Drei Ebenen – vom Verstehen bis zum Nachweis
Das Framework verbindet verständliche Informationssicherheit mit regulatorischen Anforderungen und nachvollziehbaren Nachweisen. Je nach Fragestellung kann auf unterschiedlichen Ebenen eingestiegen oder gezielt in die Tiefe gegangen werden.
Ein Framework, drei Blickrichtungen
Framework
Verstehen und gestalten. Themen, Methoden, Rollen, Capabilities, Risiken und Zusammenhänge bilden die fachliche Ebene der Informationssicherheit.
Regulatory
Anforderungen verstehen und zuordnen. Regulatorische und normative Quellen werden nachvollziehbar auf Themen, Fähigkeiten, Rollen und Kontrollen des Frameworks bezogen.
Evidence
Umsetzung und Wirksamkeit nachweisen. Richtlinien, Konzepte, Verfahren, Kontrollen, Tests, Protokolle, Reports und Kennzahlen machen die tatsächliche Umsetzung nachvollziehbar.
Die Ebenen sind keine getrennten Welten
Framework: Identitäten und Zugriffe über ihren Lebenszyklus verstehen und steuern.
Regulatory: Nachvollziehen, welche Anforderungen etwa DORA an Identitätsmanagement und Zugangskontrolle stellt.
Evidence: Richtlinie, Rollenmodell, Genehmigungen, Rezertifizierungen, Protokollierung und Kontrollergebnisse als Nachweise zuordnen.
Je nach Frage auf der passenden Ebene einsteigen
Verstehen → Anforderung → Nachweis
Die drei Ebenen schaffen unterschiedliche Einstiegstiefen, ohne Informationssicherheit, Regulierung und Nachweisführung voneinander zu trennen.