Konsequenzen für das gesamte Unternehmen nach sich.
Netzwerk- und Kommunikationssicherheit
Kommunikationswege werden so gestaltet und überwacht, dass nur benötigte Verbindungen entstehen und unerwünschte Bewegung begrenzt wird.
Warum wichtig: Ungeschützte Netzwerke ermöglichen es Angreifern, sich nach einem ersten Zugriff ungehindert auszubreiten.
Privileged Access Management (PAM)
Privilegierte Zugriffe können Sicherheitsmechanismen verändern oder umgehen und benötigen deshalb besondere Kontrolle.
Warum wichtig: Kompromittierte privilegierte Konten erlauben Angreifern die vollständige Kontrolle über kritische Systeme.
Physische und umgebungsbezogene Sicherheit
Menschen, Informationen und Technik werden gegen physische Einwirkung, unbefugten Zutritt und Umwelteinflüsse geschützt.
Warum wichtig: Physischer Zugriff hebelt digitale Schutzmaßnahmen aus, wenn Räume und Geräte ungesichert bleiben.
Resilienz- und Sicherheitstests
Sicherheits- und Wiederherstellungsfähigkeiten werden praktisch überprüft, statt ihre Wirksamkeit nur anzunehmen.
Warum wichtig: Ungetestete Fähigkeiten versagen erfahrungsgemäß genau dann, wenn sie im Ernstfall gebraucht werden.
Sichere Konfiguration & Härtung
Technische Assets werden in einem definierten, reduzierten und nachvollziehbaren Sollzustand betrieben.
Warum wichtig: Unnötig offene oder unsichere Standardeinstellungen vergrößern die Angriffsfläche jedes Systems erheblich.
Sichere Beschaffung, Entwicklung & Wartung
Sicherheit wird über den gesamten Lebenszyklus von Anwendungen, Komponenten und Dienstleistungen berücksichtigt.
Warum wichtig: Sicherheitslücken, die erst im Betrieb entdeckt werden, sind deutlich teurer als vermiedene Fehler in der Entwicklung.
Security Awareness & Training
Menschen sollen Sicherheitsrisiken erkennen und in ihrer Rolle angemessen handeln können.
Warum wichtig: Menschliches Fehlverhalten bleibt einer der häufigsten Auslöser erfolgreicher Angriffe, unabhängig von technischen Kontrollen.
Security Monitoring & Detection
Sicherheitsrelevante Abweichungen werden durch geeignete Signale, Korrelation und Kontext möglichst früh erkennbar gemacht.
Warum wichtig: Unentdeckte Angriffe verursachen deutlich größeren Schaden als früh erkannte und rechtzeitig gestoppte Vorfälle.
Lieferanten- und Dienstleistersteuerung
Externe Leistungen werden so eingebunden, dass Verantwortung, Transparenz und Sicherheitsniveau auch außerhalb der eigenen Organisation erhalten bleiben.
Warum wichtig: Schwachstellen bei Lieferanten wirken unmittelbar auf die eigene Sicherheitslage zurück.
Schwachstellen- und Patchmanagement
Schwachstellen werden sichtbar gemacht, risikoorientiert priorisiert und kontrolliert behandelt.
Warum wichtig: Unbehandelte Schwachstellen bleiben ein bevorzugtes Einfallstor, solange bekannte Lücken nicht geschlossen werden.
Methode
Assessments
Assessments schaffen eine strukturierte Sicht auf Zustand, Risiko oder Reife eines klar abgegrenzten Gegenstands.
Warum wichtig: Ohne strukturierte Bewertung bleiben Reifegrad und Risiko eines Bereichs reine Vermutung.
Asset Management
Assets und ihre Beziehungen so erfassen und pflegen, dass Schutzentscheidungen einen belastbaren Gegenstand haben.
Warum wichtig: Fehlerhafte Asset-Daten führen zu falschen Schutzentscheidungen und einer lückenhaften Risikobetrachtung.
Audits
Audits prüfen unabhängig und nachvollziehbar, ob festgelegte Anforderungen, Prozesse und Kontrollen angemessen umgesetzt werden.
Warum wichtig: Unabhängige Prüfung deckt Lücken auf, die interne Selbsteinschätzung häufig übersieht.
Capability Model
Capabilities beschreiben, was eine Organisation zuverlässig leisten können muss – unabhängig von konkreten Tools oder Organisationsnamen.
Warum wichtig: Ein stabiles Fähigkeitsmodell verhindert, dass Organisationsänderungen oder Tool-Wechsel die Sicherheitssteuerung durcheinanderbringen.
