# MRIS – Mythos-resistente Informationssicherheit, maschinenlesbare Fassung
# Quelle: MRIS v1.8 (Anhang A, C, G) und Implementation Guide v1.4 (Aufwandsklassen)
meta:
  framework: MRIS
  version: "1.8"
  guide_version: "1.4"
  date: 2026-07
  language: de
  author: "Richard Peddi"
  licence: "CC BY-NC 4.0"
  licence_url: "https://creativecommons.org/licenses/by-nc/4.0/"
  categories: {S: Standfest, T: "Teilweise degradiert", R: "Reine Reibung", N: "Nicht betroffen"}
  effort_classes: {S: "<= ca. 10 PT", M: "ca. 10-40 PT", L: "> 40 PT / Plattform-/Serviceinvestition"}

controls:
  - id: A.5.1
    title: "Informationssicherheitsrichtlinien"
    category: N
    mhc: []
  - id: A.5.2
    title: "Informationssicherheitsrollen und -verantwortlichkeiten"
    category: N
    mhc: []
  - id: A.5.3
    title: "Aufgabentrennung"
    category: T
    mhc: [MHC-05]
  - id: A.5.4
    title: "Verantwortlichkeiten der Leitung"
    category: N
    mhc: []
  - id: A.5.5
    title: "Kontakt mit Behörden"
    category: T
    mhc: [MHC-11]
  - id: A.5.6
    title: "Kontakt mit speziellen Interessengruppen"
    category: N
    mhc: []
  - id: A.5.7
    title: "Threat Intelligence"
    category: T
    mhc: [MHC-05]
  - id: A.5.8
    title: "Informationssicherheit im Projektmanagement"
    category: N
    mhc: []
  - id: A.5.9
    title: "Inventar von Informationen und zugehörigen Werten"
    category: S
    mhc: [MHC-13]
  - id: A.5.10
    title: "Akzeptable Nutzung von Informationen"
    category: N
    mhc: []
  - id: A.5.11
    title: "Rückgabe von Werten"
    category: N
    mhc: []
  - id: A.5.12
    title: "Klassifizierung von Informationen"
    category: S
    mhc: []
  - id: A.5.13
    title: "Kennzeichnung von Informationen"
    category: N
    mhc: []
  - id: A.5.14
    title: "Informationsübertragung"
    category: T
    mhc: [MHC-05]
  - id: A.5.15
    title: "Zugriffskontrolle"
    category: T
    mhc: [MHC-04, MHC-05]
  - id: A.5.16
    title: "Identitätsmanagement"
    category: S
    mhc: [MHC-04, MHC-13]
  - id: A.5.17
    title: "Authentisierungsinformation"
    category: T
    mhc: [MHC-03]
  - id: A.5.18
    title: "Zugangsrechte"
    category: T
    mhc: [MHC-10]
  - id: A.5.19
    title: "Informationssicherheit in Lieferantenbeziehungen"
    category: T
    mhc: [MHC-02]
  - id: A.5.20
    title: "Adressierung in Lieferantenvereinbarungen"
    category: T
    mhc: [MHC-02]
  - id: A.5.21
    title: "Management der ICT-Lieferkette"
    category: T
    mhc: [MHC-02]
  - id: A.5.22
    title: "Überwachung Lieferantendienstleistungen"
    category: T
    mhc: [MHC-02]
  - id: A.5.23
    title: "Cloud-Dienste"
    category: T
    mhc: [MHC-06, MHC-07]
  - id: A.5.24
    title: "Planung IR-Management"
    category: T
    mhc: [MHC-11]
  - id: A.5.25
    title: "Beurteilung und Entscheidung zu Ereignissen"
    category: R
    mhc: [MHC-11]
  - id: A.5.26
    title: "Reaktion auf Vorfälle"
    category: T
    mhc: [MHC-11]
  - id: A.5.27
    title: "Lernen aus Vorfällen"
