Jedes Control, ehrlich zugeordnet.

Organisatorische RichtlinienCC1.1 Verpflichtung zu Integrität · CC1.2 Aufsicht durch das Leitungsorgan · CC1.3 Berichtslinien · CC2.1 Gute Control-Informationen · CC2.2 Unterweisung der Mitarbeiter · CC2.3 Austausch mit Externen · CC3.1 Risikoziele · CC3.2 Risikobewertung · CC3.3 Betrugsrisiko-Prüfung · CC3.4 Prüfung von Änderungsfolgen · CC5.1 Risikomindernde Controls · CC5.2 Wahl technischer Controls · CC5.3 Eingeführte Richtlinien · CC9.1 Minderung von Störungsrisiken · P1.1 Datenschutzhinweis · P2.1 Einwilligungsoptionen · P3.1 Rechtmäßige Erhebung · P3.2 Einwilligung bei sensiblen Daten · P4.1 Zweckbindung · P6.1 Einwilligung vor Weitergabe · P6.2 Weitergabeprotokolle · P6.3 Protokolle unbefugter Weitergabe

Betriebliche ProzesseCC4.1 Laufende Control-Prüfungen · CC4.2 Meldung von Schwächen · CC6.8 Blockierung unerwünschter Software · CC7.3 Bewertung von Ereignissen · CC7.4 Schritte der Incident Response · CC7.5 Lernen aus Incident-Recovery · A1.1 Kapazitätsüberwachung · A1.3 Wiederherstellungstests · PI1.1 Definierte Verarbeitungsziele · PI1.4 Prüfung der Ausgabelieferung · PI1.5 Integrität gespeicherter Objekte · P5.1 Antworten auf Auskunftsanfragen · P5.2 Umgang mit Berichtigungen · P6.7 Nachweis über Weitergaben · P7.1 Richtige personenbezogene Daten · P8.1 Umgang mit Beschwerden

Physische SicherheitCC6.4 Physische Zutrittsgrenzen · CC6.5 Entsorgung von Asset-Daten

Verträge und LieferantenCC9.2 Management von Lieferantenrisiken · P6.4 Datenschutzzusagen von Lieferanten · P6.5 Incident-Meldung von Lieferanten

Personal und HRCC1.4 Einstellung geeigneter Mitarbeiter · CC1.5 Rechenschaft für Aufgaben

Regulatorische VerfahrenP6.6 Benachrichtigung bei Datenpannen

Für 2 davon liefert Toevan unterstützende Nachweise.

Organisatorische RichtlinienA.5.1 Schriftliche Richtlinien · A.5.2 Inhaber von Sicherheitsrollen · A.5.4 Rückhalt der Leitung · A.5.5 Kontakte zu Behörden · A.5.6 Kontakte zu Fachgruppen · A.5.8 Sicherheitsschritte im Projekt · A.5.9 Liste der Assets mit Inhaber · A.5.10 Regeln zur Asset-Nutzung · A.5.11 Rückgabe von Assets · A.5.12 Sortierung nach Schutzbedarf · A.5.13 Kennzeichnung nach Schutzbedarf · A.5.14 Regeln zur Datenübertragung · A.5.23 Regeln zur Cloud-Nutzung · A.5.37 Schriftliche Betriebsschritte · A.6.7 Schutz bei Remote-Arbeit

Betriebliche ProzesseA.5.7 Beobachtung von Angreifer-News · A.5.24 Incident-Bereitschaft · A.5.25 Einstufung von Ereignissen · A.5.26 Schritte der Incident Response · A.5.27 Lernen aus Incidents · A.5.28 Sicherung von Incident-Nachweisen · A.5.29 Sicherheitspläne bei Ausfällen · A.5.30 Bereitschaft zur Wiederherstellung · A.6.8 Meldung von Problemen durch Mitarbeiter · A.8.1 Schutz von Endgeräten · A.8.6 Kapazitätsplanung · A.8.7 Schutz vor Schadsoftware · A.8.14 Reservekapazität · A.8.16 Überwachung ungewöhnlichen Verhaltens · A.8.17 Uhrenabgleich · A.8.18 Grenzen für Hilfsprogramme · A.8.19 Freigabe von Live-Software · A.8.21 Regeln für Netzwerkdienste · A.8.23 Filterung von Web-Verkehr

