Acht Befundmuster in TISAX® ISA 2027

Analyseeinheit und Vorgehen

Analyseeinheit: Die Kapitel-Zusammenfassungen zählen 26 Controls mit Gesamteinstufung "Teilweise degradiert" und 1 Control mit "Reine Reibung" (27 von 45) — diese Zahl bezieht sich auf die Gesamteinstufung je Control bei normalem Schutzbedarf und bildet mehrere gleichzeitig vorliegende Befund-Ursachen pro Control nicht ab (z. B. 4.1.2: sowohl fehlende Phishing-Resistenz als auch reine Zeitkompression, je nach Schutzbedarfsstufe). 4 weitere Controls (1.2.2, 4.1.1, 5.2.9, 6.1.3) sind bei normalem Schutzbedarf unauffällig, degradieren aber bei hoch/sehr hoch und tauchen in der 27er-Zahl entsprechend nicht auf, obwohl sie einzelne betroffene Anforderungen enthalten. Die Musterbildung arbeitet daher auf Ebene der 74 einzelnen betroffenen Anforderungen (73 Teilweise degradiert + 1 Reine Reibung) über 31 distinkte Controls, nach demselben Extraktionsverfahren aus dem Dokumenttext geparst wie die Prioritäten-Tabelle im Anhang. Dieser Wert wurde bei der Überarbeitung von ursprünglich 71 auf 72 und mit Version 1.1 auf 74 korrigiert: Der frühere Kompakter-Index hatte bei Control 1.4.1 eine der beiden betroffenen Anforderungen (should-Ebene, Bewertungskriterien) nicht erfasst, obwohl Kapitel 1 selbst diese bereits korrekt als Teilweise degradiert auswies; mit Version 1.1 kommen zwei weitere Einzelbefunde aus Control 1.6.3 hinzu, die aus der primärquellenbasierten Neubewertung der dortigen redaktionellen Katalog-Duplikate resultieren (siehe Methodik, Datenqualitäts-Hinweis).

Methodisches Vorgehen: Die acht Cluster wurden induktiv aus den 74 Einzelbefunden gebildet, nicht aus einem vorab festgelegten Kategorienraster abgeleitet. Jeder Einzelbefund wurde zunächst anhand seiner Begründung aus Kapitel 1–7 einzeln betrachtet; erst wiederkehrende Ursachenmuster (z. B. "periodisch statt anlassbezogen") wurden anschließend zu einem benannten Cluster zusammengefasst. Die Clusterzahl acht ist damit ein empirisches Ergebnis dieser konkreten Analyse, keine methodische Vorgabe — ein anderer TISAX®-Modul oder ein anderer Anforderungskatalog könnte zu einer anderen Clusterzahl führen.

Cluster-Übersicht

Summe: 74. Cluster 1 (Periodische Prüfung) ist mit weitem Abstand der größte und deckt vier von sieben Kapiteln ab — die Zeitkompressions-Lücke ist kein Einzelphänomen einzelner Fachbereiche, sondern ein strukturelles Muster über CISO-Funktion, IT-Betrieb, IAM und Einkauf hinweg.

Lückenanalyse gegenüber sechs Vergleichsrahmen

Methodik: Für jeden Cluster wird geprüft, ob NIST CSF 2.0, BSI C5:2026, DORA, CRA, NIS2-Richtlinie/DVO und ISA/IEC 62443-2-1:2024 dieselbe strukturelle Lücke bereits schließen. Das ist ein Vergleich auf Ebene der regulatorischen/normativen Grundhaltung (Reifegrad der Best Practice), keine Aussage darüber, ob ein Unternehmen diesen sechs Rahmenwerken formal unterliegt — DORA adressiert Finanzunternehmen und ihre kritischen IKT-Dienstleister, CRA adressiert Hersteller von Produkten mit digitalen Elementen, NIS2 wesentliche/wichtige Einrichtungen bestimmter Sektoren. Die Einordnung basiert auf einer Web-Recherche vom Juli 2026 zu den öffentlich verfügbaren Texten und Sekundärquellen; sie ersetzt keine klauselgenaue Zertifizierungsprüfung.