    category: S
    mhc: []
  - id: A.5.28
    title: "Sammlung von Beweismaterial"
    category: S
    mhc: []
  - id: A.5.29
    title: "Informationssicherheit während einer Störung"
    category: T
    mhc: [MHC-08]
  - id: A.5.30
    title: "ICT-Bereitschaft für BCM"
    category: S
    mhc: [MHC-08]
  - id: A.5.31
    title: "Identifikation rechtlicher Anforderungen"
    category: N
    mhc: []
  - id: A.5.32
    title: "Rechte an geistigem Eigentum"
    category: N
    mhc: []
  - id: A.5.33
    title: "Schutz von Aufzeichnungen"
    category: T
    mhc: [MHC-08]
  - id: A.5.34
    title: "Datenschutz und PII"
    category: T
    mhc: []
  - id: A.5.35
    title: "Unabhängige Überprüfung"
    category: T
    mhc: [MHC-10, MHC-12]
  - id: A.5.36
    title: "Einhaltung von Richtlinien"
    category: R
    mhc: [MHC-10]
  - id: A.5.37
    title: "Dokumentierte Betriebsprozesse"
    category: N
    mhc: []
  - id: A.6.1
    title: "Überprüfung (Screening)"
    category: N
    mhc: []
  - id: A.6.2
    title: "Beschäftigungsbedingungen"
    category: N
    mhc: []
  - id: A.6.3
    title: "Bewusstsein, Aus- und Weiterbildung"
    category: T
    mhc: []
  - id: A.6.4
    title: "Disziplinarverfahren"
    category: N
    mhc: []
  - id: A.6.5
    title: "Verantwortlichkeiten nach Beendigung"
    category: S
    mhc: []
  - id: A.6.6
    title: "Vertraulichkeitsvereinbarungen"
    category: N
    mhc: []
  - id: A.6.7
    title: "Remote-Arbeit"
    category: T
    mhc: [MHC-03, MHC-04]
  - id: A.6.8
    title: "Meldung von Sicherheitsereignissen"
    category: T
    mhc: []
  - id: A.7.1
    title: "Physische Sicherheitsperimeter"
    category: S
    mhc: []
  - id: A.7.2
    title: "Physische Zutrittskontrolle"
    category: S
    mhc: []
  - id: A.7.3
    title: "Sicherung Büros und Einrichtungen"
    category: S
    mhc: []
  - id: A.7.4
    title: "Physische Sicherheitsüberwachung"
    category: S
    mhc: []
  - id: A.7.5
    title: "Schutz vor physischen und Umwelt-Bedrohungen"
    category: N
    mhc: []
  - id: A.7.6
    title: "Arbeiten in Sicherheitsbereichen"
    category: S
    mhc: []
  - id: A.7.7
    title: "Clear Desk und Screen Lock"
    category: N
    mhc: []
  - id: A.7.8
    title: "Aufstellung und Schutz von Geräten"
    category: N
    mhc: []
  - id: A.7.9
    title: "Sicherheit von Werten außerhalb der Räumlichkeiten"
    category: T
    mhc: []
  - id: A.7.10
    title: "Speichermedien"
    category: S
    mhc: []
  - id: A.7.11
    title: "Versorgungseinrichtungen"
    category: N
    mhc: []
  - id: A.7.12
    title: "Verkabelungssicherheit"
    category: N
    mhc: []
  - id: A.7.13
    title: "Wartung von Geräten"
    category: N
    mhc: []
  - id: A.7.14
    title: "Sichere Entsorgung oder Wiederverwendung"
    category: S
    mhc: []
  - id: A.8.1
    title: "Benutzer-Endpunktgeräte"
    category: T
    mhc: [MHC-03, MHC-05]
  - id: A.8.2
    title: "Privilegierte Zugriffsrechte"
    category: S
    mhc: [MHC-04]
  - id: A.8.3