Physische SicherheitA.7.1 Sichere Standortgrenzen · A.7.2 Zutrittskontrollen zum Standort · A.7.3 Verschlossene Räume · A.7.4 Überwachung der Räumlichkeiten · A.7.5 Schutz vor Feuer und Wasser · A.7.6 Regeln für sichere Bereiche · A.7.7 Aufgeräumte Schreibtische · A.7.8 Aufstellung von Geräten · A.7.9 Schutz von Assets außer Haus · A.7.10 Umgang mit Datenträgern · A.7.11 Notstrom bei Stromausfall · A.7.12 Schutz der Verkabelung · A.7.13 Wartung von Geräten · A.7.14 Sicheres Löschen von Geräten

Verträge und LieferantenA.5.19 Sicherheitsanforderungen an Lieferanten · A.5.20 Klauseln in Lieferantenverträgen · A.5.21 Controls in der Lieferkette · A.5.22 Prüfung von Lieferantenleistungen · A.8.30 Aufsicht über externe Entwickler

Personal und HRA.6.1 Hintergrundprüfung bei Einstellung · A.6.2 Schriftliche Sicherheitspflichten · A.6.3 Schulung zum Sicherheitsbewusstsein · A.6.4 Folgen von Regelverstößen · A.6.5 Pflichten nach dem Ausscheiden · A.6.6 Zusagen zur Geheimhaltung

Regulatorische VerfahrenA.5.31 Verfolgung rechtlicher Pflichten · A.5.32 Nachweise zu Softwarerechten · A.5.33 Sichere Aufbewahrung von Aufzeichnungen · A.5.34 Datenschutzpflichten

Externe PrüfungA.5.35 Unabhängige Prüfung · A.5.36 Prüfung der Richtlinientreue · A.8.34 Schutz bei Audits

Organisatorische RichtlinienReq.1.1 Netzwerkrichtlinie dokumentiert · Req.1.5 Richtlinie für Endpunkt-Brücken · Req.2.1 Härtungsrichtlinie dokumentiert · Req.3.1 Datenschutzrichtlinie · Req.4.1 Übertragungsrichtlinie dokumentiert · Req.5.1 Malware-Richtlinie dokumentiert · Req.6.1 Entwicklungsrichtlinie dokumentiert · Req.7.1 Zugriffsrichtlinie dokumentiert · Req.8.1 Anmelderichtlinie · Req.9.1 Richtlinie zur physischen Sicherheit · Req.10.1 Logging-Richtlinie dokumentiert · Req.11.1 Testrichtlinie dokumentiert · Req.12.1 Programm für Sicherheitsrichtlinien · Req.12.2 Regeln zur zulässigen Nutzung · Req.12.3 Gezielte Risikoprüfung · Req.12.4 Compliance-Aufsicht · Req.12.5 Nachweis zur Umfangsdefinition

Betriebliche ProzesseReq.2.3 Prüfung von WLAN · Req.3.7 Prozess für Schlüssel-Lebenszyklus · Req.5.2 Malware-Schutz am Endpunkt · Req.5.3 Überwachung von Malware-Updates · Req.5.4 Schutz vor Phishing · Req.10.4 Regelmäßige Log-Prüfung · Req.10.6 Zeitsynchronisation · Req.10.7 Prozess zur Fehlererkennung · Req.11.2 Prüfung auf fremdes WLAN · Req.11.5 Prozess zur Angriffserkennung · Req.12.10 Incident-Response-Plan

Physische SicherheitReq.9.2 Zutrittskontrollen zur Anlage · Req.9.3 Besucherprotokolle · Req.9.4 Regeln für Datenträger · Req.9.5 Prüfung von Terminals auf Manipulation

Verträge und LieferantenReq.12.8 Verträge mit Dienstleistern · Req.12.9 Pflichten der Dienstleister

Personal und HRReq.12.6 Schulung zum Bewusstsein · Req.12.7 Überprüfung von Mitarbeitern

Externe PrüfungReq.11.4 Penetrationstests

Für 4 davon liefert Toevan unterstützende Nachweise.