Legende: ✓ = adressiert die Lücke explizit und mit verbindlicher Frist/Methode · ~ = mildert die Lücke, schließt sie aber nicht vollständig · ✗ = teilt dieselbe strukturelle Lücke · n/a = außerhalb des sachlichen Geltungsbereichs des Rahmenwerks

¹ Für diese Zellen konnte in der Recherche keine hinreichend konkrete, zitierfähige Einzelvorgabe verifiziert werden; Einstufung ist vorsichtig/tendenziell, nicht klauselscharf.

² Gilt nur für die Schwachstellen-Fristen-Hälfte des Clusters: C5:2026 OPS-25.01AC verlangt einen definierten, überwachten, CVSS-gebundenen Fristenrahmen für die Behebung von Schwachstellen, verbindlich ab Prüfzeiträumen ab 1. Juni 2027 — diese strukturelle Anforderung ist über mehrere Sekundärquellen bestätigt. Die konkreten CVSS-gestaffelten Beispiel-Fristwerte im Kriterienkatalog selbst konnten dagegen nicht direkt am BSI-Primärdokument verifiziert werden (der PDF-Volltext war technisch nicht extrahierbar); eine geprüfte Sekundärquelle nennt hierzu abweichende Werte. Sie werden deshalb hier bewusst nicht beziffert. Die Ransomware-/Backup-Unveränderlichkeits-Hälfte (Control 5.2.8) bleibt auch unter dieser vorsichtigeren Einordnung offen: Die Kriterien OPS-06 bis OPS-09 verlangen Verschlüsselung, RTO/RPO-Ausrichtung, Monitoring und regelmäßige Restore-Tests, aber an keiner Stelle Unveränderlichkeit/WORM — der Begriff "immutable" kommt im gesamten Kriterienkatalog nur im Kontext von Container-Images vor (OPS-26), nicht bei Backups.

Die wichtigsten Einzelbefunde:

Cluster 2 (Patch-Gap/Ransomware) ist beim Schwachstellen-Fristen-Aspekt der am klarsten geschlossene Fall, bei der Backup-Unveränderlichkeit dagegen nicht: BSI C5:2026 (verbindlich ab Prüfzeiträumen ab 1. Juni 2027) verlangt in Kriterium OPS-25.01AC einen definierten und überwachten, CVSS-gebundenen Fristenrahmen für die Behebung von Schwachstellen (siehe Fußnote 2 zur Quellenlage der genauen Fristwerte). Das ist exakt die Präzisierung, die den vagen TISAX®-Formulierungen fehlt — "adequate patch management" ohne Geschwindigkeits-SLA (5.2.5, should) und "appropriate timeframe" (5.2.6, must) —, und bestätigt unabhängig, dass der hier diagnostizierte Patch-Gap-Kollaps kein Sonderfall dieser Analyse ist, sondern von einer deutschen Aufsichtsbehörde bereits 2026 als Regulierungslücke behandelt wurde. Für die Backup-Unveränderlichkeit gilt das nicht: Die C5:2026-Kriterien OPS-06 bis OPS-09 (Data Backup and Recovery) verlangen Verschlüsselung, RTO/RPO-Ausrichtung, Monitoring und mindestens jährliche, bei Verschärfung tägliche Restore-Tests — der Begriff "immutable" taucht im gesamten Kriterienkatalog nur im Kontext von Container-Images auf (OPS-26), nicht bei Backups. Die in Control 5.2.8 diagnostizierte Lücke bleibt insofern auch gegenüber C5:2026 offen. Der CRA verpflichtet Hersteller zusätzlich zu einer 24-Stunden-Meldung aktiv ausgenutzter Schwachstellen an ENISA, mit Folgebericht nach 72 Stunden und Abschlussbericht 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme — bindend ab 11. September 2026. Das betrifft die Offenlegungspflicht für das eigene Produkt, nicht das interne Patch-Management der IT-Umgebung, ist aber ein Präzedenzfall für taktgebundene statt vage formulierte Fristen.