Informationsklassifizierung
Informationen erhalten eine verständliche Schutzkennzeichnung, aus der angemessene Umgangsregeln abgeleitet werden.
Warum wichtig: Ohne Klassifizierung werden sensible Informationen häufig unter- oder überschützt.
Kontrollen
Kontrollen übersetzen Sicherheitsziele und Risiken in überprüfbare Maßnahmen.
Warum wichtig: Ohne klar definierte Kontrollen bleiben Sicherheitsziele unverbindliche Absichtserklärungen ohne Überprüfbarkeit.
Data Governance
Daten werden als fachliche Ressource mit klarer Verantwortung, Bedeutung und Regeln über ihren Lebenszyklus gesteuert.
Warum wichtig: Unklare Datenverantwortung führt zu inkonsistenten, unvollständigen oder falsch geschützten Datenbeständen.
Governance
Governance verbindet Ziele, Verantwortlichkeiten, Entscheidungen und Nachweise zu einem steuerbaren Sicherheitsrahmen.
Warum wichtig: Fehlende Governance lässt Sicherheitsentscheidungen ohne Nachvollziehbarkeit und ohne echte Steuerung entstehen.
Umsetzungsebenen
Sicherheitsanforderungen werden von strategischen Zielen über Regeln und Methoden bis in konkrete operative Umsetzung übersetzt.
Warum wichtig: Ohne klare Umsetzungsebenen verlieren sich strategische Ziele auf dem Weg zur operativen Praxis.
Kennzahlen
Kennzahlen verdichten relevante Signale so, dass Steuerung, Trends und Wirksamkeit sichtbar werden.
Warum wichtig: Ohne Kennzahlen bleibt unklar, ob Sicherheitsmaßnahmen tatsächlich wirken oder nur Aufwand erzeugen.
Organisationsmodell
Das Organisationsmodell ordnet Verantwortlichkeiten, Entscheidungswege und Zusammenarbeit so, dass Sicherheitsaufgaben nicht zwischen Rollen verloren gehen.
Warum wichtig: Unklare Zuständigkeiten führen dazu, dass wichtige Sicherheitsaufgaben zwischen Bereichen verloren gehen.
Ownership
Verantwortung wird dort sichtbar, wo Bedeutung, Entscheidung und Folgen verstanden werden.
Warum wichtig: Ohne erkennbaren Eigentümer bleiben Entscheidungen und Konsequenzen bei Sicherheitsproblemen unklar verteilt.
Wirksamkeit und kontinuierliche Verbesserung
Sicherheit wird als Regelkreis verstanden: planen, umsetzen, prüfen, lernen und anpassen.
Warum wichtig: Ohne festen Verbesserungszyklus verpufft Sicherheitsarbeit in Einzelaktionen statt nachhaltiger Wirkung.
Prozesse
Prozesse machen wiederkehrende Abläufe vorhersehbar, verantwortlich und verbesserbar.
Warum wichtig: Unklare Abläufe führen zu inkonsistenter Umsetzung und erschweren die Verantwortungszuordnung im Ernstfall.
Schutzbedarf
Schutzbedarf beschreibt, welche Folgen eine Beeinträchtigung für Information, Asset oder Geschäftsleistung hätte.
Warum wichtig: Ohne bekannten Schutzbedarf lassen sich Ressourcen nicht risikoorientiert priorisieren.
Schutzobjekte
Schutzobjekte machen sichtbar, worauf sich eine Sicherheitsentscheidung konkret bezieht.
Warum wichtig: Unklar abgegrenzte Schutzobjekte führen zu widersprüchlichen oder lückenhaften Sicherheitsentscheidungen.
Risiko und Entscheidung
Risiken werden dort entschieden, wo Verantwortung, Kontext und Entscheidungskompetenz für ihre Auswirkungen zusammenkommen.
Warum wichtig: Risikoentscheidungen ohne passende Kompetenz und Kontext führen zu unrealistischer Risikoakzeptanz.
Risk Management
Risikomanagement schafft einen nachvollziehbaren Weg von einer möglichen Gefährdung zu einer bewussten Entscheidung.
Warum wichtig: Unerkannte oder unbewertete Risiken führen zu Überraschungen, die sich vermeiden ließen.
Testing & Assurance
Testing & Assurance schafft belastbare Evidenz dafür, dass Kontrollen und Fähigkeiten tatsächlich funktionieren.
Warum wichtig: Unbestätigte Kontrollen können versagen, ohne dass es rechtzeitig auffällt.
Arbeitsanweisungen
Arbeitsanweisungen übersetzen Prozesse und Kontrollen in konkrete, ausführbare Tätigkeiten.
