Wie alles zusammenhängt
Gesetze, Aufsicht und Standards verlangen von Firmen viele Dinge. Vieles davon ist gleich. Hier siehst du einfach erklärt, wozu jede Regel da ist, was sie gemeinsam haben und wo sie sich unterscheiden.
So läuft es in der Praxis
Sechs Schritte mit einem Beispiel, das durch alle läuft: einen schweren Vorfall melden.
Schritt 1: Regeln wählen
Du klärst, welche Rahmenwerke für deine Firma gelten. Klick schlägt sie aus Größe und Tätigkeit vor.
Eine Zahlungsfirma braucht DORA, das ZAG und die DSGVO.
Schritt 2: Gemeinsames finden
Klick legt alle Regeln übereinander. Was mehrere verlangen, wird eine einzige Maßnahme.
DORA, NIS2 und DSGVO wollen alle, dass schwere Vorfälle gemeldet werden. Daraus wird eine Maßnahme: Meldeprozess mit Fristen.
Schritt 3: Einmal fragen
Die Gap-Analyse fragt einmal je Maßnahme, nicht je Regel. Deine Antwort zählt für alle.
Eine Frage: Gibt es einen Meldeprozess mit Fristen? Dein Ja zählt für DORA, NIS2 und DSGVO.
Schritt 4: Nach der strengsten Vorgabe umsetzen
Wo Regeln verschieden streng sind, nimmst du die strengste. Dann passt es für alle.
DORA will die erste Meldung nach 4 Stunden, die DSGVO nach 72 Stunden. Wer 4 Stunden schafft, erfüllt beides.
Schritt 5: Ein Nachweis für alle
Du legst jeden Nachweis einmal ab. Er zählt bei jeder Prüfung, die ihn braucht.
Das Melde-Handbuch zählt für die Prüfung der Aufsicht und für das ISO-Audit.
Schritt 6: Jede Prüfung bekommt ihren Teil
Bei einer Prüfung zeigt Klick nur, was dieses Rahmenwerk verlangt, mit seinen eigenen Nummern.
Gemeldet wird trotzdem getrennt: an die Aufsicht nach DORA und an die Datenschutzbehörde nach der DSGVO.
Compliance einfach erklärt
Compliance heißt: Du hältst die Regeln ein, die für deine Firma gelten, und kannst es zeigen.
- Rahmenwerk
- Mama, Schule und Polizei haben jeweils Regeln fürs Radfahren. Jede Regelsammlung ist ein Rahmenwerk.
- Gemeinsame Maßnahme
- Alle drei sagen „Helm auf“. Du setzt ihn einmal auf, und alle drei sind zufrieden.
- Nur bei einem
- Nur die Polizei will Licht am Rad. Das gilt nur bei diesem einen Rahmenwerk.
- Strenger gewinnt
- Mama sagt „um 18 Uhr zu Hause“, Oma sagt „um 17 Uhr“. Wer um 17 Uhr da ist, macht beide froh.
- Widerspruch
- Manchmal passen Regeln nicht zusammen, etwa „alles aufheben“ und „alles wegwerfen“. Dann muss jemand entscheiden.
- Nachweis und Prüfung
- Ein Foto vom Helm ist der Nachweis. Wenn jemand nachschaut, ist das die Prüfung.
Alles hängt zusammen
44 Rahmenwerke verlangen zusammen 194 Maßnahmen, gebündelt in neun Themen.
Als Tabelle zeigen
| Rahmenwerk | Leitung | Zugang | Technik | Bauen | Notfall | Helfer | Personendaten | Geld | Menschen |
|---|---|---|---|---|---|---|---|---|---|
| ISO 27001 | 21 | 13 | 29 | 10 | 11 | 6 | – | – | 4 |
| DORA | 13 | 3 | 15 | 5 | 11 | 7 | – | 2 | 1 |
| NIS2 / BSIG | 11 | 2 | 6 | 5 | 6 | 2 | – | – | 2 |
| MiCAR + KMAG | 11 | – | 2 | – | 2 | 3 | – | 17 | 1 |
| ZAG / PSD2 | 16 | 1 | 1 | 1 | 3 | 2 | – | 12 | – |
| ZAG-MaRisk | 22 | 1 | 6 | 1 | 5 | 4 | – | 5 | 2 |
| GwG (Geldwäschegesetz) | 2 | – | – | – | 1 | – | – | 13 | 2 |
| AMLR | 2 | – | – | – | – | 2 | 2 | 11 | 1 |
| Geldtransferverordnung (Travel Rule) | 1 | – | – | – | – | – | – | 7 | – |
| Sanktionsrecht (EU / AWG / OFAC) | 2 | – | – | – | – | – | – | 3 | 1 |
| DSGVO / BDSG | 4 | 1 | 7 | 2 | 4 | 2 | 6 | 2 | 1 |
| DAC8 (KStTG) | 2 | – | – | – | – | – | – | 1 | – |
| AWV / Zahlungsverkehrsstatistik | 1 | – | – | – | – | – | – | – | – |
| Kassenrecht (KassenSichV / GoBD) | 2 | – | 1 | – | – | – | – | 1 | – |
| KWG / Banken-MaRisk | 23 | – | – | – | 1 | 3 | – | 4 | 1 |
| Cyber Resilience Act | 5 | 2 | 10 | 14 | 4 | 2 | 1 | – | – |
| SOC 2 (Trust Services Criteria) | 16 | 7 | 17 | 3 | 10 | 2 | 5 | 2 | 4 |
| CCSS (CryptoCurrency Security Standard) | – | 3 | 5 | 2 | 1 | – | – | 7 | 1 |
| BSI-Standard 200-1 | 13 | – | – | – | – | – | – | – | 2 |
| BSI-Standard 200-2 (IT-Grundschutz-Methodik) | 13 | – | 3 | – | – | – | – | – | – |
| BSI-Standard 200-3 (Risikoanalyse) | 6 | – | – | – | – | – | – | – | – |
| BSI-Standard 200-4 (Business Continuity Management) | 7 | – | 1 | – | 7 | – | – | – | – |
| PCI DSS v4.0.1 | 6 | 10 | 26 | 9 | 5 | 5 | – | 2 | 2 |
| ISO 42001 | 15 | – | 5 | 11 | 3 | 3 | 1 | – | 1 |
| TISAX (VDA ISA 6) | 11 | 10 | 18 | 6 | 8 | 4 | 6 | – | 3 |
| EU-US Data Privacy Framework | 6 | 1 | 3 | – | – | 2 | 4 | 1 | – |
| Cyber Essentials | 1 | 4 | 10 | 2 | – | – | – | – | – |
| Korridor UK (FCA) | 2 | – | – | – | – | 1 | – | 4 | – |
| ACSC Essential Eight | – | 4 | 10 | – | 1 | – | – | – | – |
| NIST Cybersecurity Framework 2.0 | 23 | 8 | 24 | 6 | 13 | 7 | 1 | – | 4 |
| NIST SP 800-53 Rev. 5 | 17 | 12 | 31 | 10 | 10 | 5 | 1 | – | 4 |
| NIST SP 800-171 Rev. 2 | 13 | 12 | 26 | 5 | 7 | 1 | – | – | 3 |
| CMMC 2.0 | 13 | 12 | 26 | 7 | 8 | 4 | – | – | 4 |
| HIPAA Security und Breach Notification Rule | 9 | 11 | 13 | – | 10 | 2 | 5 | – | 4 |
| 23 NYCRR 500 (NYDFS Cybersecurity Regulation) | 14 | 7 | 14 | 4 | 8 | 4 | – | 1 | 1 |
| CCPA/CPRA (Kalifornien) | 6 | 1 | 4 | 3 | – | 1 | 7 | 1 | 1 |
| Datenschutzgesetze der US-Bundesstaaten | 4 | 1 | 3 | – | – | 1 | 7 | 2 | – |
| AWS Foundational Technical Review | 2 | 5 | 13 | 4 | 8 | 1 | – | – | – |
| Korridor VAE (CBUAE / VARA / ADGM / DIFC) | 1 | – | – | – | – | 1 | – | 5 | – |
| Microsoft SSPA (Data Protection Requirements) | 9 | 8 | 13 | 5 | 6 | 3 | 6 | 1 | 2 |
| Minimum Viable Secure Product (MVSP) | 5 | 5 | 7 | 12 | 5 | 2 | 1 | – | 1 |
| Korridor Bahrain (CBB) | 1 | – | – | – | 1 | 2 | – | 3 | – |
| Korridor Schweiz (FINMA / SRO) | 1 | – | – | – | – | 1 | – | 6 | – |
| Korridor Brasilien (BCB) | 1 | – | – | – | – | 1 | 1 | 5 | – |
Jedes Rahmenwerk einfach erklärt
Tipp ein Rahmenwerk an: wozu es da ist, für wen es gilt, wer es verlangt und wie man es zeigt.
ISO 27001Ein Bauplan, wie eine Firma ihre Informationen Schritt für Schritt schützt.
Wie das Schwimmabzeichen: Nach der Prüfung weiß jeder, was du kannst.
- Wozu
- Daten sollen nicht verloren gehen, gestohlen oder heimlich verändert werden.
- Für wen
- Jede Firma, die zeigen will, dass sie gut auf Daten aufpasst. Kundschaft fragt oft danach.
- Wer verlangt es
- Freiwilliger Standard mit Zertifikat. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Kein Zertifikat, und manche Kundschaft vergibt dann keinen Auftrag.
- So zeigst du es
- Ein Zertifikat von einer unabhängigen Prüfstelle, jedes Jahr nachgeprüft.
DORAEin EU-Gesetz, damit Finanzfirmen auch bei Computerproblemen weiterarbeiten.
Wie im Krankenhaus: Auch bei Stromausfall muss es weitergehen.
- Wozu
- Fällt die Technik einer Bank aus, kommen Menschen nicht an ihr Geld.
- Für wen
- Banken, Zahlungsfirmen, Versicherungen, Firmen mit digitalem Geld und viele andere Finanzfirmen in der EU.
- Wer verlangt es
- Gesetz der EU. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Die Aufsicht kann Strafen verhängen und im schlimmsten Fall die Erlaubnis entziehen.
- So zeigst du es
- Die Aufsicht prüft. Die Firma meldet schwere Vorfälle und führt eine Liste ihrer Helfer.
NIS2 / BSIGEin Gesetz, damit wichtige Firmen sich gut gegen Angriffe aus dem Internet schützen.
Wie die Regel, dass Feuerwehrautos immer fahrbereit sein müssen.
- Wozu
- Fällt eine wichtige Firma aus, leiden viele Menschen darunter, zum Beispiel ohne Strom oder Wasser.
- Für wen
- Mittlere und große Firmen in wichtigen Bereichen wie Energie, Gesundheit, Verkehr oder Digitales.
- Wer verlangt es
- Gesetz der EU, in Deutschland umgesetzt. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Bußgelder, und die Leitung haftet persönlich.
- So zeigst du es
- Anmeldung beim zuständigen Amt (BSI), Meldungen bei Vorfällen, Nachweise auf Anfrage.
MiCAR + KMAGEin EU-Gesetz für Firmen, die mit digitalem Geld wie Bitcoin arbeiten.
Wie ein Führerschein: Ohne ihn darfst du nicht fahren.
- Wozu
- Menschen sollen beim digitalen Geld genauso geschützt sein wie bei einer Bank.
- Für wen
- Firmen, die digitales Geld aufbewahren, tauschen, verschicken oder selbst herausgeben.
- Wer verlangt es
- Gesetz der EU. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Erlaubnis ist das Geschäft verboten.
- So zeigst du es
- Erlaubnis der Aufsicht und laufende Prüfung.
ZAG / PSD2Ein deutsches Gesetz für Firmen, die Zahlungen für andere abwickeln.
Wie die Erlaubnis für den Schulkiosk, der mit dem Geld der Kinder umgeht.
- Wozu
- Das Geld der Menschen soll bei Zahlungsfirmen sicher sein.
- Für wen
- Zahlungsinstitute und E-Geld-Firmen, zum Beispiel für Kartenzahlung oder Überweisungen.
- Wer verlangt es
- Gesetz in Deutschland. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Erlaubnis ist das Geschäft verboten und strafbar.
- So zeigst du es
- Erlaubnis der BaFin, jährliche Prüfung und Meldungen.
ZAG-MaRiskGenaue Regeln der Aufsicht, wie Zahlungsfirmen ihre Gefahren steuern.
Wie die genaue Anleitung, die zur Hausordnung gehört.
- Wozu
- Das Gesetz sagt, was zu tun ist. Diese Regeln sagen, wie.
- Für wen
- Zahlungsinstitute und E-Geld-Firmen in Deutschland.
- Wer verlangt es
- Vorgabe der Aufsicht. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Die Aufsicht beanstandet Mängel und kann Auflagen machen.
- So zeigst du es
- Prüfung durch Wirtschaftsprüfer und die Aufsicht.
GwG (Geldwäschegesetz)Ein deutsches Gesetz gegen schmutziges Geld von Verbrechern.
Wie ein Ladenbesitzer, der Falschgeld erkennen und melden muss.
- Wozu
- Verbrecher sollen ihr Geld nicht sauber aussehen lassen können.
- Für wen
- Banken, Zahlungsfirmen, Firmen mit digitalem Geld, aber auch Makler oder Händler.
- Wer verlangt es
- Gesetz in Deutschland. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Hohe Bußgelder, die öffentlich bekannt gemacht werden.
- So zeigst du es
- Gefahrenanalyse, Prüfung der Kundschaft, Verdachtsmeldungen und Prüfung durch die Aufsicht.
AMLRDie neue EU-Verordnung gegen schmutziges Geld, ab Juli 2027 statt großer Teile des deutschen Gesetzes.
Wie wenn alle Schulen eines Landes dieselbe Hausordnung bekommen.
