MRIS bewertet die 93 Controls der ISO/IEC 27001:2022 Annex A (ISO/IEC 27002:2022) gegen KI-beschleunigte Angriffe – und benennt für jede Lücke konkrete kompensierende Maßnahmen.
Mythos (Anthropic) war das erste KI-Frontier-Modell, dessen Fähigkeiten in Angreiferhand die Sicherheitslage grundlegend verändert haben. MRIS nutzt es als Referenz-Bedrohungsmodell: Jedes Control wird daran gemessen, ob es einem Angreifer mit Mythos-Fähigkeiten standhält.
Die Zeit zwischen bekannter Schwachstelle und Ausnutzung schrumpft gegen null.
Vom ersten Zugriff bis zum Schaden vergehen Minuten, nicht Tage.
Angriffe laufen parallel und verteilt, um die Reaktion zu überlasten.
Angriffsfähigkeit hängt nicht mehr an der Ressourcenstärke des Akteurs.
Diese vier Verschiebungen verdichten sich in der Lückenanalyse des Werks (Kap. 8) zu sieben systematischen Lücken der ISO/IEC 27002:2022 – Anforderungen, die andere Rahmenwerke bereits verbindlich kennen und die unter Mythos-Bedingungen harte Schutzwirkung entfalten:
Dreizehn etablierte Security-Werke, eine Frage: Welchen Beitrag leistet ein Werk für ein ISMS unter der aktuellen Gen-AI-Bedrohungslage? Die X-Achse misst die Mythos-/Gen-AI-Abdeckung, die Y-Achse die Umsetzungsnähe und Auditierbarkeit.
| Werk | Kategorie | Gen-AI-Abdeckung (X) | Umsetzungsnähe (Y) |
|---|---|---|---|
| ISO/IEC 27002 + MRIS (gehärtetes Framework) | Kombination | 9,8 | 9,0 |
| MRIS for ISO 27001 (v1.8)* | Härtungs-Layer | 9,8 | 7,9 |
| Mythos-Ready (CSA/SANS/OWASP) | Community-Werk | 8,8 | 4,6 |
| OWASP Agentic Top 10 (ASI) | Community-Werk | 7,8 | 3,8 |
| MITRE ATT&CK v19 / ATLAS | Wissensbasis | 6,8 | 6,4 |
| BSI C5:2026 | Norm / Standard | 5,4 | 9,0 |
| NIST AI RMF + GenAI-Profil | Praxis-Framework | 5,0 | 5,8 |
| ISO/IEC 42001:2023 | Norm / Standard | 4,6 | 6,2 |
| CISA Zero Trust MM v2.0 | Praxis-Framework | 4,0 | 6,8 |
| NIST CSF 2.0 | Praxis-Framework | 3,6 | 7,0 |
| CSA Cloud Controls Matrix v4 | Norm / Standard | 3,5 | 8,6 |
| CIS Controls v8.1 | Praxis-Framework | 3,2 | 7,6 |
| BSI IT-Grundschutz | Norm / Standard | 3,0 | 8,4 |
| ISO/IEC 27002:2022 | Norm / Standard | 2,2 | 9,0 |
* Einzelposition von MRIS gemäß Abbildung des Werks; Tabelle 1 des Werks führt MRIS innerhalb der Kombination.
Lesart in drei Ebenen: (1) ISO/IEC 27002 allein ist maximal zertifizierungsfähig, als Werk von 2022 jedoch ohne Antwort auf die Gen-AI-Bedrohungslage. (2) MRIS allein erreicht die höchste Gen-AI-Abdeckung des Feldes (9,8), ist aber bewusst kein eigenständiges ISMS. (3) Die Kombination – der goldene Stern bei 9,8 / 9,0 – ist die entscheidungsrelevante Einheit für die Praxis: höchste Gen-AI-Abdeckung und höchste Ausführungsstärke. Zertifiziert wird weiterhin das ISMS nach ISO/IEC 27001, mit einer um die 13 MHC erweiterten SoA.
Qualitatives Experten-Scoring (Skala 0–10, Unsicherheitsband ±0,3 auf X, ±0,4 auf Y, als Fehlerbalken am MRIS-Punkt dargestellt). Methodik, Scoring-Begründungen und Rubrik sind im Werk vollständig offengelegt. Bewertungsstand: Juli 2026.
Jedes der 93 Controls aus ISO/IEC 27001:2022 Annex A wird gegen die KI-Bedrohungslage bewertet. Das Ergebnis fließt direkt in Ihre Risikobewertung nach ISO/IEC 27005 ein.
Wählen Sie ein Control der ISO/IEC 27002:2022. MRIS zeigt die flankierenden Mythos-Härtungs-Controls (MHC), mit denen Sie die Lücke schließen.
Zuordnungen gemäß MRIS, Anhang A/C. Flankierte Controls gemäß v1.8 – einschließlich proaktiv flankierter standfester Controls.
Anzahl der Controls, die jedes MHC flankiert. Priorisierung beginnt bei der größten Wirkungsbreite.
Neu in v1.8 · Juli 2026 Zuordnungen erweitert: A.5.22 (Überwachung von Lieferantendienstleistungen) und A.8.15 (Protokollierung) neu im MHC-Mapping · proaktive Flankierung standfester Controls eingeführt (A.5.9 → MHC-13) · Marktvergleich mit Vier-Felder-Positionierung ergänzt.
Vollständige Bewertung der 93 Controls aus ISO/IEC 27001:2022 Annex A, mit Lückenanalyse und MHC-Katalog.
HerunterladenPriorisierung mit Threat Priority Score, Roadmap und RACI zu den 13 MHC.
HerunterladenMRIS und der Implementation Guide sind Arbeitshilfen zur Wirksamkeitsbewertung bestehender Sicherheitsmaßnahmen. Sie setzen ein etabliertes ISMS voraus und ersetzen es nicht. Sie stellen keine Rechts-, Compliance- oder Zertifizierungsberatung dar, erheben keinen Anspruch auf Vollständigkeit und begründen keine Gewährleistung. Die Anwendung erfolgt in eigener Verantwortung. Genannte Normen, Frameworks und Marken gehören ihren jeweiligen Inhabern.