Warum wichtig: Ohne konkrete Anweisungen entstehen bei der Ausführung Interpretationsspielräume und uneinheitliche Ergebnisse.
Business Impact Analysis (BIA)
Geschäftliche Auswirkungen über die Zeit verstehen und daraus belastbare Wiederherstellungsprioritäten ableiten.
Warum wichtig: Ohne bekannte Auswirkungen über die Zeit lassen sich Wiederherstellungsprioritäten nicht sachgerecht festlegen.
Sichere Projektgestaltung
Sicherheits-, Daten- und Asset-Auswirkungen früh im Projekt erkennen, bevor aus Entscheidungen schwer veränderbare Betriebsrisiken werden.
Warum wichtig: Spät erkannte Sicherheitsanforderungen in Projekten werden nach Produktivsetzung deutlich teurer und schwerer korrigierbar.
Exit & Portability
Externe Abhängigkeiten so gestalten, dass Leistungen, Daten und Wissen kontrolliert übertragen oder beendet werden können.
Warum wichtig: Ungeplante Ausstiegsszenarien gefährden Kontinuität, Daten und Wissen bei Lieferantenwechseln.
Bedrohungsinformationen
Externe und interne Bedrohungsinformationen in konkreten Asset-, Schwachstellen- und Risikokontext übersetzen.
Warum wichtig: Bedrohungsinformationen ohne Bezug zum eigenen Kontext bleiben abstrakt und erzeugen keine Handlungsfähigkeit.
Problem Management & Root Cause Analysis
Wiederkehrende oder strukturelle Ursachen hinter Incidents erkennen und dauerhaft behandeln, ohne Problem Management mit Incident Management zu vermischen.
Warum wichtig: Ohne Ursachenanalyse wiederholen sich dieselben Incidents, statt nachhaltig behoben zu werden.
Release & Deployment
Freigegebene Änderungen kontrolliert in Nutzung bringen und dabei Betriebs-, Asset- und Nachweiskontext erhalten.
Warum wichtig: Unkontrollierte Releases gefährden Betriebssicherheit und die Nachvollziehbarkeit vorgenommener Änderungen.
Prinzip
Wirksamkeit prüfen
Vorhandene Regeln und Kontrollen zählen erst dann als wirksam, wenn ihre tatsächliche Wirkung ausreichend belegt ist.
Warum wichtig: Regeln ohne Wirksamkeitsnachweis erzeugen ein falsches Sicherheitsgefühl statt echten Schutz.
Nachvollziehbarkeit schaffen
Wesentliche Entscheidungen, Kontrollen und Ergebnisse sollen später aus belastbarer Evidenz verstanden werden können.
Warum wichtig: Ohne Nachvollziehbarkeit lassen sich Entscheidungen im Nachhinein weder rechtfertigen noch daraus lernen.
Kontinuierlich verbessern
Sicherheitssteuerung nimmt Veränderungen, Findings und Erfahrungen auf und entwickelt sich fortlaufend weiter.
Warum wichtig: Statische Sicherheitssteuerung veraltet zwangsläufig, während sich Risiken und Umgebung weiterentwickeln.
Methode vor Tool
Werkzeuge unterstützen eine Methode – sie ersetzen weder Ziel, Verantwortung noch Entscheidung.
Warum wichtig: Tools ohne zugrunde liegende Methode täuschen eine Kontrolle vor, die tatsächlich nicht besteht.
Anforderungen einordnen
Externe Anforderungen werden auf fachliche Framework-Bausteine gemappt, statt die Fachlogik von Regulation oder Normen bestimmen zu lassen.
Warum wichtig: Ohne Mapping bestimmen externe Vorgaben die interne Fachlogik statt umgekehrt, was Redundanzen erzeugt.
Verantwortung sichtbar machen
Jede wesentliche Entscheidung braucht eine erkennbare verantwortliche Rolle und ausreichende Information.
Warum wichtig: Unklare Verantwortung führt dazu, dass wichtige Entscheidungen von niemandem getroffen werden.
Risikoorientiert handeln
Aufmerksamkeit und Ressourcen folgen Bedeutung und Risiko statt pauschaler Gleichbehandlung.
Warum wichtig: Gleichbehandlung aller Themen verschwendet Ressourcen an geringe Risiken und vernachlässigt kritische.
Inhalte einmal pflegen
Eine fachliche Aussage sollte möglichst an einer maßgeblichen Stelle gepflegt und von anderen Bereichen referenziert werden.
Warum wichtig: Mehrfach gepflegte Inhalte laufen auseinander und erzeugen widersprüchliche Aussagen im Framework.