- Wozu
- In der ganzen EU sollen dieselben Regeln gegen schmutziges Geld gelten.
- Für wen
- Dieselben Firmen wie beim deutschen Geldwäschegesetz.
- Wer verlangt es
- Gesetz der EU. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Hohe Bußgelder.
- So zeigst du es
- Wie beim deutschen Gesetz, nur nach EU-weit gleichen Regeln.
Geldtransferverordnung (Travel Rule)Bei jeder Überweisung, auch von digitalem Geld, reisen die Namen von Absender und Empfänger mit.
Wie ein Paket, auf dem immer Absender und Empfänger stehen.
- Wozu
- So können Verbrecher ihr Geld nicht unerkannt verschieben.
- Für wen
- Banken, Zahlungsfirmen und Firmen mit digitalem Geld.
- Wer verlangt es
- Gesetz der EU. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Bußgelder, und Überweisungen dürfen nicht ausgeführt werden.
- So zeigst du es
- Nachprüfbare Aufzeichnungen zu jeder Überweisung.
Sanktionsrecht (EU / AWG / OFAC)Regeln, mit wem Geschäfte verboten sind, zum Beispiel mit bestimmten Ländern oder Personen.
Wie die Liste mit Hausverboten beim Türsteher.
- Wozu
- Wer Kriege führt oder Terror unterstützt, soll kein Geld bekommen.
- Für wen
- Jede Firma, besonders Banken und Zahlungsfirmen.
- Wer verlangt es
- Gesetz der EU. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Strafen bis hin zu Gefängnis, und Geld wird eingefroren.
- So zeigst du es
- Prüfung aller Kundinnen, Kunden und Zahlungen gegen Listen.
DSGVO / BDSGDas Gesetz, das die Daten von Menschen schützt.
Wie das Recht, dass niemand dein Tagebuch ohne Erlaubnis liest.
- Wozu
- Jeder Mensch soll selbst bestimmen, was mit seinen Daten passiert.
- Für wen
- Jede Firma, die Daten von Menschen nutzt, also fast alle.
- Wer verlangt es
- Gesetz der EU. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Hohe Bußgelder und Schadenersatz an die Betroffenen.
- So zeigst du es
- Ein Verzeichnis der Datennutzung, Verträge mit Helfern und Meldungen bei Pannen.
DAC8 (KStTG)Firmen mit digitalem Geld melden dem Finanzamt die Geschäfte ihrer Kundschaft.
Wie die Bescheinigung, die Eltern für die Steuererklärung brauchen.
- Wozu
- Auch auf Gewinne mit digitalem Geld sollen Steuern gezahlt werden.
- Für wen
- Firmen, die für andere mit digitalem Geld handeln.
- Wer verlangt es
- Gesetz der EU, in Deutschland umgesetzt. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Bußgelder.
- So zeigst du es
- Eine jährliche Meldung an die Steuerbehörde.
AWV / ZahlungsverkehrsstatistikGrößere Zahlungen ins Ausland werden der Bundesbank gemeldet.
Wie eine Strichliste, wer wie oft ins Ausland fährt.
- Wozu
- Der Staat will wissen, wie viel Geld ins Ausland und zurück fließt.
- Für wen
- Firmen, die große Zahlungen ins Ausland schicken oder von dort bekommen.
- Wer verlangt es
- Gesetz in Deutschland. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Bußgelder.
- So zeigst du es
- Monatliche Meldungen an die Bundesbank.
Kassenrecht (KassenSichV / GoBD)Regeln für elektronische Kassen, damit niemand Einnahmen heimlich löscht.
Wie der Kassenzettel, den du beim Bäcker bekommst.
- Wozu
- Alle sollen ehrlich ihre Steuern zahlen.
- Für wen
- Läden und Firmen mit einer elektronischen Kasse.
- Wer verlangt es
- Gesetz in Deutschland. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Bußgelder, und das Finanzamt schätzt die Steuern.
- So zeigst du es
- Ein Sicherheitsmodul in der Kasse, Belege und eine Beschreibung.
KWG / Banken-MaRiskDas Gesetz für Banken in Deutschland.
Wie die strengen Regeln für die Bank, bei der dein Sparbuch liegt.
- Wozu
- Das Geld der Sparerinnen und Sparer soll sicher sein.
- Für wen
- Banken und andere Kreditinstitute.
- Wer verlangt es
- Gesetz in Deutschland. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Erlaubnis ist das Bankgeschäft verboten und strafbar.
- So zeigst du es
- Erlaubnis, laufende Aufsicht, Prüfungen und viele Meldungen.
Cyber Resilience ActEin EU-Gesetz, damit Produkte mit Software sicher verkauft werden.
Wie das Prüfsiegel auf Spielzeug.
- Wozu
- Unsichere Geräte und Apps sind ein Einfallstor für Angreifer.
- Für wen
- Hersteller, Einführer und Händler von Software und Geräten mit Software.
- Wer verlangt es
- Gesetz der EU. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Das Produkt darf nicht verkauft werden, dazu kommen Bußgelder.
- So zeigst du es
- Das CE-Zeichen, eine technische Beschreibung und Meldungen bei Lücken.
SOC 2 (Trust Services Criteria)Ein Prüfbericht aus den USA: Die Firma passt gut auf die Daten ihrer Kundschaft auf.
Wie ein Zeugnis über ein ganzes Schuljahr, nicht nur über eine Prüfung.
- Wozu
- Kundschaft will sicher sein, bevor sie einer Firma ihre Daten gibt.
- Für wen
- Vor allem Software-Firmen mit Kundschaft in den USA.
- Wer verlangt es
- Verlangen Kundinnen und Kunden. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Kein Bericht, und viele Kundinnen und Kunden kaufen dann nicht.
- So zeigst du es
- Der Bericht einer Prüfgesellschaft über einen ganzen Zeitraum.
CCSS (CryptoCurrency Security Standard)Ein Standard, wie man digitales Geld und seine Schlüssel sicher aufbewahrt.
Wie die Regeln für den Tresor einer Bank.
- Wozu
- Wer den Schlüssel verliert oder verrät, verliert das Geld.
- Für wen
- Firmen, die digitales Geld für andere aufbewahren.
- Wer verlangt es
- Regeln einer Branche. Gilt, wenn du in dieser Branche arbeitest.
- Ohne
- Kein Nachweis gegenüber Kundschaft und Aufsicht.
- So zeigst du es
- Eine Prüfung durch zugelassene Prüferinnen und Prüfer.
BSI-Standard 200-1Der deutsche Grundplan, wie eine Firma ihre Informationssicherheit organisiert.
Wie ISO 27001, nur nach deutscher Bauart.
- Wozu
- Sicherheit soll geplant sein und nicht vom Zufall abhängen.
- Für wen
- Behörden und Firmen in Deutschland, oft verlangt bei öffentlichen Aufträgen.
- Wer verlangt es
- Freiwilliger Standard mit Zertifikat. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Kein Zertifikat nach deutschem Grundschutz.
- So zeigst du es
- Ein Zertifikat auf Grundlage des IT-Grundschutzes.
BSI-Standard 200-2 (IT-Grundschutz-Methodik)Die Anleitung, wie man beim deutschen Grundschutz Schritt für Schritt vorgeht.
Wie ein Baukasten mit fertigen Teilen und einer Anleitung.
- Wozu
- Mit fertigen Bausteinen geht es schneller, als alles selbst zu erfinden.
- Für wen
- Behörden und Firmen in Deutschland, die nach Grundschutz arbeiten.
- Wer verlangt es
- Freiwilliger Standard mit Zertifikat. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Kein Zertifikat nach deutschem Grundschutz.
- So zeigst du es
- Ein Grundschutz-Check und ein Sicherheitskonzept.
BSI-Standard 200-3 (Risikoanalyse)Eine einfache Methode, Gefahren zu finden und zu bewerten.
Wie eine Liste möglicher Gefahren vor dem Ausflug.
- Wozu
- So denkt man auch an Gefahren, die nicht im Baukasten stehen.
- Für wen
- Alle, die nach deutschem Grundschutz arbeiten.
- Wer verlangt es
- Freiwilliger Standard mit Zertifikat. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Gefahren bleiben unbemerkt, und das Zertifikat fehlt.
- So zeigst du es
- Eine Liste der Gefahren und ihre Bewertung.
BSI-Standard 200-4 (Business Continuity Management)Die Anleitung, wie eine Firma Notfälle übersteht.
Wie der Plan für den Probealarm in der Schule.
- Wozu
- Wichtige Arbeit soll auch im Notfall weitergehen.
- Für wen
- Alle Firmen und Behörden, die sich auf Notfälle vorbereiten.
- Wer verlangt es
- Freiwilliger Standard mit Zertifikat. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Im Notfall fehlt ein Plan, und es dauert viel länger.
- So zeigst du es
- Ein Notfallhandbuch und Protokolle von Übungen.
PCI DSS v4.0.1Regeln der Kreditkartenfirmen, wie Kartendaten geschützt werden.
Wie die Regeln eines Vereins: Wer mitmachen will, hält sich daran.
- Wozu
- Kartennummern sollen nicht in die Hände von Dieben fallen.
- Für wen
- Jede Firma, die Kreditkartenzahlungen annimmt oder für andere abwickelt.
- Wer verlangt es
- Regeln einer Branche. Gilt, wenn du in dieser Branche arbeitest.
- Ohne
- Strafgebühren, und im schlimmsten Fall keine Kartenzahlung mehr.
- So zeigst du es
- Je nach Größe ein Fragebogen zur Selbstauskunft oder eine Prüfung durch zugelassene Prüfer.
ISO 42001Ein Bauplan, wie eine Firma KI verantwortungsvoll baut und nutzt.
Wie ein Führerschein für Roboter: Erst lernen und prüfen, dann fahren lassen.
- Wozu
- KI soll niemandem schaden, keine Menschen benachteiligen und nachvollziehbar bleiben.
- Für wen
- Firmen, die KI entwickeln, anbieten oder im Alltag einsetzen.
- Wer verlangt es
- Freiwilliger Standard mit Zertifikat. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Kein Zertifikat, und Kundschaft fragt nach, wie ihr mit KI umgeht.
- So zeigst du es
- Ein Zertifikat von einer unabhängigen Prüfstelle, jedes Jahr nachgeprüft.
TISAX (VDA ISA 6)Die Sicherheitsprüfung der Autoindustrie für Firmen, die mit Herstellern arbeiten.
Wie ein Werksausweis: Nur wer ihn hat, darf in die Halle mit den neuen Modellen.
- Wozu
- Pläne und Prototypen neuer Autos sollen nicht in falsche Hände geraten.
- Für wen
- Zulieferer und Dienstleister von Autoherstellern.
- Wer verlangt es
- Regeln einer Branche. Gilt, wenn du in dieser Branche arbeitest.
- Ohne
- Ohne Prüfergebnis bekommt ihr oft keinen Auftrag von Autoherstellern.
- So zeigst du es
- Eine Prüfung durch eine zugelassene Stelle, das Ergebnis steht im Portal der Branche.
EU-US Data Privacy FrameworkRegeln, damit Daten von Menschen aus Europa in den USA sicher sind.
Wie ein Gastland, das verspricht, auf deine Sachen aufzupassen wie zu Hause.
- Wozu
- Daten aus Europa sollen in den USA genauso gut geschützt sein wie hier.
- Für wen
- US-Firmen, die Daten aus Europa bekommen, und Firmen in Europa, die US-Dienste nutzen.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Teilnahme braucht es eigene Verträge, sonst ist die Übermittlung verboten.
- So zeigst du es
- Eintrag auf der offiziellen Liste in den USA, jedes Jahr erneuert.
Cyber EssentialsEin britisches Zertifikat für fünf einfache Schutzmaßnahmen gegen Angriffe aus dem Internet.
Wie Tür abschließen, Fenster zu und Licht an: einfach, aber es hält die meisten ab.
- Wozu
- Die meisten Angriffe nutzen einfache Lücken, die sich leicht schließen lassen.
- Für wen
- Firmen, die für die britische Regierung arbeiten oder Kundschaft in Großbritannien haben.
- Wer verlangt es
- Freiwilliger Standard mit Zertifikat. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Ohne Zertifikat keine Aufträge der britischen Regierung.
- So zeigst du es
- Ein Fragebogen mit Prüfung, bei der Stufe Plus zusätzlich ein technischer Test.
Korridor UK (FCA)Die Regeln in Großbritannien für Firmen, die mit digitalem Geld oder Zahlungen arbeiten.
Wie im Urlaub: Dort gelten andere Verkehrsregeln als zu Hause.
- Wozu
- Wer Kundschaft in Großbritannien hat, muss sich an die Regeln dort halten.
- Für wen
- Firmen, die Kundschaft in Großbritannien bedienen wollen.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Erlaubnis oder Partner mit Erlaubnis kein Geschäft dort.
- So zeigst du es
- Erlaubnis oder Eintragung bei der Aufsicht dort, oder ein Partner, der sie hat.
ACSC Essential EightAcht Schutzmaßnahmen aus Australien gegen die häufigsten Angriffe, in drei Stufen.
Wie acht Schlösser am Fahrrad: Je mehr gut sitzen, desto schwerer der Diebstahl.
- Wozu
- Mit wenigen gut gemachten Maßnahmen lassen sich die meisten Angriffe stoppen.
- Für wen
- Behörden in Australien und Firmen, deren Kundschaft das verlangt.
- Wer verlangt es
- Vorgabe der Aufsicht. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne die Stufe, die die Kundschaft verlangt, gibt es dort oft keinen Auftrag.
- So zeigst du es
- Eine Bewertung, welche Stufe jede der acht Maßnahmen erreicht.
NIST Cybersecurity Framework 2.0Ein Bauplan aus den USA, wie eine Firma sich vor Angriffen aus dem Internet schützt.
