Framework-Mapping.
Wie Sie Zuordnungsvorschläge zwischen Anforderungen prüfen und die Grenzen einer Abdeckung dokumentieren.
- NIST OSCAL · Secani Evidence-Workflow
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 4 Min.
Kurzantwort.
Framework-Mapping ordnet Anforderungen verschiedener Regelwerke inhaltlich einander zu. KI kann Kandidaten finden und Unterschiede herausarbeiten. Eine belastbare Zuordnung braucht jedoch konkrete Versionen, eine begründete Beziehung und eine fachliche Prüfung. Ein ähnlicher Wortlaut beweist weder Gleichwertigkeit noch Umsetzung. Control Mapping und Compliance Crosswalk bezeichnen denselben Themenbereich mit unterschiedlichem Fokus.
Die Methode hinter einer Zuordnung.
Diese Seite erklärt die Prüfung einer Zuordnung, nicht die Einzelanforderungen eines bestimmten Regelwerks. NIST OSCAL stellt strukturierte Modelle für Kontrollinformationen bereit. Maschinenlesbare Kennungen und Fassungen erleichtern einen Vergleich, begründen aber für sich genommen weder eine fachliche Gleichwertigkeit noch eine Anerkennung durch eine Prüfstelle.
Ähnlichkeit wird zur Gleichwertigkeit. Zwei Anforderungen können dieselben Begriffe nutzen und dennoch andere Geltungsbereiche, Fristen oder Nachweistiefen haben.
Mapping wird als Umsetzung gezählt. Eine Beziehung zwischen zwei Anforderungen zeigt noch nicht, ob eine Maßnahme existiert, eingeführt wurde oder wirksam ist.
Versionen fehlen. Ändert sich ein Regelwerk, muss die Zuordnung erneut geprüft werden. Ohne festgehaltene Version lässt sich der ursprüngliche Vergleich nicht rekonstruieren.
Für Teams mit mehreren Regelwerken.
Framework-Mapping hilft Verantwortlichen, die gemeinsame Arbeit für mehrere Regelwerke planen. Es kann zeigen, wo eine bestehende Maßnahme oder ein Nachweis erneut untersucht werden sollte. Auditoren und fachliche Prüfer brauchen zusätzlich den jeweiligen Geltungsbereich und die Begründung; die bloße Anzahl verknüpfter Anforderungen ist kein geeigneter Erfolgsmaßstab.
Was Sie festlegen sollten.
Die folgenden Punkte beschreiben die Einrichtung und Prüfung dieses Ablaufs, keine eigenständige gesetzliche Pflicht.
Quell- und Zielanforderung mit Version festhalten.
Verwenden Sie eindeutige Kennungen und die tatsächlich verglichenen Fassungen. OSCAL unterstützt strukturierte Kontrollinformationen; die fachliche Bedeutung muss aus den zugehörigen Texten und ihrem Kontext hervorgehen.
Vergleich auf Inhalt, Umfang und Bedingungen stützen.
Vergleichen Sie Ziel, Geltungsbereich und Bedingungen der Anforderungen. Ähnliche Begriffe können unterschiedliche Pflichten beschreiben, etwa hinsichtlich Häufigkeit, verantwortlicher Rolle oder erwarteter Nachweise.
Teilabdeckung und offene Anforderungen gesondert benennen.
Dokumentieren Sie ausdrücklich, welche Aspekte gemeinsam sind und welche zusätzlich bearbeitet werden müssen. Fehlt eine tragfähige Beziehung, ist ein begründetes negatives Ergebnis hilfreicher als eine erzwungene Zuordnung.
Zuordnung, Implementierung und Wirksamkeit getrennt beurteilen.
Unterscheiden Sie den inhaltlichen Vergleich von der umgesetzten Maßnahme und ihrer überprüften Wirksamkeit. Ein Mapping kann die weitere Arbeit lenken; es darf keinen Status für eine ungeprüfte Anforderung erzeugen.