IAM-Prinzipien
Berechtigungssteuerung folgt wenigen stabilen Leitideen: eindeutige Identitäten, geringstmögliche Rechte, Trennung kritischer Funktionen und regelmäßige Überprüfung.
Warum wichtig: Ohne stabile Leitideen wachsen Berechtigungen unkontrolliert und werden selten wieder entzogen.
Governance
Governance-Dokumentstruktur
Eine klare Dokumentstruktur trennt Richtung, verbindliche Regeln, Methoden und operative Details.
Warum wichtig: Vermischte Ebenen erschweren es, verbindliche Regeln von reiner Orientierung zu unterscheiden.
Nachweise – Dokumentierte Umsetzung
Nachweise machen wesentliche Entscheidungen, Kontrollen und Ergebnisse später nachvollziehbar.
Warum wichtig: Fehlende Nachweise machen die Umsetzung im Audit oder Vorfall nicht belegbar.
Leitlinien – Grundsätze und Orientierung
Leitlinien geben Richtung und Prinzipien vor, ohne operative Details vorwegzunehmen.
Warum wichtig: Ohne Leitlinien fehlt Führungskräften und Mitarbeitenden eine verbindliche Orientierung für Entscheidungen.
Richtlinien – Verbindliche Regeln
Richtlinien übersetzen strategische Ziele in verbindliche organisatorische Regeln.
Warum wichtig: Ohne verbindliche Richtlinien bleiben strategische Ziele unverbindliche Absicht statt gelebte Praxis.
Verfahren – Beschriebene Abläufe
Verfahren beschreiben, wie wiederkehrende Sicherheits- oder Governance-Abläufe durchgeführt werden.
Warum wichtig: Ohne beschriebene Verfahren werden wiederkehrende Abläufe von Person zu Person unterschiedlich ausgeführt.
Standards – Einheitliche Mindestanforderungen
Standards konkretisieren wiederkehrende technische oder organisatorische Mindestanforderungen.
Warum wichtig: Fehlende Mindestanforderungen führen zu uneinheitlichem Sicherheitsniveau zwischen Systemen und Bereichen.
Strategie – Langfristige Ziele
Strategie beschreibt, wohin sich Sicherheitsfähigkeit und Resilienz entwickeln sollen und welche Prioritäten dafür gelten.
Warum wichtig: Ohne strategische Ausrichtung fehlt die Grundlage, um Prioritäten und Investitionen zu begründen.
DORA – Informationsregister
Das regulatorische Informationsregister strukturiert IKT-Drittparteivertragsbeziehungen; seine fachliche Grundlage bleibt ein gutes Lieferanten-, Asset- und Service-Datenmodell.
Warum wichtig: Ein lückenhaftes Informationsregister erschwert die Aufsicht über kritische IKT-Drittparteirisiken erheblich.
DORA – Kommunikation bei ICT-Vorfällen
Regulatorische Kommunikationsanforderungen ergänzen das fachliche Incident- und Krisenmanagement, ohne dessen Methodik zu ersetzen.
Warum wichtig: Unklare Kommunikationswege verzögern regulatorisch geforderte Meldungen bei schwerwiegenden ICT-Vorfällen.
DORA – Personalpolitik mit ICT-Sicherheitsbezug
DORA-spezifische Anforderungen an Personalpolitik werden auf bestehende Rollen-, IAM-, Awareness- und Lifecycle-Methoden gemappt.
Warum wichtig: Ohne Anbindung an bestehende Rollen- und IAM-Methoden bleiben DORA-Personalanforderungen isolierte Zusatzpflichten.
Rolle
Capability
Anwendungen & Geschäftsservices
Anwendungen und Services über ihren Lebenszyklus sicher, verfügbar und nachvollziehbar betreiben.
Warum wichtig: Unsicher betriebene Anwendungen gefährden Geschäftsservices direkt und häufig unbemerkt.
Transparenz, Nachweis & Verbesserung
Wirksamkeit durch Evidenz, Prüfung, Kennzahlen und kontinuierliche Verbesserung sichtbar machen.
Warum wichtig: Ohne Transparenz über die Wirksamkeit bleibt unklar, wo Verbesserung tatsächlich nötig ist.
Veränderung & Lebenszyklus
Assets von Einführung bis Außerbetriebnahme kontrolliert verändern und sicher halten.
Warum wichtig: Unkontrollierte Änderungen über den Lebenszyklus hinweg schaffen unbemerkte Sicherheitslücken.
Daten & Informationsschutz
Daten nach Bedeutung, Nutzung und Lebenszyklus angemessen schützen.
Warum wichtig: Ungeschützte Daten bleiben unabhängig von technischen Kontrollen ein bevorzugtes Angriffsziel.