Wie bei Feuer im Haus: wissen, was brennen kann, vorbeugen, Rauch bemerken, löschen und danach aufräumen.
- Wozu
- Eine Firma soll wissen, was sie schützen muss, und Angriffe früh bemerken. Nach einem Angriff soll sie schnell wieder arbeiten können.
- Für wen
- Firmen jeder Größe, besonders mit Kundschaft oder Partnern in den USA.
- Wer verlangt es
- Freiwilliger Leitfaden ohne Zertifikat. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Es gibt keine Strafe, denn der Rahmen ist freiwillig. Aber Kundschaft aus den USA fragt oft, wie weit ihr damit seid.
- So zeigst du es
- Es gibt kein Zertifikat. Man schätzt sich selbst ein und zeigt Kundschaft, wie weit man in jedem Bereich ist.
NIST SP 800-53 Rev. 5Eine sehr genaue Liste von Schutzmaßnahmen für die Computersysteme der US-Regierung.
Wie ein Tresor in drei Größen: Je wertvoller der Inhalt, desto mehr Schlösser hat er.
- Wozu
- Daten und Systeme der US-Behörden sollen vor Angriffen, Fehlern und Ausfällen geschützt sein.
- Für wen
- US-Behörden und Firmen, die für sie arbeiten oder ihnen Cloud-Dienste anbieten.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Freigabe darf eine US-Behörde ein System nicht nutzen. Cloud-Anbieter brauchen dafür die Prüfung nach FedRAMP.
- So zeigst du es
- Ein Schutzplan je System, eine unabhängige Prüfung und die Freigabe durch die Behörde.
NIST SP 800-171 Rev. 2Eine US-Liste mit 110 Regeln, wie Firmen vertrauliche Daten aus Regierungsaufträgen schützen.
Wie ein Schlüssel zum Haus der Nachbarn: Wer ihn bekommt, muss gut darauf aufpassen.
- Wozu
- Angreifer suchen Baupläne und Daten des Militärs oft bei kleinen Zulieferern. Dort ist der Schutz meist schwächer.
- Für wen
- Firmen, die für das US-Verteidigungsministerium arbeiten oder Teile dafür liefern, auch in Europa. Das Ministerium schreibt die Regeln in seine Verträge.
- Wer verlangt es
- Verlangen Kundinnen und Kunden. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Ohne diese Regeln bekommt die Firma keine Aufträge mit solchen Daten. Falsche Angaben können teure Klagen bringen.
- So zeigst du es
- Eine Selbstbewertung mit Punktzahl, die in einer Datenbank des US-Militärs steht, dazu ein Sicherheitsplan.
CMMC 2.0Ein Prüfsystem des US-Militärs, das in drei Stufen zeigt, wie gut Zulieferer Daten schützen.
Wie beim Schwimmabzeichen: Je höher die Stufe, desto mehr musst du zeigen, und jemand schaut genau zu.
- Wozu
- Früher reichte das Wort der Firma, dass sie ihre Daten schützt. Jetzt prüft oft jemand von außen, ob der Schutz wirklich da ist.
- Für wen
- Alle Firmen, die für das US-Verteidigungsministerium arbeiten, auch kleine Zulieferer in Europa.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne die verlangte Stufe darf die Firma bei vielen Aufträgen des US-Militärs nicht mitmachen.
- So zeigst du es
- Stufe 1 mit Selbstbewertung jedes Jahr, Stufe 2 oft mit Prüfung von außen, Stufe 3 durch das Militär selbst. Eine Prüfung von außen gilt drei Jahre.
HIPAA Security und Breach Notification RuleEin US-Gesetz, das die Gesundheitsdaten von Patientinnen und Patienten schützt.
Wie die Schweigepflicht beim Arzt: Was im Sprechzimmer gesagt wird, bleibt dort.
- Wozu
- Gesundheitsdaten sind sehr privat. Niemand Fremdes soll sehen, welche Krankheit jemand hat.
- Für wen
- Arztpraxen, Kliniken, Krankenversicherungen und Abrechnungsstellen in den USA. Dazu Firmen, die für sie mit Gesundheitsdaten arbeiten, etwa Anbieter von Software.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Die US-Gesundheitsbehörde kann hohe Geldbußen verhängen. In schweren Fällen drohen auch Strafverfahren.
- So zeigst du es
- Es gibt kein Zertifikat. Die Firma zeigt bei einer Prüfung ihre Risikoanalyse, ihre Regeln und ihre Verträge.
23 NYCRR 500 (NYDFS Cybersecurity Regulation)Regeln der Finanzaufsicht in New York, damit Finanzfirmen sich gegen Hacker schützen.
Wie ein Tresor in der Bank: Jedes Jahr prüft jemand Schloss, Alarm und die Liste der Schlüssel.
- Wozu
- Banken und Versicherungen haben viel Geld und viele Daten. Ein Angriff kann vielen Menschen schaden.
- Für wen
- Banken, Versicherungen und andere Finanzfirmen mit einer Erlaubnis der Finanzaufsicht in New York. Große Firmen haben zusätzliche Pflichten.
- Wer verlangt es
- Vorgabe der Aufsicht. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Die Aufsicht kann hohe Geldbußen verhängen. Sie prüft auch, ob die jährliche Bestätigung stimmt.
- So zeigst du es
- Jedes Jahr bis zum 15. April bestätigt die Leitung der Aufsicht, dass die Regeln eingehalten wurden.
CCPA/CPRA (Kalifornien)Ein Gesetz aus Kalifornien: Menschen erfahren, was Firmen über sie wissen, und können widersprechen.
Wie ein Schild im Laden, auf dem steht, was über dich notiert wird und wie du Nein sagst.
- Wozu
- Firmen sammeln viele Daten über Menschen und verkaufen sie oft weiter. Die Menschen sollen wissen, was passiert, und Nein sagen können.
- Für wen
- Größere Firmen, die Daten von Menschen in Kalifornien nutzen, auch wenn sie in Europa sitzen.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Dann drohen Strafen der Aufsicht in Kalifornien. Nach einem Datenleck können Betroffene auch selbst vor Gericht gehen.
- So zeigst du es
- Eine klare Datenschutzerklärung, ein Link zum Widersprechen und Aufzeichnungen über alle Anfragen der letzten zwei Jahre.
Datenschutzgesetze der US-BundesstaatenGesetze vieler US-Bundesstaaten, die Menschen Rechte an ihren Daten geben.
Wie Hausregeln, die in jedem Haus etwas anders sind, aber fast immer dasselbe wollen.
- Wozu
- In den USA gibt es kein Datenschutzgesetz für das ganze Land. Darum regeln immer mehr Staaten das selbst.
- Für wen
- Firmen mit vielen Kundinnen und Kunden in diesen Staaten, auch wenn sie in Europa sitzen.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Dann kann die Generalstaatsanwaltschaft des Staats hohe Strafen verlangen. Jeder Verstoß kann dabei einzeln zählen.
- So zeigst du es
- Eine Datenschutzerklärung, ein Weg zum Widersprechen, Verträge mit Helfern und schriftliche Prüfungen riskanter Nutzungen.
AWS Foundational Technical ReviewEine technische Prüfung von AWS für Partner, die ihre Software bei AWS betreiben.
Wie ein Kaufhaus, das einen Händler erst hineinlässt, wenn sein Stand sicher aufgebaut ist.
- Wozu
- AWS will sicher sein, dass Lösungen von Partnern die Konten und Daten der Kundschaft gut schützen.
- Für wen
- Partner von AWS, die ihre Software auf AWS anbieten, zum Beispiel als Dienst im Internet.
- Wer verlangt es
- Verlangen Kundinnen und Kunden. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Ohne bestandene Prüfung bleiben viele Partnerprogramme von AWS verschlossen, etwa der gemeinsame Verkauf.
- So zeigst du es
- Ein ausgefüllter Fragebogen mit Belegen, den eine Fachperson von AWS durchsieht und freigibt.
Korridor VAE (CBUAE / VARA / ADGM / DIFC)Die Regeln in den Vereinigten Arabischen Emiraten für Firmen, die mit digitalem Geld oder Zahlungen arbeiten.
Wie im Urlaub: Dort gelten andere Verkehrsregeln als zu Hause.
- Wozu
- Wer Kundschaft in den Emiraten hat, muss sich an die Regeln dort halten.
- Für wen
- Firmen, die Kundschaft in den Emiraten bedienen wollen.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Erlaubnis oder Partner mit Erlaubnis kein Geschäft dort.
- So zeigst du es
- Erlaubnis oder Eintragung bei der Aufsicht dort, oder ein Partner, der sie hat.
Microsoft SSPA (Data Protection Requirements)Regeln von Microsoft für Lieferanten, die mit Daten von Microsoft arbeiten.
Wie ein Nachbar, der deinen Schlüssel bekommt und versprechen muss, gut darauf aufzupassen.
- Wozu
- Microsoft will, dass Daten von Kundschaft und Beschäftigten auch bei Lieferanten sicher sind.
- Für wen
- Firmen, die für Microsoft arbeiten und dabei Daten über Menschen oder geheime Unterlagen bekommen.
- Wer verlangt es
- Verlangen Kundinnen und Kunden. Freiwillig, aber oft von Kundschaft verlangt.
- Ohne
- Ohne bestandene Prüfung bekommt die Firma von Microsoft keine neuen Aufträge.
- So zeigst du es
- Jedes Jahr eine Selbstprüfung im Portal von Microsoft, manchmal dazu eine Prüfung von außen.
Minimum Viable Secure Product (MVSP)Eine offene Liste von Mindestregeln für sichere Software, die Firmen bei Lieferanten abfragen.
Wie eine Checkliste vor dem Flug: Erst wenn jeder Punkt stimmt, darf das Flugzeug starten.
- Wozu
- Große Firmen wollen schnell sehen, ob eine Software das Nötigste für die Sicherheit mitbringt.
- Für wen
- Firmen, die Software für andere Firmen anbieten, vor allem als Dienst im Internet.
- Wer verlangt es
- Regeln einer Branche. Gilt, wenn du in dieser Branche arbeitest.
- Ohne
- Ohne diese Grundlagen lehnen viele große Firmen eine Software beim Einkauf ab.
- So zeigst du es
- Eine ausgefüllte Selbstprüfung zur Liste, dazu Belege wie der Bericht über einen Test von außen.
Korridor Bahrain (CBB)Die Regeln in Bahrain für Firmen, die mit digitalem Geld oder Zahlungen arbeiten.
Wie im Urlaub: Dort gelten andere Verkehrsregeln als zu Hause.
- Wozu
- Wer Kundschaft in Bahrain hat, muss sich an die Regeln dort halten.
- Für wen
- Firmen, die Kundschaft in Bahrain bedienen wollen.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Erlaubnis oder Partner mit Erlaubnis kein Geschäft dort.
- So zeigst du es
- Erlaubnis oder Eintragung bei der Aufsicht dort, oder ein Partner, der sie hat.
Korridor Schweiz (FINMA / SRO)Die Regeln in der Schweiz für Firmen, die mit digitalem Geld oder Zahlungen arbeiten.
Wie im Urlaub: Dort gelten andere Verkehrsregeln als zu Hause.
- Wozu
- Wer Kundschaft in der Schweiz hat, muss sich an die Regeln dort halten.
- Für wen
- Firmen, die Kundschaft in der Schweiz bedienen wollen.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Erlaubnis oder Partner mit Erlaubnis kein Geschäft dort.
- So zeigst du es
- Erlaubnis oder Eintragung bei der Aufsicht dort, oder ein Partner, der sie hat.
Korridor Brasilien (BCB)Die Regeln in Brasilien für Firmen, die mit digitalem Geld oder Zahlungen arbeiten.
Wie im Urlaub: Dort gelten andere Verkehrsregeln als zu Hause.
- Wozu
- Wer Kundschaft in Brasilien hat, muss sich an die Regeln dort halten.
- Für wen
- Firmen, die Kundschaft in Brasilien bedienen wollen.
- Wer verlangt es
- Gesetz in einem anderen Land. Gilt, sobald deine Firma darunter fällt.
- Ohne
- Ohne Erlaubnis oder Partner mit Erlaubnis kein Geschäft dort.
- So zeigst du es
- Erlaubnis oder Eintragung bei der Aufsicht dort, oder ein Partner, der sie hat.
Die Maßnahmen nach Themen
Jede Maßnahme steht einmal da, auch wenn mehrere Rahmenwerke sie verlangen. Oben stehen die, die am meisten Rahmenwerke teilen.
Wer entscheidet und passt auf?44 Maßnahmen, 41 davon geteiltDie Leitung legt Regeln fest, kennt die Gefahren und prüft, ob alles klappt.
