NIST SP 800-37 Rev. 2

Zweck, Umfang und Autorität

Sieben wiederholbare Schritte für Systeme und gemeinsame Kontrollen, Sicherheit und Datenschutz. Der US-Bundeskontext schafft keine identischen Pflichten für alle Länder oder nationalen Sicherheitssysteme. [1]

Prinzipien und operative Logik [1]

1. Prepare · Vorbereiten

Rollen, Strategie, Grenzen, gemeinsame Kontrollen und Einschränkungen festlegen.

2. Categorize · Kategorisieren

Auswirkungen und Informationsarten nach geltendem Verfahren begründen, nicht Schwachstellen zählen.

3. Select · Auswählen

Baseline anpassen, Parameter, Verantwortung, Vererbung und Überwachung festlegen.

4. Implement · Umsetzen

Tatsächlichen Betrieb und Abweichungen statt nur Sollentwurf beschreiben.

5. Assess · Bewerten

Umsetzung, Funktion und Ergebnis prüfen; Evidenz und nötige Unabhängigkeit bestimmen.

6. Authorize · Autorisieren

Restrisiko und Bedingungen der zuständigen Autorität vorlegen. Prüfende sind nicht automatisch Risikoeigner.

7. Monitor · Überwachen

Änderungen, Defizite und Wirksamkeit verfolgen; Pläne und Entscheidungen aktualisieren.

Anwendung · redaktionelle Empfehlungen

Autorität und Systemgrenze zuerst bestimmen. Nachvollziehbarkeit bis zur Risikoentscheidung erhalten, vererbte Kontrollen belegen und bei relevanten Veränderungen neu prüfen.

CISO-Evidenz · vorgeschlagenes Prüfpaket

Sicherheits-/Datenschutzpläne, Bewertungen, offene Befunde, Maßnahmen und Meilensteine, Bedingungen. Verantwortliche und Termine nennen; Lieferanten- und Kundenpflichten trennen.

Fehler und Grenzen

Keine reine Abschlussdokumentation, dauerhafte Autorisierung oder ungeprüfte Lieferantenbescheinigung. Offizielle Aufgaben liefern weitere Eingaben, Ergebnisse und Rollen.

Offizielle Quellen und Lesepfad

Abschnitte im Original: Chapter 3; Appendices D–F.

1. NIST SP 800-37 Rev. 2 · 2018-12 · Risk Management Framework