Organisatorische RichtlinienAC-1 Richtlinien und Verfahren · AT-1 Richtlinien und Verfahren · AU-1 Richtlinien und Verfahren · CA-1 Richtlinien und Verfahren · CM-1 Richtlinien und Verfahren · CP-1 Richtlinien und Verfahren · IA-1 Richtlinien und Verfahren · IR-1 Richtlinien und Verfahren · MA-1 Richtlinien und Verfahren · MP-1 Richtlinien und Verfahren · PE-1 Richtlinien und Verfahren · PL-1 Richtlinien und Verfahren · PL-2 Sicherheits- und Datenschutzpläne des Systems · PL-4 Verhaltensregeln · PL-8 Sicherheits- und Datenschutzarchitekturen · PL-10 Auswahl der Basis · PL-11 Anpassung der Basis · PS-1 Richtlinien und Verfahren · RA-1 Richtlinien und Verfahren · RA-2 Sicherheitseinstufung · RA-3 Risikobewertung · RA-7 Risikoreaktion · RA-9 Kritikalitätsanalyse · SA-1 Richtlinien und Verfahren · SA-2 Zuteilung von Ressourcen · SA-3 Lebenszyklus der Systementwicklung · SA-5 Systemdokumentation · SA-8 Prinzipien für Sicherheits- und Datenschutz-Engineering · SA-15 Entwicklungsprozess, Standards und Werkzeuge · SA-22 Nicht unterstützte Systemkomponenten · SC-1 Richtlinien und Verfahren · SI-1 Richtlinien und Verfahren · SR-1 Richtlinien und Verfahren

Betriebliche ProzesseAC-8 Hinweis zur Systemnutzung · AC-14 Zulässige Aktionen ohne Identifizierung oder Authentifizierung · AC-18 WLAN-Zugriff · AC-19 Zugriffskontrolle für mobile Geräte · AC-20 Nutzung externer Systeme · AC-21 Informationsaustausch · AC-22 Öffentlich zugängliche Inhalte · AU-4 Speicherkapazität für Audit-Logs · AU-5 Reaktion auf Ausfälle der Audit-Protokollierung · AU-6 Prüfung, Analyse und Berichte zu Audit-Einträgen · AU-7 Reduktion von Audit-Einträgen und Berichtserstellung · CM-4 Auswirkungsanalysen · CM-8 Inventar der Systemkomponenten · CM-9 Konfigurationsmanagementplan · CM-10 Beschränkungen der Softwarenutzung · CM-11 Von Nutzern installierte Software · CM-12 Speicherort von Informationen · CP-2 Notfallplan · CP-3 Notfallschulung · CP-4 Test des Notfallplans · CP-6 Alternativer Speicherstandort · CP-7 Alternativer Verarbeitungsstandort · CP-8 Telekommunikationsdienste · CP-10 Systemwiederherstellung und Rekonstitution · IA-3 Identifizierung und Authentifizierung von Geräten · IA-7 Authentifizierung kryptografischer Module · IA-11 Erneute Authentifizierung · IA-12 Identitätsnachweis · IR-2 Schulung zur Incident Response · IR-3 Test der Incident Response · IR-4 Behandlung von Incidents · IR-5 Überwachung von Incidents · IR-6 Meldung von Incidents · IR-7 Unterstützung bei Incident Response · IR-8 Incident-Response-Plan · SC-2 Trennung von System- und Nutzerfunktionen · SC-4 Informationen in geteilten Systemressourcen · SC-5 Schutz vor Denial-of-Service · SC-10 Netzwerktrennung · SC-15 Geräte und Anwendungen für Zusammenarbeit · SC-17 Zertifikate der Public-Key-Infrastruktur · SC-18 Mobiler Code · SC-20 Sicherer Namensauflösungsdienst (autoritative Quelle) · SC-21 Sicherer Namensauflösungsdienst (rekursiv oder Cache) · SC-22 Architektur und Bereitstellung der Namensauflösung · SC-39 Prozessisolierung · SI-3 Schutz vor Schadcode · SI-4 Systemüberwachung · SI-5 Sicherheitswarnungen, Hinweise und Weisungen · SI-8 Spam-Schutz · SI-16 Speicherschutz

Physische SicherheitMA-2 Kontrollierte Wartung · MA-3 Wartungswerkzeuge · MA-4 Fernwartung · MA-5 Wartungspersonal · MA-6 Zeitnahe Wartung · MP-2 Zugriff auf Datenträger · MP-3 Kennzeichnung von Datenträgern · MP-4 Lagerung von Datenträgern · MP-5 Transport von Datenträgern · MP-6 Bereinigung von Datenträgern · MP-7 Nutzung von Datenträgern · PE-2 Genehmigung des physischen Zutritts · PE-3 Kontrolle des physischen Zutritts · PE-4 Zugriffskontrolle für Übertragungswege · PE-5 Zugriffskontrolle für Ausgabegeräte · PE-6 Überwachung des physischen Zutritts · PE-8 Besucherprotokolle · PE-9 Stromgeräte und Verkabelung · PE-10 Notabschaltung · PE-11 Notstrom · PE-12 Notbeleuchtung · PE-13 Brandschutz · PE-14 Umgebungskontrollen · PE-15 Schutz vor Wasserschäden · PE-16 Lieferung und Abtransport · PE-17 Alternativer Arbeitsplatz