- Rollen, Verantwortlichkeiten und Pflichtfunktionen23 RahmenwerkeFür jede wichtige Aufgabe ist klar, wer sie macht. Das steht schriftlich fest.ISO 27001, DORA, MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, GwG (Geldwäschegesetz), AMLR, DSGVO / BDSG, KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), BSI-Standard 200-4 (Business Continuity Management), PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), Microsoft SSPA (Data Protection Requirements)
- Rechtskataster und regulatorisches Monitoring22 RahmenwerkeDie Firma führt eine Liste aller Gesetze, die für sie gelten. Neue Gesetze bemerkt sie rechtzeitig.ISO 27001, MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, GwG (Geldwäschegesetz), Sanktionsrecht (EU / AWG / OFAC), DSGVO / BDSG, Kassenrecht (KassenSichV / GoBD), KWG / Banken-MaRisk, ISO 42001, TISAX (VDA ISA 6), EU-US Data Privacy Framework, Korridor UK (FCA), NIST Cybersecurity Framework 2.0, CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Korridor VAE (CBUAE / VARA / ADGM / DIFC), Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP), Korridor Bahrain (CBB), Korridor Schweiz (FINMA / SRO), Korridor Brasilien (BCB)
- Informationssicherheitsleitlinie und Themenrichtlinien21 RahmenwerkeDie Firma schreibt auf, wie sie ihre Daten und Computer schützt. Alle können die Regeln nachlesen.ISO 27001, DORA, NIS2 / BSIG, MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), EU-US Data Privacy Framework, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements)
- Internes Auditprogramm21 RahmenwerkeEigene Leute prüfen regelmäßig, ob die Regeln wirklich eingehalten werden.ISO 27001, DORA, NIS2 / BSIG, ZAG / PSD2, ZAG-MaRisk, AMLR, KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), BSI-Standard 200-4 (Business Continuity Management), ISO 42001, TISAX (VDA ISA 6), EU-US Data Privacy Framework, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), CCPA/CPRA (Kalifornien)
- Risikobeurteilung und Risikoregister20 RahmenwerkeDie Firma schreibt alle Gefahren auf und schätzt: Wie wahrscheinlich? Wie schlimm?ISO 27001, NIS2 / BSIG, MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, DSGVO / BDSG, KWG / Banken-MaRisk, Cyber Resilience Act, SOC 2 (Trust Services Criteria), BSI-Standard 200-2 (IT-Grundschutz-Methodik), BSI-Standard 200-3 (Risikoanalyse), BSI-Standard 200-4 (Business Continuity Management), ISO 42001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Unabhängige Überprüfung und Compliance-Checks17 RahmenwerkeJemand, der nicht selbst mitarbeitet, schaut ab und zu genau hin.ISO 27001, ZAG-MaRisk, KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, PCI DSS v4.0.1, TISAX (VDA ISA 6), EU-US Data Privacy Framework, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), CCPA/CPRA (Kalifornien), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Verpflichtung und Steuerung durch die Leitung15 RahmenwerkeDie Chefinnen und Chefs kümmern sich selbst um die Sicherheit. Sie entscheiden und geben Geld dafür.ISO 27001, DORA, NIS2 / BSIG, MiCAR + KMAG, ZAG-MaRisk, KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), BSI-Standard 200-4 (Business Continuity Management), PCI DSS v4.0.1, ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Risikomanagement-Methodik und Akzeptanzkriterien15 RahmenwerkeDie Firma legt fest, wie sie Gefahren bewertet und welche sie hinnimmt.ISO 27001, DORA, NIS2 / BSIG, ZAG / PSD2, ZAG-MaRisk, KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-3 (Risikoanalyse), ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Kontext, interessierte Parteien und Geltungsbereich14 RahmenwerkeDie Firma klärt, wer etwas von ihr erwartet und für welche Teile die Regeln gelten.ISO 27001, DORA, NIS2 / BSIG, MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, Cyber Resilience Act, BSI-Standard 200-2 (IT-Grundschutz-Methodik), ISO 42001, TISAX (VDA ISA 6), Cyber Essentials, NIST Cybersecurity Framework 2.0, CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten
- Dokumentenlenkung14 RahmenwerkeWichtige Texte haben eine Nummer, eine Fassung und eine Freigabe. Alle nutzen die gültige Fassung.ISO 27001, ZAG-MaRisk, Kassenrecht (KassenSichV / GoBD), Cyber Resilience Act, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten
- Ziele, Kennzahlen und Managementbewertung13 RahmenwerkeDie Firma setzt sich Ziele und misst, ob sie sie erreicht. Die Leitung schaut regelmäßig auf die Zahlen.ISO 27001, NIS2 / BSIG, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), BSI-Standard 200-4 (Business Continuity Management), ISO 42001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Risikobehandlungsplan und Erklärung zur Anwendbarkeit12 RahmenwerkeFür jede Gefahr steht fest, was dagegen getan wird. Eine Liste zeigt, welche Schutzregeln gelten.ISO 27001, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), BSI-Standard 200-3 (Risikoanalyse), ISO 42001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule
- Kommunikationsmatrix und Behördenkontakte11 RahmenwerkeEs steht fest, wer wem was sagt. Und wer im Notfall die Behörden anruft.ISO 27001, KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), BSI-Standard 200-4 (Business Continuity Management), ISO 42001, EU-US Data Privacy Framework, NIST Cybersecurity Framework 2.0, AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements)
- Aufgabentrennung11 RahmenwerkeWichtige Dinge macht nicht eine Person allein. Eine Person macht es, eine andere prüft.ISO 27001, ZAG / PSD2, ZAG-MaRisk, Sanktionsrecht (EU / AWG / OFAC), KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0
- Abweichungen und kontinuierliche Verbesserung9 RahmenwerkeWenn etwas nicht klappt, wird der Grund gesucht und behoben. Danach wird geprüft, ob es geholfen hat.ISO 27001, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-4 (Business Continuity Management), ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-171 Rev. 2, CMMC 2.0, Microsoft SSPA (Data Protection Requirements)
- Sicherheit in Projekten und geplante ISMS-Änderungen8 RahmenwerkeBei neuen Projekten wird von Anfang an an Sicherheit gedacht.ISO 27001, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), ISO 42001, TISAX (VDA ISA 6), NIST SP 800-171 Rev. 2, CMMC 2.0
- Ressourcen und Budget für Informationssicherheit8 RahmenwerkeFür Sicherheit gibt es genug Zeit, Leute und Geld.ISO 27001, ZAG-MaRisk, KWG / Banken-MaRisk, BSI-Standard 200-1, ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Bedrohungsintelligenz8 RahmenwerkeDie Firma sammelt Wissen über neue Angriffe und Tricks von Betrügern.ISO 27001, DORA, BSI-Standard 200-3 (Risikoanalyse), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Datenschutz-Management7 RahmenwerkeDie Firma hat feste Abläufe, um die Daten von Menschen zu schützen.ISO 27001, DSGVO / BDSG, DAC8 (KStTG), TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Zertifizierungen und Testate6 RahmenwerkePrüfer von außen bestätigen schriftlich, dass die Firma die Regeln einhält.ISO 27001, NIS2 / BSIG, SOC 2 (Trust Services Criteria), EU-US Data Privacy Framework, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Schulung des Leitungsorgans6 RahmenwerkeAuch die Chefinnen und Chefs lernen regelmäßig, welche Gefahren es für Computer und Daten gibt.DORA, NIS2 / BSIG, KWG / Banken-MaRisk, NIST Cybersecurity Framework 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Kontakt zu Interessengruppen und Informationsaustausch6 RahmenwerkeDie Firma tauscht sich mit anderen über neue Gefahren aus.ISO 27001, DORA, NIS2 / BSIG, SOC 2 (Trust Services Criteria), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5
- Mapping aufsichtlicher Konkretisierungen auf Richtlinien6 RahmenwerkeDie Firma prüft, ob ihre Regeln zu den genauen Vorgaben der Aufsicht passen.DORA, MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, Geldtransferverordnung (Travel Rule), KWG / Banken-MaRisk
- Jährliche Überprüfung des IKT-Risikorahmens5 RahmenwerkeEinmal im Jahr wird geprüft, ob die Art, Gefahren zu bewerten, noch passt.DORA, ZAG-MaRisk, BSI-Standard 200-3 (Risikoanalyse), NIST Cybersecurity Framework 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Systemsicherheitsplan je System (SSP)5 RahmenwerkeFür jedes Computersystem gibt es einen Plan. Er zeigt, was dazugehört und wie es geschützt ist.NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, Minimum Viable Secure Product (MVSP)
- Aktionsplan für offene Punkte (POA&M)5 RahmenwerkeWas noch fehlt, steht auf einer Liste. Dazu, wer es macht und bis wann.NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, Microsoft SSPA (Data Protection Requirements)
- Anfangskapital und laufende Eigenmittel4 RahmenwerkeDie Firma muss immer genug eigenes Geld als Polster haben.MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, KWG / Banken-MaRisk
- Anzeige- und Meldepflichten an die Aufsicht4 RahmenwerkeWichtige Änderungen meldet die Firma der Aufsicht, zum Beispiel eine neue Chefin.MiCAR + KMAG, ZAG / PSD2, KWG / Banken-MaRisk, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Zulassungsantrag und Antragsdossier4 RahmenwerkeBevor die Firma loslegen darf, stellt sie einen Antrag mit allen Unterlagen.MiCAR + KMAG, ZAG / PSD2, KWG / Banken-MaRisk, Korridor UK (FCA)
- Modellierung und IT-Grundschutz-Check3 RahmenwerkeDie Firma wählt aus einem großen Katalog passende Schutzbausteine und hakt ab, was schon erledigt ist.BSI-Standard 200-1, BSI-Standard 200-2 (IT-Grundschutz-Methodik), BSI-Standard 200-3 (Risikoanalyse)
- Unabhängige IKT-Risikokontrollfunktion3 RahmenwerkeEine eigene Stelle passt auf die Gefahren der Technik auf. Sie gehört nicht zur Technik-Abteilung selbst.DORA, ZAG-MaRisk, KWG / Banken-MaRisk
- Fit & Proper der Leitung und Inhaberkontrolle3 RahmenwerkeWer die Firma leitet oder ihr gehört, muss zuverlässig sein und sich auskennen. Das prüft die Aufsicht.MiCAR + KMAG, ZAG / PSD2, KWG / Banken-MaRisk
- Geschäfts- und Risikostrategie3 RahmenwerkeDie Leitung schreibt auf, was die Firma vorhat und wie viel Risiko sie eingehen will.ZAG-MaRisk, KWG / Banken-MaRisk, NIST Cybersecurity Framework 2.0
- Jahresbericht operationelle und Sicherheitsrisiken, Risikoberichterstattung3 RahmenwerkeDie Firma berichtet der Aufsicht regelmäßig über ihre Gefahren.ZAG / PSD2, ZAG-MaRisk, KWG / Banken-MaRisk
- Operationelle Risiken und Schadensfalldatenbank3 RahmenwerkeJeder Schaden im Betrieb wird aufgeschrieben, mit Ursache und Kosten.ZAG / PSD2, ZAG-MaRisk, KWG / Banken-MaRisk
- Schutzbedarfsfeststellung2 RahmenwerkeFür jedes Teil wird geschätzt: Wie schlimm wäre es, wenn es ausfällt oder Daten nach außen gelangen?BSI-Standard 200-2 (IT-Grundschutz-Methodik), NIST SP 800-53 Rev. 5
- Strategie für digitale operationale Resilienz2 RahmenwerkeDie Firma plant, wie ihre Technik auch bei Störungen weiterläuft.DORA, ZAG-MaRisk
- Betroffenheitsprüfung und Registrierung (NIS2/BSIG)2 RahmenwerkeDie Firma prüft, ob das Gesetz für Cybersicherheit für sie gilt. Wenn ja, meldet sie sich beim zuständigen Amt an.NIS2 / BSIG, Cyber Resilience Act
- Neue-Produkte-Prozess (NPP) und Anpassungsprozesse2 RahmenwerkeBevor die Firma etwas Neues anbietet, prüfen mehrere Leute die Gefahren.ZAG-MaRisk, KWG / Banken-MaRisk
- Risikotragfähigkeit und Finanzrisiken (Adressen-, Marktpreis-, Liquiditätsrisiko)2 RahmenwerkeDie Firma rechnet aus, wie viel Verlust sie aushalten kann, ohne pleitezugehen.ZAG-MaRisk, KWG / Banken-MaRisk
- Außenwirtschafts- und Zahlungsverkehrsmeldungen2 RahmenwerkeGrößere Zahlungen ins Ausland meldet die Firma der Bundesbank.ZAG / PSD2, AWV / Zahlungsverkehrsstatistik
- Gezielte Risikoanalysen1 RahmenwerkFür manche Regeln entscheidet die Firma nach einer kurzen Gefahrenprüfung, wie oft sie etwas kontrolliert.PCI DSS v4.0.1
- Konformitätsbewertung, EU-Konformitätserklärung und CE1 RahmenwerkBevor ein Produkt verkauft wird, wird bestätigt, dass es die Regeln erfüllt. Dann bekommt es das CE-Zeichen.Cyber Resilience Act
- DAC8-Meldepflichten (KStTG)1 RahmenwerkDie Firma meldet dem Finanzamt die Geschäfte ihrer Kundschaft mit digitalem Geld.DAC8 (KStTG)
Wer darf rein?14 Maßnahmen, 12 davon geteiltNur wer etwas braucht, kommt an Räume, Geräte und Daten. Mit gutem Schloss.