Cluster 3 (Phishing-Resistenz) zeigt eine feinere Nuance: NIS2 Art. 21(2)(j) verlangt als erstes EU-Recht überhaupt namentlich Multi-Faktor- oder kontinuierliche Authentisierung — schließt also die "gar kein zweiter Faktor"-Lücke. Die AITM-Relay-Lücke (Echtzeit-Phishing hebelt OTP/Push aus) bleibt jedoch bestehen, weil weder NIS2 noch die übrigen fünf Rahmenwerke im Kerntext ausdrücklich phishing-resistente Verfahren (FIDO2/WebAuthn) vorschreiben. Diese Präzisierung existiert bislang nur in sekundären technischen Leitfäden (z. B. NIST SP 800-63B, AAL3) — TISAX® ISA 2027 teilt diese Lücke also mit der Mehrheit der Vergleichsrahmen, nicht nur mit sich selbst.

Cluster 4 (Dokumentenfälschung) zeigt eine belastbare Rangfolge unter den Vergleichsrahmen selbst: DORA Art. 30(3) — sektorspezifischer Referenzrahmen für Finanzunternehmen und ihre kritischen IKT-Dienstleister, siehe Methodik oben — verlangt ein uneingeschränktes Prüf- und Zugangsrecht und stellt ausdrücklich klar, dass vorgelegte Zertifizierungen die eigene Prüfung "unterstützen, aber nicht ersetzen". NIS2 Art. 21(2)(d)/(3) i. V. m. NIS2-DVO Nr. 5.1.4 verlangt ebenfalls eine dokumentierte Lieferantenbewertung mit vertraglich verankerten Prüfrechten bzw. Zugang zu Prüfberichten — mit Verhältnismässigkeits-Spielraum ("wo angemessen") statt DORAs uneingeschränktem Anspruch, jedoch ohne dass Standardzertifikate (ISO 27001, SOC 2 Type II, TISAX®-Assessment, CSA STAR) diese Prüfrechte ausdrücklich ersetzen dürften. TISAX® ISA 2027 bleibt mit reiner Selbstauskunft/Attestierung die schwächste der drei Vorgaben. Für den Personalprozess (2.1.1: Deepfake-Identität im Bewerbungsverfahren) findet sich in keinem der sechs Rahmenwerke eine Entsprechung — dieser Teil des Clusters bleibt vollständig TISAX®-originär.

Cluster 7 (Autonome AI-Agenten) ist der einzige Cluster, bei dem alle sechs Vergleichsrahmen dieselbe Lücke wie TISAX® ISA 2027 teilen — und das ist selbst durch aktuelle Recherche belegt, nicht nur angenommen: Weder NIST AI RMF noch ISO/IEC 42001 noch der EU AI Act enthalten bislang eine Referenz auf "Agent"/"agentisch"/autonome AI-Systeme. NIST hat dies selbst erkannt und im Februar 2026 die "AI Agent Standards Initiative" gestartet (937 eingegangene Stellungnahmen auf ein Request for Information); ein "AI Agent Interoperability Profile" ist frühestens für Q4 2026 angekündigt — nach dem Stand dieser Analyse also noch nicht verfügbar. Der hier diagnostizierte Befund (1.3.3, 1.3.4: AI-Assistenten rufen externe Dienste/Pakete eigenständig auf, ohne dass ein Mensch das konkrete Werkzeug je zur Freigabe vorgelegt hat) ist damit keine TISAX®-Eigenheit, sondern eine Lücke an der Front der Regulierung insgesamt. Ein zweiter, engerer NIST-Ansatz befindet sich ebenfalls noch im Entwurfsstadium: Das NIST Cyber AI Profile (NIST IR 8596) veröffentlichte im Dezember 2025 einen ersten Entwurf mit Kommentierungsfrist bis Ende Januar 2026; der Bearbeitungsstand ist laut der NIST-eigenen Projektseite zum Zeitpunkt dieser Analyse "Reviewing Comments" — ein finaler Text liegt nicht vor, und ein von Sekundärquellen behaupteter ausdrücklicher Agentenbezug ließ sich nicht gegen den NIST-Primärtext verifizieren (siehe Teil II, MHC-13, Abschnitt 2). Der MHC-Katalog in Teil II geht an dieser Stelle bewusst über die reine TISAX®-Diagnose hinaus (siehe Abschnitt "Originäre Ergänzungen jenseits von TISAX®" unten).