Erkennen & Überwachen
Relevante Abweichungen rechtzeitig erkennen und in Entscheidungen oder Reaktion überführen.
Warum wichtig: Späte Erkennung verlängert die Verweildauer von Angreifern und vergrößert den entstehenden Schaden.
Governance & Sicherheitssteuerung
Richtung, Verantwortlichkeiten, Entscheidungen und Aufsicht zu einem wirksamen Steuerungsrahmen verbinden.
Warum wichtig: Fehlende Steuerung lässt Sicherheitsaktivitäten unkoordiniert und ohne erkennbare Wirkung nebeneinanderher laufen.
Identitäten & Vertrauensbeziehungen
Identitäten, Authentisierung, Berechtigungen und Vertrauensbeziehungen zuverlässig steuern.
Warum wichtig: Fehlerhafte Vertrauensbeziehungen zwischen Identitäten öffnen Angreifern Wege zu kritischen Ressourcen.
Kommunikation & Vernetzung
Kommunikationsbeziehungen zwischen Assets bewusst begrenzen, schützen und überwachen.
Warum wichtig: Unbegrenzte Kommunikationswege erleichtern Angreifern die Ausbreitung innerhalb der Infrastruktur.
Plattformbetrieb
Plattformen in bekanntem, gehärtetem, überwachten und wiederherstellbarem Zustand betreiben.
Warum wichtig: Unbekannte oder ungehärtete Plattformzustände lassen sich im Ernstfall nur schwer wiederherstellen.
Reagieren & Wiederherstellen
Incidents kontrolliert behandeln, Auswirkungen begrenzen und Leistungen wiederherstellen.
Warum wichtig: Langsame Reaktion und Wiederherstellung verlängern Ausfallzeiten und wirtschaftliche Schäden erheblich.
Risiko- & Resilienzmanagement
Risiken verstehen und kritische Leistungen auch unter Störung steuerbar halten.
Warum wichtig: Ohne belastbares Risiko- und Resilienzmanagement gefährden Störungen kritische Geschäftsleistungen unmittelbar.
Lieferanten- & Leistungssteuerung
Externe Leistungen so steuern, dass Risiken, Abhängigkeiten und Handlungsfähigkeit transparent bleiben.
Warum wichtig: Intransparente Abhängigkeiten von Lieferanten schränken die eigene Handlungsfähigkeit im Ernstfall ein.
Anforderung
BSI IT-Grundschutz – Einordnung
Der BSI IT-Grundschutz bietet eine methodische und bausteinorientierte Herangehensweise für Informationssicherheit.
Warum wichtig: Ohne Einordnung droht der IT-Grundschutz parallel statt integriert zum Framework gepflegt zu werden.
DORA – Einordnung im Framework
DORA stellt Anforderungen an die digitale operationale Resilienz von Finanzunternehmen. Das Framework bildet diese Anforderungen über neutrale Sicherheits- und Governance
Warum wichtig: Unabgestimmte Umsetzung von DORA-Vorgaben erzeugt Doppelarbeit neben der bestehenden Sicherheitssteuerung.
DSGVO – Einordnung
Die DSGVO schützt personenbezogene Daten und ordnet Verantwortung für deren rechtmäßige Verarbeitung.
Warum wichtig: Fehlerhafte Zuordnung von Verantwortung bei personenbezogenen Daten führt zu Bußgeldern und Vertrauensverlust.
EU AI Act – Einordnung
Der EU AI Act schafft einen risikobasierten Rechtsrahmen für KI-Systeme in der Europäischen Union.
Warum wichtig: Fehlende Einordnung des EU AI Act erschwert die risikoadäquate Steuerung von KI-Systemen.
ISO/IEC 27001 – Einordnung
ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheitsmanagementsystem und fordert dessen fortlaufende Verbesserung.
Warum wichtig: Ohne klare Einordnung droht ISO/IEC 27001 als separates statt integriertes Managementsystem behandelt zu werden.
Weitere Vorgaben
Weitere gesetzliche, vertragliche oder branchenspezifische Anforderungen werden auf bestehende Framework-Bausteine gemappt.
Warum wichtig: Unberücksichtigte Zusatzanforderungen führen zu Compliance-Lücken außerhalb der etablierten Framework-Logik.
Referenzmodelle einordnen
Referenzmodelle helfen, das eigene Framework zu vergleichen und Lücken zu erkennen, ohne seine fachliche Logik zu ersetzen.
Warum wichtig: Ohne Abgleich mit Referenzmodellen bleiben blinde Flecken im eigenen Framework leicht unentdeckt.