- Zugangssteuerungsrichtlinie und Berechtigungskonzept23 RahmenwerkeEs ist geregelt, wer welche Türen und Programme öffnen darf.ISO 27001, DORA, NIS2 / BSIG, ZAG-MaRisk, DSGVO / BDSG, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), EU-US Data Privacy Framework, Cyber Essentials, ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Starke Authentisierung19 RahmenwerkeZum Anmelden reicht ein Passwort allein nicht. Es braucht etwas Zweites, zum Beispiel den Fingerabdruck am Handy.ISO 27001, DORA, NIS2 / BSIG, ZAG / PSD2, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), Cyber Essentials, ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Identitätslebenszyklus (Joiner – Mover – Leaver)15 RahmenwerkeWer neu kommt, bekommt Zugänge, und wer die Aufgabe wechselt, neue. Wer geht, verliert alle.ISO 27001, SOC 2 (Trust Services Criteria), CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, TISAX (VDA ISA 6), Cyber Essentials, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Rezertifizierung von Zugriffsrechten13 RahmenwerkeRegelmäßig wird geprüft, ob alle ihre Zugänge noch brauchen.ISO 27001, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements)
- Instandhaltung und sichere Entsorgung13 RahmenwerkeGeräte werden gewartet. Alte Geräte werden so entsorgt, dass keine Daten übrig bleiben.ISO 27001, SOC 2 (Trust Services Criteria), CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Privilegierte Zugänge12 RahmenwerkeZugänge, mit denen man alles darf, werden besonders gut geschützt und beobachtet.ISO 27001, CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, Cyber Essentials, ACSC Essential Eight, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements)
- Sicherheitszonen, Zutritt und Überwachung12 RahmenwerkeRäume mit wichtiger Technik sind abgeschlossen. Nur wer darf, kommt hinein.ISO 27001, DORA, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Standortrisiken, Versorgung und Verkabelung8 RahmenwerkeStrom, Kühlung und Kabel sind gegen Ausfall, Wasser und Feuer geschützt.ISO 27001, SOC 2 (Trust Services Criteria), TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule
- Mobile Geräte und Speichermedien8 RahmenwerkeLaptops, Handys und USB-Sticks sind verschlüsselt und gesichert.ISO 27001, PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, Microsoft SSPA (Data Protection Requirements)
- Remote-Arbeit und Zero Trust7 RahmenwerkeAuch von zu Hause wird jede Anmeldung genau geprüft. Niemand wird einfach so hereingelassen.ISO 27001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Sitzungsregeln und Step-up-Authentisierung6 RahmenwerkeNach einer Weile ohne Benutzung wird man abgemeldet. Für Wichtiges bestätigt man sich noch einmal.ISO 27001, PCI DSS v4.0.1, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule
- Regeln für Sicherheitsbereiche und Arbeitsplätze6 RahmenwerkeWer den Platz verlässt, sperrt den Bildschirm und räumt Papiere weg.ISO 27001, TISAX (VDA ISA 6), NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule
- Zugriff auf Quellcode und Repositories1 RahmenwerkNur wer am Programm arbeitet, darf seinen Bauplan sehen und ändern.ISO 27001
- Kartenlesegeräte gegen Manipulation schützen1 RahmenwerkKartenlesegeräte werden regelmäßig auf heimliche Veränderungen geprüft.PCI DSS v4.0.1
Technik sicher betreiben36 Maßnahmen, 32 davon geteiltGeräte, Netz und Programme laufen sicher, werden gepflegt und beobachtet.
- Verschlüsselung ruhender Daten21 RahmenwerkeGespeicherte Daten werden verschlüsselt. Ohne Schlüssel sind sie nur Zeichensalat.ISO 27001, DORA, NIS2 / BSIG, MiCAR + KMAG, ZAG-MaRisk, DSGVO / BDSG, Cyber Resilience Act, CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, EU-US Data Privacy Framework, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Manipulationssicheres Audit-Logging20 RahmenwerkeWichtige Ereignisse werden in ein Protokoll geschrieben, das niemand heimlich ändern kann.ISO 27001, DORA, MiCAR + KMAG, ZAG-MaRisk, DSGVO / BDSG, Kassenrecht (KassenSichV / GoBD), Cyber Resilience Act, CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, TISAX (VDA ISA 6), ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Asset-Inventar mit Verantwortlichen19 RahmenwerkeDie Firma hat eine Liste aller Geräte, Programme und Daten. Zu jedem Eintrag steht, wer sich kümmert.ISO 27001, DORA, NIS2 / BSIG, SOC 2 (Trust Services Criteria), BSI-Standard 200-2 (IT-Grundschutz-Methodik), BSI-Standard 200-4 (Business Continuity Management), PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), Cyber Essentials, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Schwachstellen- und Patchmanagement18 RahmenwerkeBekannte Fehler in Programmen werden schnell repariert, mit Updates.ISO 27001, DORA, NIS2 / BSIG, ZAG-MaRisk, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), Cyber Essentials, ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Transportverschlüsselung17 RahmenwerkeDaten werden auf dem Weg durchs Internet verschlüsselt.ISO 27001, DORA, NIS2 / BSIG, DSGVO / BDSG, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Aufbewahrungs- und Löschkonzept16 RahmenwerkeEs steht fest, wie lange Daten aufbewahrt und wann sie gelöscht werden.ISO 27001, ZAG-MaRisk, DSGVO / BDSG, Cyber Resilience Act, SOC 2 (Trust Services Criteria), CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, TISAX (VDA ISA 6), EU-US Data Privacy Framework, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements)
- Sicherheitsüberwachung und Anomalieerkennung16 RahmenwerkeProgramme beobachten, ob etwas Ungewöhnliches passiert, und schlagen Alarm.ISO 27001, DORA, ZAG / PSD2, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements)
- Protokollierungskonzept und Log-Aufbewahrung15 RahmenwerkeEs steht fest, was aufgezeichnet wird und wie lange die Aufzeichnungen bleiben.ISO 27001, DSGVO / BDSG, SOC 2 (Trust Services Criteria), CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Netzsicherheitskonzept und Segmentierung14 RahmenwerkeDas Netz der Firma ist in Bereiche geteilt. Nicht jeder Bereich kommt in jeden anderen.ISO 27001, DORA, ZAG-MaRisk, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), Cyber Essentials, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements)
- Konfigurationsmanagement und Härtungs-Baselines14 RahmenwerkeFür jedes Gerät gibt es eine sichere Grundeinstellung. Abweichungen fallen auf.ISO 27001, DORA, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, Cyber Essentials, ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements)
- Klassifizierung und Kennzeichnung von Informationen13 RahmenwerkeJede Information bekommt ein Schild: öffentlich, intern, vertraulich oder streng geheim.ISO 27001, DORA, SOC 2 (Trust Services Criteria), BSI-Standard 200-2 (IT-Grundschutz-Methodik), TISAX (VDA ISA 6), EU-US Data Privacy Framework, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, CCPA/CPRA (Kalifornien), AWS Foundational Technical Review, Minimum Viable Secure Product (MVSP)
- Perimeterschutz, Firewall und Rate-Limits12 RahmenwerkeEin Filter am Eingang lässt nur erlaubten Verkehr ins Netz der Firma.ISO 27001, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), Cyber Essentials, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements)
- Schutz gegen Schadsoftware12 RahmenwerkeEin Schutzprogramm sucht nach Viren und hält sie auf.ISO 27001, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), Cyber Essentials, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), Microsoft SSPA (Data Protection Requirements)
- Schlüsselmanagement und Rotation11 RahmenwerkeDie geheimen Schlüssel werden sicher aufbewahrt und regelmäßig gewechselt.ISO 27001, DORA, CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements)
- Endgeräte-Härtung und Geräteverwaltung11 RahmenwerkeComputer werden so eingestellt, dass nur das Nötige läuft. Alles andere wird abgeschaltet.ISO 27001, NIS2 / BSIG, PCI DSS v4.0.1, TISAX (VDA ISA 6), Cyber Essentials, ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule
- Kryptokonzept10 RahmenwerkeDie Firma schreibt auf, wo und wie sie verschlüsselt.ISO 27001, NIS2 / BSIG, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Sicherheit von Netzdiensten und Webfilterung10 RahmenwerkeDienste im Netz sind sicher eingestellt. Gefährliche Webseiten werden gesperrt.ISO 27001, PCI DSS v4.0.1, TISAX (VDA ISA 6), Cyber Essentials, ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Verhinderung von Datenabfluss9 RahmenwerkeTechnik passt auf, dass wichtige Daten die Firma nicht unbemerkt verlassen.ISO 27001, DORA, SOC 2 (Trust Services Criteria), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review
- Feld- und Mandantenverschlüsselung sensibler Daten9 RahmenwerkeBesonders heikle Angaben werden extra verschlüsselt, für jede Kundenfirma mit einem eigenen Schlüssel.ISO 27001, DORA, DSGVO / BDSG, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, CCPA/CPRA (Kalifornien)
- Kapazitäts- und Verfügbarkeitsüberwachung9 RahmenwerkeDie Firma beobachtet, ob die Technik genug Platz und Kraft hat und läuft.ISO 27001, DORA, Cyber Resilience Act, SOC 2 (Trust Services Criteria), ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0
- Software-Installation und Whitelisting9 RahmenwerkeNur erlaubte Programme dürfen auf die Geräte.ISO 27001, SOC 2 (Trust Services Criteria), TISAX (VDA ISA 6), Cyber Essentials, ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0
- Regeln für die Informationsübertragung8 RahmenwerkeEs gibt Regeln, wie Daten sicher weitergegeben werden: per Mail, als Datei oder auf Papier.ISO 27001, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0
- Zulässiger Gebrauch und Rückgabe von Werten7 RahmenwerkeEs gibt Regeln, wie man Geräte der Firma benutzt. Wer geht, gibt alles zurück.ISO 27001, PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule
- Jährliche Bewertung von Altsystemen7 RahmenwerkeEinmal im Jahr wird geprüft, ob alte Technik noch sicher ist.DORA, PCI DSS v4.0.1, Cyber Essentials, ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Dokumentierte Betriebsabläufe7 RahmenwerkeWichtige Arbeitsschritte stehen als Anleitung aufgeschrieben.ISO 27001, ZAG-MaRisk, SOC 2 (Trust Services Criteria), ISO 42001, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0
- Sandboxing und Härtung der Laufzeitumgebung7 RahmenwerkeProgramme laufen in einem abgeschlossenen Bereich. Dort können sie wenig kaputt machen.ISO 27001, Cyber Resilience Act, ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0
- Datenmaskierung und Testdaten5 RahmenwerkeZum Ausprobieren werden keine echten Daten von Menschen benutzt. Echte Daten werden vorher unkenntlich gemacht.ISO 27001, DSGVO / BDSG, PCI DSS v4.0.1, ISO 42001, Datenschutzgesetze der US-Bundesstaaten
- Privilegierte Hilfsprogramme5 RahmenwerkeWerkzeuge, mit denen man alles verändern kann, dürfen nur wenige benutzen.ISO 27001, ACSC Essential Eight, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0
- Zeitsynchronisation5 RahmenwerkeAlle Computer zeigen genau dieselbe Uhrzeit.ISO 27001, PCI DSS v4.0.1, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0
- Abhängigkeitskarte: Funktionen, Systeme, Dienstleister4 RahmenwerkeEine Karte zeigt, welche Arbeit von welchem Programm und welchem Helfer abhängt.DORA, PCI DSS v4.0.1, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5
- Lizenz- und IP-Verzeichnis3 RahmenwerkeDie Firma weiß, welche Programme sie gekauft hat und was sie damit darf.ISO 27001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5
- Strukturanalyse des Informationsverbunds2 RahmenwerkeDie Firma zeichnet auf, welche Arbeiten, Programme, Geräte und Räume zusammengehören.BSI-Standard 200-2 (IT-Grundschutz-Methodik), NIST SP 800-53 Rev. 5
- Kartendatenumgebung abgrenzen und Segmentierung1 RahmenwerkAlle Geräte und Programme mit Kreditkartendaten liegen in einem abgetrennten Bereich.PCI DSS v4.0.1
- Kartennummer unlesbar speichern und maskiert anzeigen1 RahmenwerkKartennummern werden verschlüsselt gespeichert und nur teilweise angezeigt.PCI DSS v4.0.1
- Schlüsselverwaltung für Kontodaten1 RahmenwerkDie Schlüssel für Kartendaten werden besonders sicher verwahrt und regelmäßig gewechselt.PCI DSS v4.0.1
- Externe Schwachstellenscans durch einen ASV1 RahmenwerkEine zugelassene Prüffirma sucht alle drei Monate von außen nach Lücken.PCI DSS v4.0.1
Sicher bauen und testen26 Maßnahmen, 20 davon geteiltSoftware und Produkte werden von Anfang an sicher gebaut und getestet.
