Regulatorik-Mapping · MRIS 2.0 · Implementation Guides · MRIS.bd
Härtung gegen KI-Angriffe und Regulierung: NIS2, DORA, CRA und KI-Verordnung
Welche Mythos-Härtungs-Controls Anforderungen aus NIS2 und der NIS2-Durchführungsverordnung, DORA, dem Cyber Resilience Act und der KI-Verordnung berühren, und wie zwölf Kernthemen der Informationssicherheit in ISO 27002, C5:2026, NIST CSF, DORA, CRA und NIS2 verankert sind.
Härtung als Rechtspflicht
Die regulatorische Einbettung sollte transparent gemacht werden. Mythos-Härtung ist in erheblichen Teilen eine Rechtspflicht, nicht nur Best Practice – abhängig jedoch von Sektor und Adressatenkreis. Für CRA-pflichtige Software-Hersteller, DORA-regulierte Finanzinstitute und NIS2-DVO-Adressaten (bestimmte Digitalanbieter, siehe Kap. 3.3) gilt sie unmittelbar; für andere NIS2-Entities ist die jeweilige nationale Umsetzung maßgeblich.
Die Übernahme erzeugt keine Compliance-Pflicht, weil die MHC keine normative Basis im ISO-27001-Sinne haben. Sie dokumentiert die bewusste Auseinandersetzung mit der Mythos-Bedrohungslage und gibt internen und externen Prüfern eine nachvollziehbare Grundlage. Für Organisationen, die einer Regulierung unterliegen, die einen MHC-Inhalt bereits verlangt, deckt sich die Übernahme mit einer bestehenden Pflicht. Das gilt allerdings nur im jeweiligen Anwendungsbereich: MHC-12 entspricht den TLPT-Anforderungen für diejenigen DORA-regulierten Finanzunternehmen, die gemäß Art. 26 Abs. 8 für TLPT identifiziert wurden – nicht für alle DORA-Adressaten. MHC-11 operationalisiert die Anforderungen aus NIS2 und der Durchführungsverordnung an Erkennung, Reaktion und Wiederherstellung; ein SOAR-System oder automatisiertes Tier-1-Containment wird dort nicht pauschal vorgeschrieben.
Regulatorische Bezüge je MHC
Bezüge aus den Implementation Guides (Abschnitt „Berührte Standards“, ohne Erfüllungsanspruch). MHC ohne Bezug zu NIS2, DORA, CRA oder KI-Verordnung sind nicht aufgeführt; ihre Grundlage liegt etwa in BSI C5:2026, NIST oder OWASP.
| MHC | NIS2 / NIS2-DVO | DORA | CRA | KI-VO |
|---|---|---|---|---|
| MHC-02 SBOM und Build-Provenance | NIS2-DVO Nr. 5 | DORA Art. 28 | CRA Annex I (SBOM-Pflicht für Hersteller von Produkten mit digitalen Elementen | – |
| MHC-03 Phishing-resistente MFA | NIS2-DVO Nr. 11.6 und Nr. 11.7, für privilegierte Konten zusätzlich Nr. 11.3.2 Buchst. a | – | – | – |
| MHC-05 Verhaltensbasierte Detection | NIS2-DVO Nr. 3.2 | DORA Art. 10 | – | – |
| MHC-08 Unveränderliche Backups | NIS2-DVO Nr. 4.1 | DORA Art. 12 | – | – |
| MHC-09 AI-gestütztes Security-Testing | – | – | CRA Annex I | – |
| MHC-10 Continuous Control Monitoring | NIS2-DVO Nr. 2.2 | DORA Art. 6(5) | – | – |
| MHC-11 SOAR und Tier-1-Automation | NIS2-DVO Nr. 3.5 | DORA Art. 17 | – | – |
| MHC-12 Threat-Led Penetration Testing | NIS2-DVO Nr. 3.5.5 | DORA Art. 26/27 mit TLPT-RTS | – | – |
| MHC-13 AI-Agent-Governance | – | – | – | Art. 3, 6, 12, 13, 14, 15, 19, 25, 26, 50 (über MRIS.bd, siehe unten) |
| MHC-14 Unabhängige Verifikation von Lieferantennachweisen | – | DORA Art. 30(3) | – | – |
Die Nummern der NIS2-DVO stammen aus der Durchführungsverordnung (EU) 2024/2690, die nur für bestimmte Digitalanbieter gilt. Für andere NIS2-Adressaten ist die nationale Umsetzung maßgeblich.
KI-Verordnung: KI-Agenten im IT-Grundschutz
Die Bausteinfamilie MRIS.bd ordnet einzelnen Anforderungen informativ Vorschriften der Verordnung (EU) 2024/1689 (KI-Verordnung) in der Fassung der Verordnung (EU) 2026/1744 zu. Die Zuordnung ist keine Anforderung; maßgeblich ist die KI-Verordnung selbst.