Umsetzung in Schritten.
Vergleich eingrenzen.
Wählen Sie die konkreten Fassungen der Regelwerke und einen abgegrenzten Themenbereich. Formulieren Sie, wofür die Zuordnung genutzt werden soll.
Kandidaten recherchieren.
Lassen Sie passende Anforderungen suchen und laden Sie die vollständigen verfügbaren Detailinformationen. Kennzeichnen Sie unvollständige oder mehrdeutige Ergebnisse.
Beziehung begründen.
Beschreiben Sie gemeinsame Aspekte, zusätzliche Bedingungen und verbleibende Lücken. Halten Sie fest, wenn kein tragfähiges Mapping möglich ist.
Umsetzung separat prüfen.
Bewerten Sie die tatsächliche Maßnahme und den Nachweis für jede Zielanforderung. Übernehmen Sie einen Status nicht allein aufgrund des Mappings.
Den Ablauf nachvollziehbar dokumentieren.
Diese Unterlagen machen den gewählten Ablauf und seine Ergebnisse nachvollziehbar. Die Prüfanlässe sind Empfehlungen für den Betrieb.
Mapping-Begründung: Quell-ID, Ziel-ID, Versionen und Begründung. Verantwortlich: Framework-Verantwortliche. Prüfanlass: je Zuordnung.
Restanforderungen: Liste nicht abgedeckter Aspekte. Verantwortlich: Control Owner. Prüfanlass: bei Teilabdeckung.
Fachliche Prüfung: Entscheidung mit Datum und verantwortlicher Person. Verantwortlich: Fachprüfende. Prüfanlass: vor Wiederverwendung.
Verwendeter Nachweis: Konkrete Version samt fachlicher Zuordnung. Verantwortlich: Nachweisverantwortliche. Prüfanlass: bei geändertem Inhalt.
Verwandte Aufgaben und Einordnung.
Die folgenden Seiten vertiefen die angrenzenden Aufgaben. Sie ersetzen nicht die hier beschriebene Prüfung des konkreten Anwendungsfalls.
In Secani.
Secani MCP kann Anforderungen innerhalb eines ausgewählten Framework-Bindings suchen und anschließend ihre Details laden. Der Suchrang ist weder Konfidenzwert noch Compliance-Entscheidung.
Der Evidence-Workflow trennt Nachweis, konkrete Version, belegte Aussage und Zuordnung zur Anforderung. Diese Schritte unterstützen die Prüfung einer Abdeckung; sie ersetzen keine fachlich geprüfte Gleichwertigkeitsentscheidung zwischen Frameworks.
Einen abgegrenzten Fall prüfen.
Prüfen Sie zunächst eine einzelne Zuordnung anhand der Originalanforderungen und dokumentieren Sie ausdrücklich verbleibende Unterschiede.
Häufige Fragen.
Die Bezeichnungen überschneiden sich. Diese Seite bündelt die Zuordnung von Anforderungen; eine konkrete Crosswalk-Tabelle ist ein mögliches Ergebnis.
Nein. Das Mapping beschreibt eine inhaltliche Beziehung. Umsetzung und Wirksamkeit müssen für den jeweiligen Geltungsbereich anhand geeigneter Nachweise beurteilt werden.
Er kann Kandidaten und Begründungen vorbereiten. Die fachliche Entscheidung über Tragfähigkeit, Teilabdeckung und Restanforderungen bleibt bei den dafür verantwortlichen Personen.
Compliance mit verbundenen Daten.
Besprechen Sie Ihren Anwendungsfall für den Secani-Agenten oder einen verbundenen MCP-Client.
Die beschriebenen Abläufe sind Umsetzungshilfen. Verfügbare Werkzeuge hängen von Client, Berechtigungen und Produktstand ab; fachliche Entscheidungen bleiben bei den verantwortlichen Personen.