- Sicherheitstests14 RahmenwerkeNeue Software wird getestet, bevor sie benutzt wird, auch gegen Angriffe.ISO 27001, DORA, Cyber Resilience Act, SOC 2 (Trust Services Criteria), CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), Cyber Essentials, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), Minimum Viable Secure Product (MVSP)
- Risikobasiertes Resilienz-Testprogramm13 RahmenwerkeDie Firma testet regelmäßig, ob ihre Technik Störungen und Angriffe aushält.DORA, NIS2 / BSIG, ZAG / PSD2, DSGVO / BDSG, PCI DSS v4.0.1, TISAX (VDA ISA 6), Cyber Essentials, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Minimum Viable Secure Product (MVSP)
- Sicherer Entwicklungslebenszyklus12 RahmenwerkeBeim Bauen von Software gehört Sicherheit zu jedem Schritt.ISO 27001, NIS2 / BSIG, Cyber Resilience Act, PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), Minimum Viable Secure Product (MVSP)
- Sicherheitsanforderungen und Bedrohungsmodellierung12 RahmenwerkeVor dem Bauen wird überlegt: Wie könnte jemand das angreifen?ISO 27001, DSGVO / BDSG, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, AWS Foundational Technical Review, Minimum Viable Secure Product (MVSP)
- Änderungsmanagement12 RahmenwerkeJede Änderung an wichtiger Technik wird geplant, geprüft und freigegeben.ISO 27001, DORA, ZAG-MaRisk, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, Minimum Viable Secure Product (MVSP)
- Lieferkettensicherheit für Softwareabhängigkeiten10 RahmenwerkeFremde Bausteine in der Software werden geprüft, bevor man sie benutzt.ISO 27001, DORA, NIS2 / BSIG, Cyber Resilience Act, PCI DSS v4.0.1, ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, CMMC 2.0, Minimum Viable Secure Product (MVSP)
- Sichere Programmierung und statische Analyse7 RahmenwerkeWer programmiert, hält sich an sichere Regeln. Ein Prüfprogramm sucht nach Fehlern.ISO 27001, Cyber Resilience Act, PCI DSS v4.0.1, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, AWS Foundational Technical Review, Minimum Viable Secure Product (MVSP)
- Trennung von Entwicklungs-, Test- und Produktionsumgebungen6 RahmenwerkeAusprobieren, Testen und der echte Betrieb finden an getrennten Orten statt.ISO 27001, PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST SP 800-171 Rev. 2, CMMC 2.0, Minimum Viable Secure Product (MVSP)
- Koordinierte Offenlegung von Schwachstellen (CVD)5 RahmenwerkeWer eine Lücke im Produkt findet, kann sie melden. Die Firma behebt sie und informiert alle.NIS2 / BSIG, Cyber Resilience Act, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, Minimum Viable Secure Product (MVSP)
- SBOM je Release4 RahmenwerkeZu jeder Version gibt es eine Zutatenliste aller Software-Bausteine.ISO 27001, NIS2 / BSIG, Cyber Resilience Act, Minimum Viable Secure Product (MVSP)
- Folgenabschätzung für KI-Systeme3 RahmenwerkeBevor eine KI eingesetzt wird, überlegt die Firma, wem sie schaden könnte.ISO 42001, CCPA/CPRA (Kalifornien), Microsoft SSPA (Data Protection Requirements)
- Transparenz und Informationen zu KI-Systemen3 RahmenwerkeMenschen erfahren, wenn sie mit einer KI zu tun haben, und was sie kann.ISO 42001, CCPA/CPRA (Kalifornien), Microsoft SSPA (Data Protection Requirements)
- Menschliche Aufsicht und Überwachung im Betrieb3 RahmenwerkeDie Firma beobachtet die KI im Betrieb. Ein Mensch kann jederzeit eingreifen und sie stoppen.ISO 42001, CCPA/CPRA (Kalifornien), Microsoft SSPA (Data Protection Requirements)
- Ausgelagerte Entwicklung3 RahmenwerkeLässt die Firma Software von einer anderen Firma bauen, gelten dieselben Sicherheitsregeln.ISO 27001, NIST SP 800-53 Rev. 5, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Sicherheitshinweise und Nutzerinformation3 RahmenwerkeDie Kundschaft bekommt einfache Hinweise, wie sie das Produkt sicher benutzt.Cyber Resilience Act, NIST SP 800-53 Rev. 5, AWS Foundational Technical Review
- Secure by Default und Härtung des Produkts3 RahmenwerkeDas Produkt ist schon beim Auspacken sicher eingestellt.ISO 27001, Cyber Resilience Act, Minimum Viable Secure Product (MVSP)
- KI-Richtlinie und Verzeichnis der KI-Systeme2 RahmenwerkeDie Firma schreibt auf, welche KI sie nutzt und wofür. Dazu Regeln, was erlaubt ist und was nicht.ISO 42001, Microsoft SSPA (Data Protection Requirements)
- Daten für KI: Herkunft, Qualität und Aufbereitung2 RahmenwerkeDie Daten, mit denen eine KI lernt, sind erlaubt, richtig und passend.ISO 42001, Microsoft SSPA (Data Protection Requirements)
- Sichere Verteilung von Sicherheitsupdates2 RahmenwerkeSicherheitsupdates kommen schnell, kostenlos und echt bei der Kundschaft an.Cyber Resilience Act, Minimum Viable Secure Product (MVSP)
- Bedrohungsorientierte Penetrationstests (TLPT)2 RahmenwerkeErfahrene Fachleute greifen die Firma an wie echte Angreifer, mit Erlaubnis.DORA, CCSS (CryptoCurrency Security Standard)
- Verantwortungsvoller Lebenszyklus von KI-Systemen1 RahmenwerkEine KI wird sorgfältig geplant, gebaut und getestet, bevor sie arbeiten darf.ISO 42001
- Skripte auf Zahlungsseiten überwachen1 RahmenwerkDie Bezahlseite wird ständig überwacht, ob jemand fremde Programmteile eingeschleust hat.PCI DSS v4.0.1
- Produktinventar, Rolle und Einstufung1 RahmenwerkDie Firma listet alle ihre Produkte mit Software und schätzt ein, wie wichtig deren Sicherheit ist.Cyber Resilience Act
- Unterstützungszeitraum festlegen und veröffentlichen1 RahmenwerkDie Firma sagt vorher, wie lange sie Sicherheitsupdates liefert.Cyber Resilience Act
- Cybersicherheits-Risikobewertung je Produkt1 RahmenwerkFür jedes Produkt wird überlegt, wie es angegriffen werden könnte.Cyber Resilience Act
- Technische Dokumentation (Anhang VII)1 RahmenwerkDie Firma beschreibt genau, wie das Produkt gebaut und geschützt ist.Cyber Resilience Act
Wenn etwas passiert14 Maßnahmen, 13 davon geteiltBei Störungen und Angriffen weiß jede Person, was zu tun ist, und die Arbeit geht weiter.
- Vorfallmanagementprozess und Vorfallregister20 RahmenwerkeFür Sicherheitsvorfälle gibt es einen festen Ablauf. Jeder Vorfall wird aufgeschrieben.ISO 27001, DORA, NIS2 / BSIG, ZAG / PSD2, ZAG-MaRisk, DSGVO / BDSG, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Datensicherung und Wiederherstellungstests18 RahmenwerkeVon allen wichtigen Daten gibt es Kopien. Es wird geübt, sie zurückzuholen.ISO 27001, DORA, NIS2 / BSIG, DSGVO / BDSG, SOC 2 (Trust Services Criteria), BSI-Standard 200-4 (Business Continuity Management), PCI DSS v4.0.1, TISAX (VDA ISA 6), ACSC Essential Eight, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Reaktions-Playbooks und Krisenkommunikation18 RahmenwerkeFür typische Vorfälle gibt es fertige Anleitungen, auch dafür, was man wem sagt.ISO 27001, DORA, NIS2 / BSIG, DSGVO / BDSG, Cyber Resilience Act, SOC 2 (Trust Services Criteria), CCSS (CryptoCurrency Security Standard), BSI-Standard 200-4 (Business Continuity Management), ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Geschäftsfortführungsleitlinie und Notfallpläne16 RahmenwerkeDie Firma plant, wie wichtige Arbeit auch im Notfall weiterläuft.ISO 27001, DORA, NIS2 / BSIG, MiCAR + KMAG, ZAG-MaRisk, KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-4 (Business Continuity Management), TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Notfallübungen15 RahmenwerkeDie Notfallpläne werden regelmäßig geübt.ISO 27001, DORA, ZAG-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-4 (Business Continuity Management), PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review, Minimum Viable Secure Product (MVSP)
- Meldeprozess an Behörden mit Fristen13 RahmenwerkeSchwere Vorfälle werden den Behörden rechtzeitig gemeldet. Jede Regel hat ihre eigene Frist.DORA, NIS2 / BSIG, ZAG / PSD2, DSGVO / BDSG, Cyber Resilience Act, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), Microsoft SSPA (Data Protection Requirements), Korridor Bahrain (CBB)
- Business-Impact-Analyse10 RahmenwerkeDie Firma prüft, welche Arbeit am wichtigsten ist und wie lange sie ausfallen darf.ISO 27001, DORA, ZAG-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-4 (Business Continuity Management), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review
- Lernen aus Vorfällen10 RahmenwerkeNach jedem Vorfall wird besprochen, was man besser machen kann.ISO 27001, DORA, ZAG-MaRisk, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), AWS Foundational Technical Review
- Meldekanal für Mitarbeitende10 RahmenwerkeAlle in der Firma können Auffälligkeiten einfach und ohne Angst melden.ISO 27001, GwG (Geldwäschegesetz), SOC 2 (Trust Services Criteria), ISO 42001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule
- Klassifizierung und Bewertung von Ereignissen9 RahmenwerkeJeder Vorfall wird eingeschätzt: klein, mittel oder schwer.ISO 27001, DORA, ZAG / PSD2, Cyber Resilience Act, SOC 2 (Trust Services Criteria), NIST Cybersecurity Framework 2.0, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule
- Redundanz und Hochverfügbarkeit8 RahmenwerkeWichtige Technik ist doppelt vorhanden. Fällt ein Teil aus, übernimmt das andere.ISO 27001, DORA, SOC 2 (Trust Services Criteria), BSI-Standard 200-4 (Business Continuity Management), TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, AWS Foundational Technical Review
- Krisenmanagement und Krisenstab6 RahmenwerkeFür große Krisen gibt es ein Team, das schnell entscheidet.DORA, NIS2 / BSIG, BSI-Standard 200-4 (Business Continuity Management), TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, HIPAA Security und Breach Notification Rule
- Forensik und Beweissicherung5 RahmenwerkeNach einem Angriff werden Spuren gesichert, ohne sie zu verwischen.ISO 27001, PCI DSS v4.0.1, NIST Cybersecurity Framework 2.0, CMMC 2.0, Microsoft SSPA (Data Protection Requirements)
- Plan für die geordnete Abwicklung1 RahmenwerkEs gibt einen Plan, wie die Firma geordnet schließt, falls es nötig wird.MiCAR + KMAG
Helfer von außen12 Maßnahmen, 9 davon geteiltAndere Firmen, die mithelfen, werden gut ausgesucht und regelmäßig geprüft.
- Due Diligence vor Vertragsschluss22 RahmenwerkeBevor ein Helfer beauftragt wird, prüft die Firma, ob er zuverlässig und sicher ist.ISO 27001, DORA, NIS2 / BSIG, MiCAR + KMAG, ZAG-MaRisk, AMLR, KWG / Banken-MaRisk, Cyber Resilience Act, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), EU-US Data Privacy Framework, Korridor UK (FCA), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), Korridor VAE (CBUAE / VARA / ADGM / DIFC), Korridor Bahrain (CBB), Korridor Schweiz (FINMA / SRO), Korridor Brasilien (BCB)
- Vertragliche Pflichtklauseln19 RahmenwerkeIm Vertrag mit dem Helfer stehen wichtige Sicherheitsregeln und Rechte.ISO 27001, DORA, MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, DSGVO / BDSG, KWG / Banken-MaRisk, PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), EU-US Data Privacy Framework, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements), Korridor Bahrain (CBB)
- Laufende Überwachung von Dienstleistern10 RahmenwerkeAuch nach dem Vertragsschluss schaut die Firma regelmäßig, ob der Helfer gute Arbeit macht.ISO 27001, SOC 2 (Trust Services Criteria), PCI DSS v4.0.1, ISO 42001, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Drittparteien-Strategie und -Richtlinie7 RahmenwerkeDie Firma legt fest, wie sie Helfer von außen auswählt und überwacht.ISO 27001, DORA, NIS2 / BSIG, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, CMMC 2.0, 23 NYCRR 500 (NYDFS Cybersecurity Regulation)
- Cloud-Dienste-Richtlinie7 RahmenwerkeFür Dienste aus dem Internet, zum Beispiel Online-Speicher, gibt es feste Regeln.ISO 27001, DSGVO / BDSG, TISAX (VDA ISA 6), NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, AWS Foundational Technical Review
- Konzentrationsrisiko und Unterauftragsvergabe5 RahmenwerkeDie Firma hängt nicht zu sehr von einem einzigen Helfer ab. Sie weiß auch, wen ihre Helfer selbst beauftragen.ISO 27001, DORA, NIST Cybersecurity Framework 2.0, HIPAA Security und Breach Notification Rule, Microsoft SSPA (Data Protection Requirements)
- Auslagerungsmanagement: Wesentlichkeit, Anzeige, Auslagerungsbeauftragte:r5 RahmenwerkeGibt die Firma wichtige Aufgaben an andere ab, prüft und meldet sie das. Eine Person ist dafür zuständig.MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, AMLR, KWG / Banken-MaRisk
- Dienstleister-Register und Informationsregister4 RahmenwerkeDie Firma führt eine Liste aller Helfer von außen und was sie für sie tun.DORA, PCI DSS v4.0.1, NIST Cybersecurity Framework 2.0, Minimum Viable Secure Product (MVSP)
- Exit-Strategien und Ausstiegspläne4 RahmenwerkeEs gibt einen Plan, wie die Firma von einem Helfer zu einem anderen wechselt.DORA, ZAG-MaRisk, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0
- Verantwortungsmatrix mit Dienstleistern1 RahmenwerkMit jedem Helfer ist schriftlich geklärt, wer welche Regel für Kartendaten erfüllt.PCI DSS v4.0.1
- Prüfpflichten als Einführer oder Händler1 RahmenwerkWer Produkte einführt oder verkauft, prüft, ob der Hersteller die Regeln erfüllt hat.Cyber Resilience Act
- Anzeigen an die Aufsicht und CTPP-Abgleich1 RahmenwerkWichtige Helfer meldet die Firma der Aufsicht. Sie prüft auch, ob ein Helfer unter besonderer Aufsicht steht.DORA
Daten von Menschen schützen7 Maßnahmen, 7 davon geteiltDaten über Menschen werden nur genutzt, wenn es erlaubt ist, und gut geschützt.