Verträge und LieferantenSA-4 Beschaffungsprozess · SA-9 Externe Systemdienste · SR-2 Risikomanagementplan für die Lieferkette · SR-3 Controls und Prozesse der Lieferkette · SR-5 Beschaffungsstrategien, Werkzeuge und Methoden · SR-6 Bewertungen und Prüfungen von Lieferanten · SR-8 Benachrichtigungsvereinbarungen · SR-10 Prüfung von Systemen oder Komponenten · SR-12 Entsorgung von Komponenten

Personal und HRAT-2 Grundschulung und Bewusstsein · AT-3 Rollenbasierte Schulung · AT-4 Schulungsnachweise · PS-2 Risikoeinstufung von Positionen · PS-3 Überprüfung von Personal · PS-4 Beendigung von Beschäftigung · PS-5 Versetzung von Personal · PS-6 Zugriffsvereinbarungen · PS-7 Sicherheit bei externem Personal · PS-8 Sanktionen für Personal · PS-9 Stellenbeschreibungen

Externe PrüfungCA-2 Control-Bewertungen · CA-3 Informationsaustausch · CA-5 Maßnahmenplan mit Meilensteinen · CA-6 Autorisierung · CA-7 Laufende Überwachung · CA-9 Interne Systemverbindungen

Für 2 davon liefert Toevan unterstützende Nachweise.

Organisatorische Richtlinien164.308(a)(2) Zugewiesene Sicherheitsverantwortung · 164.310(b) Nutzung von Arbeitsplätzen · 164.316(a) Richtlinien und Verfahren · 164.316(b)(1) Dokumentation · 164.506 Nutzung und Weitergabe für Behandlung, Zahlung oder Gesundheitsbetrieb · 164.508 Nutzung und Weitergabe mit erforderlicher Einwilligung · 164.509 Nutzung und Weitergabe mit erforderlicher Bestätigung · 164.510 Nutzung und Weitergabe mit Möglichkeit zu Zustimmung oder Widerspruch · 164.512 Nutzung und Weitergabe ohne Einwilligung oder Möglichkeit zum Widerspruch · 164.520 Hinweis zu Datenschutzpraktiken für geschützte Gesundheitsdaten · 164.522 Rechte auf Datenschutzbeschränkung für geschützte Gesundheitsdaten · 164.528 Nachweis über Weitergaben geschützter Gesundheitsdaten · 164.530 Administrative Anforderungen

Betriebliche Prozesse164.308(a)(1) Prozess für Sicherheitsmanagement · 164.308(a)(6) Verfahren bei Sicherheitsvorfällen · 164.308(a)(7) Notfallplan · 164.524 Zugang Betroffener zu geschützten Gesundheitsdaten · 164.526 Berichtigung geschützter Gesundheitsdaten

Physische Sicherheit164.310(a)(1) Zugangskontrollen zu Einrichtungen · 164.310(c) Sicherheit von Arbeitsplätzen · 164.310(d)(1) Kontrollen für Geräte und Datenträger

Verträge und Lieferanten164.308(b)(1) Verträge mit Geschäftspartnern und andere Vereinbarungen · 164.314(a)(1) Verträge mit Geschäftspartnern oder andere Vereinbarungen · 164.314(b)(1) Anforderungen an Gruppen-Gesundheitspläne · 164.504 Nutzung und Weitergabe: Organisatorische Anforderungen

Personal und HR164.308(a)(3) Sicherheit der Belegschaft · 164.308(a)(5) Sicherheitsbewusstsein und Schulung

Regulatorische Verfahren164.404 Benachrichtigung von Betroffenen · 164.406 Benachrichtigung der Medien · 164.408 Benachrichtigung des Ministers · 164.410 Benachrichtigung durch einen Geschäftspartner · 164.412 Aufschub durch Strafverfolgung · 164.414 Administrative Anforderungen und Beweislast

Externe Prüfung164.308(a)(8) Bewertung

Für 1 davon liefert Toevan unterstützende Nachweise.