    title: "Einschränkung des Informationszugangs"
    category: T
    mhc: [MHC-05]
  - id: A.8.4
    title: "Zugang zu Quellcode"
    category: T
    mhc: [MHC-02, MHC-05]
  - id: A.8.5
    title: "Sichere Authentisierung"
    category: T
    mhc: [MHC-03]
  - id: A.8.6
    title: "Kapazitätsmanagement"
    category: N
    mhc: []
  - id: A.8.7
    title: "Schutz vor Malware"
    category: T
    mhc: [MHC-05]
  - id: A.8.8
    title: "Verwaltung technischer Schwachstellen"
    category: R
    mhc: [MHC-09]
  - id: A.8.9
    title: "Konfigurationsmanagement"
    category: S
    mhc: [MHC-10]
  - id: A.8.10
    title: "Informationslöschung"
    category: S
    mhc: []
  - id: A.8.11
    title: "Datenmaskierung"
    category: S
    mhc: []
  - id: A.8.12
    title: "Verhinderung von Datenabfluss"
    category: T
    mhc: [MHC-05]
  - id: A.8.13
    title: "Informationssicherung (Backup)"
    category: S
    mhc: [MHC-08]
  - id: A.8.14
    title: "Redundanz"
    category: S
    mhc: [MHC-08]
  - id: A.8.15
    title: "Protokollierung (Logging)"
    category: S
    mhc: [MHC-05]
  - id: A.8.16
    title: "Überwachungsaktivitäten"
    category: T
    mhc: [MHC-05]
  - id: A.8.17
    title: "Uhrenzeit-Synchronisation"
    category: S
    mhc: []
  - id: A.8.18
    title: "Privilegierte Hilfsprogramme"
    category: S
    mhc: []
  - id: A.8.19
    title: "Software-Installation"
    category: S
    mhc: []
  - id: A.8.20
    title: "Netzwerksicherheit"
    category: T
    mhc: [MHC-04]
  - id: A.8.21
    title: "Sicherheit von Netzwerkdiensten"
    category: T
    mhc: [MHC-04]
  - id: A.8.22
    title: "Trennung in Netzwerken"
    category: T
    mhc: [MHC-04, MHC-07]
  - id: A.8.23
    title: "Webfilterung"
    category: R
    mhc: [MHC-03]
  - id: A.8.24
    title: "Verwendung von Kryptographie"
    category: S
    mhc: [MHC-01]
  - id: A.8.25
    title: "Sicherer Entwicklungslebenszyklus"
    category: T
    mhc: [MHC-09]
  - id: A.8.26
    title: "Sicherheitsanforderungen für Anwendungen"
    category: T
    mhc: [MHC-09]
  - id: A.8.27
    title: "Prinzipien der sicheren Systemarchitektur"
    category: S
    mhc: [MHC-13]
  - id: A.8.28
    title: "Sicheres Programmieren"
    category: T
    mhc: [MHC-09]
  - id: A.8.29
    title: "Sicherheitsprüfung in Entwicklung und Abnahme"
    category: S
    mhc: [MHC-09, MHC-12]
  - id: A.8.30
    title: "Ausgelagerte Entwicklung"
    category: T
    mhc: [MHC-02]
  - id: A.8.31
    title: "Trennung von Umgebungen"
    category: S
    mhc: [MHC-06]
  - id: A.8.32
    title: "Änderungsmanagement"
    category: T
    mhc: [MHC-09]
  - id: A.8.33
    title: "Testinformationen"
    category: S
    mhc: []
  - id: A.8.34
    title: "Schutz während Audittests"
    category: N
    mhc: []

mhc:
  - id: MHC-01
    title: "Post-Quantum-Strategie und kryptografisches Inventar"
    framework_basis: "C5:2026 CRY-01.01AC"
    iso_controls: [A.8.24]
    kpis: ["Kryptografisches-Inventar-Abdeckung"]
    effort: {initial: S, defined: M, managed: M}