- Verarbeitungsverzeichnis und Rechtsgrundlagen11 RahmenwerkeDie Firma schreibt auf, welche Daten von Menschen sie nutzt und warum sie das darf.AMLR, DSGVO / BDSG, SOC 2 (Trust Services Criteria), TISAX (VDA ISA 6), EU-US Data Privacy Framework, NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, HIPAA Security und Breach Notification Rule, CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements)
- Auftragsverarbeitung und Drittlandtransfer9 RahmenwerkeHelfer, die Daten für die Firma bearbeiten, unterschreiben feste Regeln. Für Länder außerhalb der EU gibt es extra Schutz.DSGVO / BDSG, SOC 2 (Trust Services Criteria), TISAX (VDA ISA 6), EU-US Data Privacy Framework, HIPAA Security und Breach Notification Rule, CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements), Korridor Brasilien (BCB)
- Betroffenenrechte und Fristen8 RahmenwerkeMenschen dürfen fragen, welche Daten die Firma über sie hat, und das Löschen verlangen. Die Firma antwortet rechtzeitig.DSGVO / BDSG, SOC 2 (Trust Services Criteria), TISAX (VDA ISA 6), EU-US Data Privacy Framework, HIPAA Security und Breach Notification Rule, CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements)
- Meldung von Datenschutzverletzungen (72 Stunden)8 RahmenwerkeGeraten Daten von Menschen in falsche Hände, meldet die Firma das innerhalb von 72 Stunden dem Amt.DSGVO / BDSG, SOC 2 (Trust Services Criteria), TISAX (VDA ISA 6), HIPAA Security und Breach Notification Rule, CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Datenschutzbeauftragte Person und Datenschutz by Design8 RahmenwerkeEine Person passt auf den Datenschutz auf. Neue Dinge werden von Anfang an sparsam mit Daten gebaut.DSGVO / BDSG, Cyber Resilience Act, SOC 2 (Trust Services Criteria), TISAX (VDA ISA 6), HIPAA Security und Breach Notification Rule, CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements)
- Datenschutz-Folgenabschätzung7 RahmenwerkeVor einer riskanten Nutzung von Daten prüft die Firma, was für die Menschen schiefgehen könnte.AMLR, DSGVO / BDSG, ISO 42001, TISAX (VDA ISA 6), EU-US Data Privacy Framework, CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten
- Widerspruch gegen Verkauf, Weitergabe und gezielte Werbung3 RahmenwerkeMenschen können sagen: Verkauft meine Daten nicht und zeigt mir keine Werbung danach. Das geht auch automatisch über den Browser.CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements)
Geld sauber und sicher halten37 Maßnahmen, 28 davon geteiltGeld kommt nicht von Verbrechern, Zahlungen sind sicher, und fremdes Geld ist gut verwahrt.
- Ehrliches, redliches und professionelles Handeln; faire Information und Marketing9 RahmenwerkeDie Firma ist ehrlich zu ihrer Kundschaft. Die Werbung verspricht nichts Falsches.MiCAR + KMAG, ZAG / PSD2, KWG / Banken-MaRisk, Korridor UK (FCA), CCPA/CPRA (Kalifornien), Datenschutzgesetze der US-Bundesstaaten, Korridor VAE (CBUAE / VARA / ADGM / DIFC), Korridor Schweiz (FINMA / SRO), Korridor Brasilien (BCB)
- Kunden-Sorgfaltspflichten (KYC/KYB) und Risikoklassifizierung8 RahmenwerkeDie Firma prüft, wer ihre Kundinnen und Kunden sind und woher deren Geld kommt.GwG (Geldwäschegesetz), AMLR, Sanktionsrecht (EU / AWG / OFAC), DAC8 (KStTG), KWG / Banken-MaRisk, Korridor VAE (CBUAE / VARA / ADGM / DIFC), Korridor Bahrain (CBB), Korridor Brasilien (BCB)
- Beschwerdeverfahren mit Fristen7 RahmenwerkeBeschwerden werden angenommen und innerhalb einer Frist beantwortet.MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, SOC 2 (Trust Services Criteria), Datenschutzgesetze der US-Bundesstaaten, Microsoft SSPA (Data Protection Requirements), Korridor Brasilien (BCB)
- Sanktions- und PEP-Screening7 RahmenwerkeAlle Kundinnen, Kunden und Zahlungen werden mit Listen verbotener Personen verglichen.GwG (Geldwäschegesetz), Geldtransferverordnung (Travel Rule), Sanktionsrecht (EU / AWG / OFAC), Korridor UK (FCA), 23 NYCRR 500 (NYDFS Cybersecurity Regulation), Korridor VAE (CBUAE / VARA / ADGM / DIFC), Korridor Schweiz (FINMA / SRO)
- Travel-Rule-Begleitdaten bei Kryptowertetransfers7 RahmenwerkeBei jeder Überweisung von digitalem Geld reisen Name und Adresse von Absender und Empfänger mit.MiCAR + KMAG, Geldtransferverordnung (Travel Rule), Korridor UK (FCA), Korridor VAE (CBUAE / VARA / ADGM / DIFC), Korridor Bahrain (CBB), Korridor Schweiz (FINMA / SRO), Korridor Brasilien (BCB)
- Trennung und Sicherung von Kundengeldern und Kundenkryptowerten6 RahmenwerkeGeld und digitales Geld der Kundschaft liegen getrennt vom Geld der Firma.MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, Korridor UK (FCA), Korridor Bahrain (CBB), Korridor Schweiz (FINMA / SRO)
- Transaktionsmonitoring (Fiat und On-Chain)5 RahmenwerkeProgramme schauen auf alle Zahlungen und melden Ungewöhnliches.ZAG / PSD2, GwG (Geldwäschegesetz), Geldtransferverordnung (Travel Rule), DSGVO / BDSG, KWG / Banken-MaRisk
- Geschäftspolitik, Preisveröffentlichung, Best Execution und Transfer-AGB4 RahmenwerkePreise und Regeln stehen offen. Aufträge führt die Firma so gut wie möglich für die Kundschaft aus.MiCAR + KMAG, ZAG / PSD2, EU-US Data Privacy Framework, Korridor VAE (CBUAE / VARA / ADGM / DIFC)
- Tägliche Abstimmung von Kundengeldern und Positionen4 RahmenwerkeJeden Tag wird gezählt: Ist das ganze Geld der Kundschaft noch da?MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, CCSS (CryptoCurrency Security Standard)
- Betrugsprävention und starke Kundenauthentifizierung4 RahmenwerkeBei Zahlungen wird mit zwei Schritten geprüft, ob wirklich die richtige Person bezahlt.ZAG / PSD2, ZAG-MaRisk, KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria)
- Zahlungssystemzugang, Agenten und Passporting4 RahmenwerkeEs ist geregelt, über wen die Firma Zahlungen abwickelt und in welchen Ländern sie arbeitet.MiCAR + KMAG, ZAG / PSD2, ZAG-MaRisk, Korridor Brasilien (BCB)
- Umgang mit selbst gehosteten Adressen4 RahmenwerkeGeht digitales Geld an eine eigene Geldbörse der Kundschaft, prüft die Firma besonders genau.GwG (Geldwäschegesetz), AMLR, Geldtransferverordnung (Travel Rule), Korridor Schweiz (FINMA / SRO)
- Interne Sicherungsmaßnahmen und AML-Handbuch3 RahmenwerkeEin Handbuch beschreibt, wie die Firma verhindert, dass schmutziges Geld durch sie fließt.ZAG / PSD2, GwG (Geldwäschegesetz), AMLR
- Identifizierungsverfahren (Video-Ident, eID, QES)3 RahmenwerkeDie Firma prüft sicher, wer jemand ist, zum Beispiel per Video oder mit dem Online-Ausweis.GwG (Geldwäschegesetz), AMLR, DSGVO / BDSG
- Verdachtsmeldung, Durchführungsverbot und Tipping-off-Verbot3 RahmenwerkeBei einem Verdacht informiert die Firma das zuständige Amt. Die Zahlung wartet, und die Kundschaft erfährt nichts davon.GwG (Geldwäschegesetz), AMLR, Geldtransferverordnung (Travel Rule)
- Aufzeichnung und Aufbewahrung (fünf Jahre)3 RahmenwerkeUnterlagen zu Kundschaft und Zahlungen werden fünf Jahre aufbewahrt.GwG (Geldwäschegesetz), AMLR, Geldtransferverordnung (Travel Rule)
- Ausführung von Sorgfaltspflichten durch Dritte3 RahmenwerkeLässt die Firma ihre Kundschaft von anderen prüfen, bleibt sie trotzdem verantwortlich.ZAG / PSD2, GwG (Geldwäschegesetz), AMLR
- Schlüssel-Backups und Wiederherstellungstests3 RahmenwerkeVon den Schlüsseln gibt es sichere Kopien. Es wird geübt, sie wiederherzustellen.DORA, MiCAR + KMAG, CCSS (CryptoCurrency Security Standard)
- Protokoll bei Schlüsselkompromittierung3 RahmenwerkeEs gibt einen Plan, was passiert, wenn ein Schlüssel in falsche Hände gerät.DORA, MiCAR + KMAG, CCSS (CryptoCurrency Security Standard)
- Länderrisiko, Hochrisikoländer und Embargos3 RahmenwerkeFür riskante Länder gelten strengere Prüfungen oder ein Verbot.GwG (Geldwäschegesetz), AMLR, Sanktionsrecht (EU / AWG / OFAC)
- Unternehmensweite Geldwäsche-Risikoanalyse2 RahmenwerkeDie Firma prüft, wie Kriminelle sie benutzen könnten, um schmutziges Geld sauber aussehen zu lassen.GwG (Geldwäschegesetz), AMLR
- Geldwäschebeauftragte:r mit Stellvertretung2 RahmenwerkeEine Person ist für alles rund um schmutziges Geld zuständig. Eine zweite vertritt sie.GwG (Geldwäschegesetz), AMLR
- Transparenzregister-Einsicht und Unstimmigkeitsmeldung2 RahmenwerkeDie Firma schaut in einem amtlichen Verzeichnis nach, wem eine Kundenfirma wirklich gehört. Stimmt etwas nicht, meldet sie es.GwG (Geldwäschegesetz), AMLR
- Verwahrrichtlinie, Kundenregister und Positionsauszüge2 RahmenwerkeDie Firma schreibt auf, was sie für wen aufbewahrt, und zeigt es der Kundschaft regelmäßig.MiCAR + KMAG, Korridor Schweiz (FINMA / SRO)
- Proof of Reserves durch unabhängige Dritte2 RahmenwerkeEin unabhängiger Prüfer bestätigt, dass die Firma alle Werte der Kundschaft wirklich besitzt.MiCAR + KMAG, CCSS (CryptoCurrency Security Standard)
- Schlüsselverwaltung für Kundenkryptowerte und Schlüsselzeremonie2 RahmenwerkeDie geheimen Schlüssel zum digitalen Geld werden in einem festen Ablauf erzeugt und verwahrt.MiCAR + KMAG, CCSS (CryptoCurrency Security Standard)
- Wallet-Architektur: Quorum, Multisig/MPC und verteilte Schlüssel2 RahmenwerkeUm Geld zu bewegen, müssen mehrere Personen zustimmen. Ein Schlüssel allein reicht nicht.MiCAR + KMAG, CCSS (CryptoCurrency Security Standard)
- Vergabe und Entzug von Schlüsselinhaberschaften2 RahmenwerkeEs ist geregelt, wer einen Schlüssel bekommt und wann er ihn wieder abgibt.MiCAR + KMAG, CCSS (CryptoCurrency Security Standard)
- Offenlegung der Nachhaltigkeitsindikatoren1 RahmenwerkDie Firma zeigt, wie viel Energie ihr digitales Geld verbraucht und was das für die Umwelt bedeutet.MiCAR + KMAG
- Marktmissbrauchsprävention und STOR1 RahmenwerkDie Firma achtet auf Schummeln beim Handeln und meldet einen Verdacht.MiCAR + KMAG
- Interessenkonflikte erkennen, verhindern, offenlegen1 RahmenwerkDie Firma achtet darauf, dass sich niemand einen Vorteil zum Schaden der Kundschaft verschafft.MiCAR + KMAG
- Transaktionsrisikoanalyse (TRA) und Betrugsstatistik1 RahmenwerkJede Zahlung wird auf Betrug geprüft. Betrugsfälle werden gezählt und gemeldet.ZAG / PSD2
- Kassenrecht: TSE, DSFinV-K, Belegausgabe, Verfahrensdokumentation1 RahmenwerkElektronische Kassen sind gegen heimliche Änderungen geschützt und geben Belege aus.Kassenrecht (KassenSichV / GoBD)
- Echtzeitüberweisungen und Empfängerüberprüfung (VoP)1 RahmenwerkVor einer Überweisung wird geprüft, ob Name und Kontonummer zusammenpassen.ZAG / PSD2
- Kontodaten minimal speichern, keine sensiblen Authentifizierungsdaten1 RahmenwerkDie Firma speichert so wenige Kartendaten wie möglich. Die Prüfnummer von der Kartenrückseite speichert sie nie.PCI DSS v4.0.1
- Kartendaten an unerwarteten Orten finden1 RahmenwerkDie Firma sucht regelmäßig, ob Kartendaten irgendwo liegen, wo sie nicht hingehören.PCI DSS v4.0.1
- Begleitdaten bei Geldtransfers (Fiat)1 RahmenwerkAuch bei normalen Überweisungen reisen die Angaben zu Absender und Empfänger mit.Geldtransferverordnung (Travel Rule)
Menschen schulen und einbinden4 Maßnahmen, 4 davon geteiltAlle wissen, worauf sie achten müssen, und lernen regelmäßig dazu.
- Schulungs- und Awareness-Programm23 RahmenwerkeAlle lernen regelmäßig, wie sie sicher arbeiten und Betrug erkennen.ISO 27001, DORA, NIS2 / BSIG, MiCAR + KMAG, ZAG-MaRisk, GwG (Geldwäschegesetz), AMLR, Sanktionsrecht (EU / AWG / OFAC), KWG / Banken-MaRisk, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, PCI DSS v4.0.1, ISO 42001, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, 23 NYCRR 500 (NYDFS Cybersecurity Regulation), CCPA/CPRA (Kalifornien), Microsoft SSPA (Data Protection Requirements), Minimum Viable Secure Product (MVSP)
- Sicherheitsüberprüfung vor Einstellung13 RahmenwerkeNeue Mitarbeitende werden vor dem Start überprüft, zum Beispiel ihre Zeugnisse.ISO 27001, NIS2 / BSIG, ZAG-MaRisk, GwG (Geldwäschegesetz), SOC 2 (Trust Services Criteria), CCSS (CryptoCurrency Security Standard), PCI DSS v4.0.1, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule
- Beschäftigungsbedingungen, Vertraulichkeit und Austritt11 RahmenwerkeIm Arbeitsvertrag steht, dass man Geheimnisse bewahrt, auch nach dem Ende der Arbeit.ISO 27001, DSGVO / BDSG, SOC 2 (Trust Services Criteria), BSI-Standard 200-1, TISAX (VDA ISA 6), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, CMMC 2.0, HIPAA Security und Breach Notification Rule, Microsoft SSPA (Data Protection Requirements)
- Disziplinarverfahren6 RahmenwerkeWer absichtlich gegen die Regeln verstößt, muss mit Folgen rechnen. Die Folgen stehen vorher fest.ISO 27001, SOC 2 (Trust Services Criteria), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5, CMMC 2.0, HIPAA Security und Breach Notification Rule
Rahmenwerke untereinander
Wie sie zueinander stehen
- SOC 2 (Trust Services Criteria) fast gleich ISO 27001Beide wollen fast dasselbe: Daten gut schützen. Eine Umsetzung trägt beide, nur der Prüfbericht sieht anders aus.