Organisatorische RichtlinienArt.6 Rechtmäßigkeit der Verarbeitung · Art.7 Bedingungen für die Einwilligung · Art.8 Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft · Art.9 Verarbeitung besonderer Kategorien personenbezogener Daten · Art.10 Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten · Art.11 Verarbeitung, für die keine Identifizierung erforderlich ist · Art.24 Verantwortung des Verantwortlichen · Art.26 Gemeinsam Verantwortliche · Art.27 Vertreter von nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeitern · Art.29 Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters · Art.30 Verzeichnis von Verarbeitungstätigkeiten · Art.31 Zusammenarbeit mit der Aufsichtsbehörde · Art.35 Datenschutz-Folgenabschätzung · Art.36 Vorherige Konsultation · Art.37 Benennung eines Datenschutzbeauftragten · Art.38 Stellung des Datenschutzbeauftragten · Art.39 Aufgaben des Datenschutzbeauftragten

Betriebliche ProzesseArt.12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Betroffenenrechte · Art.13 Informationspflicht bei Erhebung von Daten bei der betroffenen Person · Art.14 Informationspflicht, wenn die Daten nicht bei der betroffenen Person erhoben wurden · Art.15 Auskunftsrecht der betroffenen Person · Art.16 Recht auf Berichtigung · Art.17 Recht auf Löschung („Recht auf Vergessenwerden“) · Art.18 Recht auf Einschränkung der Verarbeitung · Art.19 Mitteilungspflicht bei Berichtigung, Löschung oder Einschränkung der Verarbeitung · Art.20 Recht auf Datenübertragbarkeit · Art.21 Widerspruchsrecht · Art.22 Automatisierte Entscheidungen im Einzelfall einschließlich Profiling

Verträge und LieferantenArt.28 Auftragsverarbeiter

Regulatorische VerfahrenArt.33 Meldung von Datenpannen an die Aufsichtsbehörde · Art.34 Benachrichtigung der betroffenen Person bei Datenpannen · Art.44 Allgemeine Grundsätze der Datenübermittlung · Art.45 Übermittlung auf Grundlage eines Angemessenheitsbeschlusses · Art.46 Übermittlung vorbehaltlich geeigneter Garantien · Art.47 Verbindliche interne Datenschutzvorschriften · Art.48 Nach Unionsrecht nicht zulässige Übermittlung oder Offenlegung · Art.49 Ausnahmen für bestimmte Fälle

Für 1 davon liefert Toevan unterstützende Nachweise.

Organisatorische RichtlinienArt.5 Governance und Organisation · Art.6 IKT-Risikomanagementrahmen · Art.16 Vereinfachter IKT-Risikomanagementrahmen · Art.24 Allgemeine Anforderungen an Tests der digitalen operationalen Resilienz · Art.28 Allgemeine Grundsätze · Art.29 Vorabbewertung des IKT-Konzentrationsrisikos auf Unternehmensebene

Betriebliche ProzesseArt.11 Reaktion und Wiederherstellung · Art.13 Lernen und Weiterentwicklung · Art.14 Kommunikation · Art.17 Prozess für das Management IKT-bezogener Vorfälle · Art.18 Klassifizierung IKT-bezogener Vorfälle und Cyberbedrohungen

Verträge und LieferantenArt.30 Wesentliche Vertragsbestimmungen

Regulatorische VerfahrenArt.15 Weitere Harmonisierung von Werkzeugen, Methoden, Prozessen und Richtlinien des IKT-Risikomanagements · Art.19 Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen · Art.20 Harmonisierung von Meldeinhalten und Vorlagen · Art.21 Zentralisierung der Meldung schwerwiegender IKT-bezogener Vorfälle · Art.22 Rückmeldung der Aufsicht · Art.23 Operative oder sicherheitsbezogene zahlungsbezogene Vorfälle bei Kreditinstituten, Zahlungsinstituten, Kontoinformationsdiensten und E-Geld-Instituten · Art.45 Vereinbarungen zum Austausch von Informationen über Cyberbedrohungen

Externe PrüfungArt.26 Erweiterte Tests von IKT-Werkzeugen, -Systemen und -Prozessen auf Basis von TLPT · Art.27 Anforderungen an Tester für die Durchführung von TLPT