| MRIS.bd | Anforderung | MHC | KI-VO (Rolle) – Anwendungsfall |
|---|---|---|---|
| MRIS.bd.1.A6 | Geregelter Einsatz von KI-Agenten | MHC-13 | Art. 3 Nr. 3 i. V. m. Nr. 11 (Anbieter); Art. 3 Nr. 4 (Betreiber); Art. 6, Art. 50 (beide) – alle KI-Systeme. Aus Rolle und Einstufung folgen Rechtspflichten, die keine Anforderungen dieser Bausteinfamilie sind, etwa die technische Dokumentation eines Hochrisiko-KI-Systems durch den Anbieter (Art. 11 i. V. m. Anhang IV); Umsetzung über ORP.5. Art. 25 Abs. 1 (Betreiber) – Hochrisiko-KI-System Art. 26 Abs. 2 (Betreiber) – Hochrisiko-KI-System |
| MRIS.bd.2.4.A2 | Protokollierung der Aktionen des KI-Agenten | MHC-13 | Art. 12 Abs. 1 (Anbieter) – Hochrisiko-KI-System Art. 19 Abs. 1 (Anbieter); Art. 26 Abs. 6 (Betreiber) – Hochrisiko-KI-System. Aufbewahrung mindestens sechs Monate |
| MRIS.bd.2.4.A3 | Sicherstellung der menschlichen Kontrolle über den KI-Agenten | MHC-13 | Art. 14 Abs. 4 Buchst. e (Anbieter); Art. 26 Abs. 2 (Betreiber) – Hochrisiko-KI-System Art. 14 Abs. 4 Buchst. d (Anbieter); Art. 26 Abs. 2 (Betreiber) – Hochrisiko-KI-System |
| MRIS.bd.2.4.A5 | Prüfung der Agentensteuerung vor der Produktivsetzung | MHC-13 | Art. 15 Abs. 5 (Anbieter) – Hochrisiko-KI-System. Wer ein KI-System entwickelt und unter eigenem Namen zum Eigengebrauch in Betrieb nimmt, ist Anbieter (Art. 3 Nr. 3 i. V. m. Nr. 11). Art. 26 Abs. 1 i. V. m. Art. 13 (Betreiber) – Hochrisiko-KI-System Art. 15 Abs. 5 (Anbieter) – Hochrisiko-KI-System |
Framework-Mapping für zwölf Kernthemen
Die folgende Tabelle fasst für zwölf zentrale Themenfelder der Informationssicherheit zusammen, wie die primären Frameworks sie jeweils adressieren. Sie ist Orientierung, nicht vollständiges Mapping.
| Themenfeld | ISO 27002 | C5:2026 | NIST CSF | DORA | CRA | NIS2-DVO |
|---|---|---|---|---|---|---|
| Asset-Management | A.5.9, A.5.12 | AM-02, AM-03, AM-04, AM-09 | ID.AM | Art. 8 | Annex I | Nr. 12 |
| Identität und Zugriff | A.5.15, A.5.16, A.8.2 | IAM-01, IAM-06, IAM-08 | PR.AA | Art. 9 | Annex I | Nr. 11 |
| Kryptografie | A.8.24 | CRY-01 bis CRY-19 | PR.DS | Art. 9(4)(e) | Annex I II | Nr. 9 |
| Logging und Monitoring | A.8.15, A.8.16 | OPS-10 bis OPS-17 | DE.CM | Art. 10 | - | Nr. 3.2 |
| Incident Response | A.5.24, A.5.26 | SIM-01 bis SIM-06 | RS. | Art. 17, 19 | - | Nr. 3.1 bis 3.6 |
| Business Continuity | A.5.29, A.5.30, A.8.13 | BCM-01 bis BCM-04, OPS-06 bis OPS-09 | RC. | Art. 11, 12 | - | Nr. 4 |
| Supply Chain | A.5.19 bis A.5.23 | SSO-01 bis SSO-08, DEV-13 | GV.SC | Art. 28-30 | Annex I II | Nr. 5 |
| Entwicklung | A.8.25 bis A.8.29 | DEV-01 bis DEV-15 | PR.IR | Art. 8(3) | Annex I II | Nr. 6 |
| Physische Sicherheit | A.7.1 bis A.7.14 | PS-01 bis PS-08 | PR.IR | Art. 9(4) | - | Nr. 13 |
| Risikomanagement | A.5.1 bis A.5.8 | OIS-07, OIS-08, OIS-09 | GV.RM, ID.RA | Art. 6, 7 | - | Nr. 2 |
| Compliance | A.5.31 bis A.5.36 | COM-01 bis COM-04 | GV.OC | Art. 6(5) | Art. 13, 14 | Nr. 2.2, 2.3 |
| Cloud-Nutzung | A.5.23 | GC-01 bis GC-06, OPS-30 bis OPS-35 | GV.SC-07 | Art. 28 | - | Nr. 5 |
Leere Zellen (-) bedeuten, dass das Framework für das jeweilige Themenfeld keine eigene spezifische Anforderung formuliert. Die NIST-CSF-Spalte nennt die jeweiligen Kategorien aus CSF 2.0; die konkrete Umsetzung erfolgt über SP 800-53.
Hinweis zum Geltungsbereich der NIS2-DVO: Die in der Spalte „NIS2-DVO" zitierten Nummern entstammen der Durchführungsverordnung (EU) 2024/2690, die laut ihrem Artikel 1 ausschließlich für bestimmte Digitalanbieter gilt (siehe Kap. 3.3). Für andere NIS2-Adressaten sind die Meldefristen aus der NIS2-Richtlinie Art. 23 Abs. 4 in Verbindung mit der jeweiligen nationalen Umsetzung maßgeblich.
Quelle: MRIS for ISO/IEC 27001, Fassung 2.0 (PDF), CC BY-SA 4.0. MRIS Implementation Guide (ISO/IEC 27001), Fassung 2.0 (PDF), CC BY-SA 4.0. MRIS.bd 2.0 (YAML), CC BY-SA 4.0. Kapitelverweise im Text beziehen sich auf die jeweilige PDF-Fassung.