ISO, NIST, SOC 2, DORA — Controls einmal mappen, überall belegen.

Unterschiedliche Ziele, unterschiedliche Adressaten. ISO 27001 ist ein zertifizierbares internationales ISMS — passend, wenn Kunden, Regulator oder Ausschreibungen ein Zertifikat verlangen. NIST CSF 2.0 ist ein freiwilliges Framework — gut als interne Ordnungssprache und Startpunkt in den USA. SOC 2 ist eine CPA-Attestation gegen die Trust Services Criteria — Pflicht für US-SaaS im Mid-Market und höher. Reife Programme betreiben oft ISO + SOC 2 parallel (Überschneidung ~80 %) und nutzen NIST CSF als interne Ordnungssprache.

Mehrere parallel — so machen es die meisten regulierten Unternehmen. Trick: jede Control-Implementierung auf jede Framework-Referenz mappen, die sie erfüllt, statt dasselbe Control dreimal umzusetzen. Die Lojycal-Control-Library ist genau darauf gebaut: MFA-überall einmal anlegen — erfüllt gleichzeitig ISO A.5.17 + A.8.5, NIST CSF PR.AA-03, NIST 800-53 IA-2, SOC 2 CC6.1, PCI DSS 8.4, DORA Art. 9, NIS2 Art. 21.

Praktisch ~80 % nach Control-Zahl. ISO 27001:2022 Annex A hat 93 Controls; die SOC 2 TSC ca. 64 Common Criteria plus optionale Kategorien. Die meisten lassen sich 1:1 oder 1:n mappen. Authentifizierung, Change Management, Schwachstellenmanagement, Incident Response, Lieferantenmanagement und logischer Zugriff sind im Kern identisch.

Type I ist Punkt-Zeit: «zu diesem Datum waren die Controls angemessen designt». Type II ist Wirksamkeit über Zeitraum (meist 6–12 Monate): «zwischen diesen Daten haben die Controls kontinuierlich gewirkt und wurden stichprobenartig getestet». Enterprise-Käufer verlangen Type II. Lojycals kontinuierlicher Evidenz-Stream liefert dem Type-II-Prüfer eine Stichprobenpopulation — statt jedem Quartal manuell zu rekonstruieren.

Teilweise. ISO 27001 + ISO 22301 + ISO 27036 decken einen Großteil der DORA-Art. 5–14-Fläche zum ICT-Risikomanagement ab, aber DORA verlangt zusätzlich explizite Major-Incident-Klassifizierung und -Meldung, Threat-Led-Penetration-Testing für signifikante Einrichtungen und ein strukturiertes ICT-Drittparteien-Register, das ISO nicht vorschreibt. Lojycals DORA-Workspace übernimmt ISO-Evidenz im Überlapp und legt DORA-spezifische Artefakte oben drauf.

Die KI-VO sitzt auf der DSGVO (sobald ein Modell personenbezogene Daten verarbeitet) und ergänzt ISO 42001 (AI-Management-System). Für Hochrisiko-KI braucht es ISO-mäßige Risiko- und Qualitäts-Records, DSGVO-Daten-Governance und -DSFA-Evidenz und die KI-VO-Risikoklassen, Tech-Doku, Post-Market-Monitoring und Vorfallmeldung. Lojycal verknüpft jedes KI-System mit seinem Verarbeitungsverzeichnis und seinem ISO-Control-Set, damit dieselbe Daten-Governance-Arbeit für alle drei zählt.

Die große Änderung ist die neue Govern-Funktion: eine sechste Säule für organisatorischen Kontext, Risikomanagement-Strategie, Rollen, Policy, Aufsicht und Lieferketten-Risiko. CSF 2.0 erweitert die Zielgruppe über kritische Infrastruktur hinaus und liefert explizite Profile/Tiers-Guidance. Lojycals CSF-Sicht steht standardmäßig auf 2.0 und stellt die Govern-Outcomes neben die bestehenden fünf Funktionen.

Ja. Trust Center → Evidence Pack bündelt die gewählten Controls, die stützenden WORM-Audit-Log-Einträge, die signierten Konfigurations-Snapshots und die Vorfälle des Zeitraums in ein JSON+CSV+PDF-Bündel mit abgesetzter HMAC-Signatur je Organisation. Der Auditor verifiziert unabhängig — kein geteilter Screenshot-Ordner, keine «schick uns bis Freitag eine CSV»-Mail.