  - id: MHC-02
    title: "SBOM und Build-Provenance"
    framework_basis: "CRA, C5:2026 DEV-13, SLSA"
    iso_controls: [A.5.19, A.5.20, A.5.21, A.5.22, A.8.4, A.8.30]
    kpis: ["SBOM-Coverage"]
    effort: {initial: S, defined: M, managed: L}
  - id: MHC-03
    title: "Phishing-resistente MFA"
    framework_basis: "NIST 800-63B, FIDO2"
    iso_controls: [A.5.17, A.6.7, A.8.1, A.8.5, A.8.23]
    kpis: ["Share of Phishing-resistant MFA"]
    effort: {initial: S, defined: M, managed: M}
  - id: MHC-04
    title: "Workload-Identität und Zero Trust"
    framework_basis: "NIST 800-207, SPIFFE"
    iso_controls: [A.5.15, A.5.16, A.6.7, A.8.2, A.8.20, A.8.21, A.8.22]
    kpis: []
    effort: {initial: M, defined: L, managed: L}
  - id: MHC-05
    title: "Verhaltensbasierte Detection"
    framework_basis: "MITRE ATT&CK, C5 OPS-13"
    iso_controls: [A.5.3, A.5.7, A.5.14, A.5.15, A.8.1, A.8.3, A.8.4, A.8.7, A.8.12, A.8.15, A.8.16]
    kpis: ["Mean Time to Containment (MTTC)"]
    effort: {initial: M, defined: L, managed: L}
  - id: MHC-06
    title: "Container und Confidential Computing"
    framework_basis: "C5:2026 OPS-32 bis OPS-35"
    iso_controls: [A.5.23, A.8.31]
    kpis: ["Container-Policy-Konformität"]
    effort: {initial: S, defined: M, managed: L}
  - id: MHC-07
    title: "Multi-Tenancy-Isolation"
    framework_basis: "C5:2026 OPS-30/31"
    iso_controls: [A.5.23, A.8.22]
    kpis: []
    effort: {initial: M, defined: L, managed: L}
  - id: MHC-08
    title: "Unveränderliche Backups"
    framework_basis: "C5:2026 OPS-06 bis OPS-09"
    iso_controls: [A.5.29, A.5.30, A.5.33, A.8.13, A.8.14]
    kpis: ["Restore-Test-Erfolgsquote"]
    effort: {initial: S, defined: M, managed: M}
  - id: MHC-09
    title: "AI-gestütztes Security-Testing"
    framework_basis: "C5 OPS-25.01AS, CRA, SSDF"
    iso_controls: [A.8.8, A.8.25, A.8.26, A.8.28, A.8.29, A.8.32]
    kpis: ["Patch-Latency für KEV-Listings"]
    effort: {initial: S, defined: M, managed: L}
  - id: MHC-10
    title: "Continuous Control Monitoring"
    framework_basis: "C5 COM-03/04, NIS2-DVO 2.2"
    iso_controls: [A.5.18, A.5.35, A.5.36, A.8.9]
    kpis: ["Continuous-Monitoring-Coverage"]
    effort: {initial: S, defined: M, managed: M}
  - id: MHC-11
    title: "SOAR und Tier-1-Automation"
    framework_basis: "C5 SIM-02/03, NIS2-DVO 3.5"
    iso_controls: [A.5.5, A.5.24, A.5.25, A.5.26]
    kpis: ["Mean Time to Containment (MTTC)"]
    effort: {initial: M, defined: L, managed: L}
  - id: MHC-12
    title: "Threat-Led Penetration Testing"
    framework_basis: "DORA Art. 26/27, TIBER-EU"
    iso_controls: [A.5.35, A.8.29]
    kpis: ["TLPT-Findings-Closure-Rate"]
    effort: {initial: M, defined: M, managed: L}
  - id: MHC-13
    title: "AI-Agent-Governance und Harness-Sicherheit"
    framework_basis: "OWASP LLM Top 10, ASI01–ASI10, MITRE ATLAS, ISO 42001 Annex A"
    iso_controls: [A.5.9, A.5.16, A.8.27]
    kpis: ["Agent-Inventar-Abdeckung"]
    effort: {initial: S, defined: M, managed: L}