- BSI-Standard 200-1 fast gleich ISO 27001Der BSI-Standard passt zu ISO 27001. Mit IT-Grundschutz gibt es auch ein ISO-27001-Zertifikat.
- BSI-Standard 200-2 (IT-Grundschutz-Methodik) baut auf BSI-Standard 200-1BSI 200-1 sagt, was ein Schutzsystem braucht. BSI 200-2 zeigt Schritt für Schritt, wie man es aufbaut.
- BSI-Standard 200-3 (Risikoanalyse) baut auf BSI-Standard 200-2 (IT-Grundschutz-Methodik)Wo die Grundschutz-Bausteine nicht reichen, prüft man die Gefahren genauer nach BSI 200-3.
- BSI-Standard 200-4 (Business Continuity Management) ergänzt BSI-Standard 200-1BSI 200-4 ergänzt den Schutz um den Notfall: wie die Firma nach einem Ausfall weiterarbeitet.
- DORA geht vor NIS2 / BSIGFür Finanzfirmen geht DORA vor. Von NIS2 bleiben dann vor allem Registrierung und Meldeweg.Art. 4 NIS2-Richtlinie (Vorrang besonderer EU-Gesetze)
- MiCAR + KMAG ergänzt DORAWer eine Erlaubnis nach MiCAR hat, muss auch DORA erfüllen. MiCAR regelt das Geschäft, DORA die Technik.
- ZAG-MaRisk baut auf ZAG / PSD2Das ZAG sagt, was Zahlungsfirmen dürfen und müssen. Die ZAG-MaRisk erklären, wie sie das im Alltag umsetzen.
- KWG / Banken-MaRisk geht vor ZAG / PSD2Banken mit Erlaubnis nach dem KWG brauchen für Zahlungen keine eigene Erlaubnis nach dem ZAG.§ 1 Abs. 1 ZAG (Kreditinstitute als Zahlungsdienstleister)
- AMLR löst ab GwG (Geldwäschegesetz)Ab Juli 2027 gilt die EU-Verordnung statt großer Teile des deutschen Geldwäschegesetzes.Art. 90 AMLR (Geltung ab 10.07.2027)
- Geldtransferverordnung (Travel Rule) ergänzt GwG (Geldwäschegesetz)Die Geldwäsche-Regeln prüfen die Kundschaft. Die Travel Rule sorgt dafür, dass bei jeder Überweisung die Namen mitreisen.
- Sanktionsrecht (EU / AWG / OFAC) ergänzt GwG (Geldwäschegesetz)Sanktionslisten prüft man zusammen mit der Prüfung der Kundschaft gegen schmutziges Geld.
- DAC8 (KStTG) ergänzt MiCAR + KMAGKrypto-Firmen mit MiCAR-Erlaubnis melden nach DAC8 zusätzlich Daten ihrer Kundschaft an das Finanzamt.
- CCSS (CryptoCurrency Security Standard) ergänzt MiCAR + KMAGMiCAR verlangt, digitales Geld sicher zu verwahren. CCSS zeigt genau, wie man die Schlüssel dafür schützt.
- DSGVO / BDSG ergänzt ISO 27001ISO 27001 schützt alle Informationen. Die DSGVO schützt besonders die Daten über Menschen und gibt ihnen Rechte.
- Cyber Resilience Act ergänzt NIS2 / BSIGDer CRA macht Produkte mit Software sicher. NIS2 macht die Firmen sicher, die solche Produkte nutzen.
- PCI DSS v4.0.1 ergänzt ISO 27001ISO 27001 gilt für alle Informationen. PCI DSS gilt nur für Kartendaten, dafür sehr genau.
- ISO 42001 baut auf ISO 27001ISO 42001 ist gleich aufgebaut wie ISO 27001. Wer ISO 27001 schon umsetzt, ergänzt vor allem die Regeln für KI.
- TISAX (VDA ISA 6) baut auf ISO 27001Der TISAX-Katalog lehnt sich eng an ISO 27001 an. Neu sind vor allem der Prototypenschutz und die Bewertung in Reifegraden.
- EU-US Data Privacy Framework ergänzt DSGVO / BDSGDie DSGVO erlaubt Übermittlungen in die USA, wenn die US-Firma am Data Privacy Framework teilnimmt. Dann braucht es keine eigenen Verträge dafür.Art. 45 DSGVO mit Angemessenheitsbeschluss vom 10.07.2023
- Cyber Essentials ergänzt ISO 27001Cyber Essentials prüft nur fünf technische Grundmaßnahmen. ISO 27001 enthält sie alle und noch viel mehr.
- ACSC Essential Eight ergänzt ISO 27001Die acht Maßnahmen sind technisch und sehr genau. ISO 27001 verlangt das Ganze, Essential Eight sagt, wie gut acht Teile davon sein müssen.
- NIST Cybersecurity Framework 2.0 fast gleich ISO 27001Beide wollen fast dasselbe: eine Firma gegen Angriffe schützen. Für ISO 27001 gibt es ein Zertifikat, für den NIST-Rahmen nicht.
- NIST Cybersecurity Framework 2.0 ergänzt NIST SP 800-53 Rev. 5Der NIST-Rahmen sagt, was erreicht werden soll. NIST 800-53 sagt genau, mit welchen Maßnahmen man es umsetzt.Informative Referenzen von NIST: CSF 2.0 zu SP 800-53 Rev. 5
- NIST SP 800-53 Rev. 5 ergänzt ISO 27001Beide wollen Daten gut schützen. NIST 800-53 ist viel genauer und hat drei Stufen je nach Schutzbedarf.
- NIST SP 800-171 Rev. 2 baut auf NIST SP 800-53 Rev. 5NIST 800-171 ist ein Auszug aus NIST 800-53. Er ist für Firmen gedacht, die Daten der US-Regierung bekommen.NIST SP 800-171 Rev. 3
- CMMC 2.0 baut auf NIST SP 800-171 Rev. 2CMMC übernimmt die 110 Regeln von NIST 800-171. Neu ist, dass oft jemand von außen prüft und es drei Stufen gibt.32 CFR 170.14
- HIPAA Security und Breach Notification Rule ergänzt DSGVO / BDSGBeide schützen Gesundheitsdaten, aber in verschiedenen Ländern. Wer Kundschaft in den USA und in Europa hat, braucht beide.
- HIPAA Security und Breach Notification Rule ergänzt ISO 27001ISO 27001 deckt die Sicherheitsregeln von HIPAA zu großen Teilen ab. Die Meldung von Datenpannen und die Rechte der Menschen kommen bei HIPAA dazu.
- HIPAA Security und Breach Notification Rule ergänzt NIST Cybersecurity Framework 2.0Die US-Gesundheitsbehörde verweist auf den NIST-Rahmen. Damit lässt sich der Schutz nach HIPAA gut planen und prüfen.NIST SP 800-66 Rev. 2 (Februar 2024)
- 23 NYCRR 500 (NYDFS Cybersecurity Regulation) fast gleich DORABeide sind Sicherheitsregeln der Finanzaufsicht. DORA gilt in der EU, diese Regeln gelten in New York. Meldungen, Tests und Notfallpläne sind ähnlich.
- 23 NYCRR 500 (NYDFS Cybersecurity Regulation) ergänzt NIST Cybersecurity Framework 2.0Die Regeln aus New York folgen denselben Schritten wie der NIST-Rahmen: erkennen, schützen, entdecken, reagieren, wiederherstellen.
- 23 NYCRR 500 (NYDFS Cybersecurity Regulation) ergänzt ISO 27001Ein Zertifikat nach ISO 27001 hilft beim Nachweis. Die Meldungen an die Aufsicht und die jährliche Bestätigung verlangt nur New York.
- CCPA/CPRA (Kalifornien) ergänzt DSGVO / BDSGBeide geben Menschen ähnliche Rechte an ihren Daten. In Kalifornien darf die Firma oft erst sammeln und muss ein Nein beachten, die DSGVO verlangt vorher einen erlaubten Grund.
- Datenschutzgesetze der US-Bundesstaaten fast gleich CCPA/CPRA (Kalifornien)Die Gesetze der anderen Staaten wollen fast dasselbe wie das Gesetz in Kalifornien. Wer eines gut umsetzt, hat für die anderen schon viel geschafft.
- Datenschutzgesetze der US-Bundesstaaten ergänzt DSGVO / BDSGDie Staaten haben viele Ideen aus der DSGVO übernommen, etwa die Prüfung riskanter Nutzungen. Meist reicht dort aber ein Nein der Person statt einer Einwilligung vorher.
- AWS Foundational Technical Review ergänzt ISO 27001AWS FTR prüft nur die Technik in den Konten bei AWS. ISO 27001 verlangt das ganze Vorgehen der Firma zum Schutz von Daten.
- AWS Foundational Technical Review ergänzt SOC 2 (Trust Services Criteria)Ein Bericht nach SOC 2 zeigt, dass die Firma im Ganzen gut aufpasst. AWS FTR schaut genau auf die Einstellungen bei AWS.
- Microsoft SSPA (Data Protection Requirements) ergänzt DSGVO / BDSGDie DSGVO gilt als Gesetz für alle. Microsoft verlangt zusätzlich eigene Regeln und eine Prüfung jedes Jahr.
- Microsoft SSPA (Data Protection Requirements) ergänzt ISO 27001Ein Zertifikat nach ISO 27001 hilft bei der Prüfung durch Microsoft. Die Regeln zum Datenschutz deckt es aber nicht ab.
- Minimum Viable Secure Product (MVSP) ergänzt ISO 27001MVSP ist eine kurze Liste nur für Software. ISO 27001 verlangt ein ganzes Vorgehen für die ganze Firma.
- Minimum Viable Secure Product (MVSP) ergänzt Cyber Resilience ActDer CRA ist ein Gesetz für Produkte mit Software, die verkauft werden. MVSP ist freiwillig und fragt viele ähnliche Punkte ab.
- Korridor UK (FCA) ergänzt MiCAR + KMAGFür Kundschaft in diesem Land gelten zusätzlich die Regeln dort. Die Regeln aus der EU reichen dort nicht.
- Korridor VAE (CBUAE / VARA / ADGM / DIFC) ergänzt MiCAR + KMAGFür Kundschaft in diesem Land gelten zusätzlich die Regeln dort. Die Regeln aus der EU reichen dort nicht.
- Korridor Bahrain (CBB) ergänzt MiCAR + KMAGFür Kundschaft in diesem Land gelten zusätzlich die Regeln dort. Die Regeln aus der EU reichen dort nicht.
- Korridor Schweiz (FINMA / SRO) ergänzt MiCAR + KMAGFür Kundschaft in diesem Land gelten zusätzlich die Regeln dort. Die Regeln aus der EU reichen dort nicht.
- Korridor Brasilien (BCB) ergänzt MiCAR + KMAGFür Kundschaft in diesem Land gelten zusätzlich die Regeln dort. Die Regeln aus der EU reichen dort nicht.
Am meisten gemeinsam
- ISO 27001 und NIST SP 800-53 Rev. 579 gemeinsame Maßnahmen88 % der Maßnahmen von NIST SP 800-53 Rev. 5 verlangt auch ISO 27001.
- ISO 27001 und NIST Cybersecurity Framework 2.072 gemeinsame Maßnahmen84 % der Maßnahmen von NIST Cybersecurity Framework 2.0 verlangt auch ISO 27001.
- NIST Cybersecurity Framework 2.0 und NIST SP 800-53 Rev. 572 gemeinsame Maßnahmen84 % der Maßnahmen von NIST Cybersecurity Framework 2.0 verlangt auch NIST SP 800-53 Rev. 5.
- ISO 27001 und CMMC 2.070 gemeinsame Maßnahmen95 % der Maßnahmen von CMMC 2.0 verlangt auch ISO 27001.
- NIST SP 800-53 Rev. 5 und CMMC 2.069 gemeinsame Maßnahmen93 % der Maßnahmen von CMMC 2.0 verlangt auch NIST SP 800-53 Rev. 5.
- NIST SP 800-171 Rev. 2 und CMMC 2.067 gemeinsame Maßnahmen100 % der Maßnahmen von NIST SP 800-171 Rev. 2 verlangt auch CMMC 2.0.
- ISO 27001 und NIST SP 800-171 Rev. 264 gemeinsame Maßnahmen96 % der Maßnahmen von NIST SP 800-171 Rev. 2 verlangt auch ISO 27001.
- NIST SP 800-53 Rev. 5 und NIST SP 800-171 Rev. 263 gemeinsame Maßnahmen94 % der Maßnahmen von NIST SP 800-171 Rev. 2 verlangt auch NIST SP 800-53 Rev. 5.
Gemeinsam heißt: dieselbe Maßnahme zählt für beide. Den Vergleich Anforderung für Anforderung zeigt Synergien > Vergleich.