Cluster 5 (Signaturbasierte Erkennung) und Cluster 6 (Aggregationsresistenz) liessen sich nicht mit vergleichbarer Präzision verifizieren: Die Recherche fand keine hinreichend konkrete, zitierfähige Einzelvorgabe zu verhaltensbasierter/AI-gestützter Malware-Erkennung oder zur expliziten Pflicht, bewusst fragmentierte Angriffsketten zu erkennen, in einem der sechs Rahmenwerke. ISA/IEC 62443-2-1:2024 erwähnt in Sekundärquellen "behavioral analytics" und "continuous monitoring for anomaly detection" als Erweiterung gegenüber der Vorversion, ohne dass sich daraus eine scharfe, zitierfähige Pflicht ableiten ließ. Diese beiden Cluster werden daher vorsichtiger eingestuft (~ statt ✓) als die übrigen.

Einzelbefunde außerhalb der Cluster

8 Anforderungen über 6 Controls ließen sich keinem wiederkehrenden Muster zuordnen: 1.2.2 (Rollentrennung durch AI-Doppelrolle unterlaufen), 1.4.1 (veraltete Eintrittswahrscheinlichkeits-Annahmen in der Risikomethodik — sowohl auf Ebene der Bewertung selbst als auch der zugrunde liegenden Bewertungskriterien, 2 Anforderungen), 1.6.3 hoch (AI-orchestrierte Szenarien in der Krisenplanung nicht vorgesehen, inklusive der redaktionell doppelt geführten zweiten Katalogfassung, 2 Anforderungen), 3.1.4 (PIN/Passwort als Rückfalloption bei fehlender Verschlüsselungspflicht), 5.1.2 must (unspezifische Maßnahmen für Fernzugriff ohne Mindeststandard), 5.3.1 (Re-Identifizierung pseudonymisierter Daten durch AI-gestützte Korrelation). Für Einzelbefunde ohne wiederkehrendes Muster ist eine Sechs-Rahmen-Lückenanalyse nicht aussagekräftig; sie bleiben mit ihrer vollständigen Begründung in Kapitel 1–7 verankert und fließen als eigenständige Einzelmaßnahmen direkt in den MHC-Katalog (Phase 4) ein.

Einordnung für Phase 4

Cluster 8 und die Patch-Fristen-Hälfte von Cluster 2 sind die "leichtesten" Fälle für Phase 4 — die Lösung existiert bereits außerhalb von TISAX® und muss nur übernommen werden; die Backup-Unveränderlichkeits-Hälfte von Cluster 2 erfordert dagegen trotz Prüfung eine eigenständige Formulierung. Cluster 7 ist der wertvollste Einzelbefund dieser Analyse: eine Lücke, die derzeit kein einschlägiges Rahmenwerk schließt, wodurch ein MHC-Beitrag hier tatsächlich neuen Boden beschreibt statt bereits vorhandene Praxis nur zu spiegeln.

Originäre Ergänzungen jenseits von TISAX®

Der MHC-Katalog in Teil II ist mit einer Ausnahme durchgängig aus einem konkreten TISAX®-Anforderungsbefund dieses Dokuments abgeleitet (siehe Methodik, "Was diese Analyse ist — und was nicht"). Bei einem Thema wird diese Grenze bewusst und ausdrücklich überschritten: der Absicherung von AI-Agenten.

Anlass: Cluster 7 zeigt, dass TISAX® ISA 2027 AI-Agenten nur an zwei Stellen berührt (1.3.3, 1.3.4 — nicht geprüfte Werkzeug-/Diensteinbindung) und dass diese Lücke von keinem der sechs Vergleichsrahmen aus Phase 3 geschlossen wird. Ein Abgleich mit der OWASP Top 10 for Agentic Applications (ASI01–ASI10, Stand Juni 2026) — einer eigens für AI-Agenten entwickelten, community-basierten Bedrohungstaxonomie — zeigt, dass der ursprünglich aus Cluster 7 abgeleitete MHC-13 nur eine dieser zehn Bedrohungskategorien vollständig und zwei weitere teilweise abdeckte. Sieben Kategorien blieben unadressiert — nicht weil sie für Unternehmen irrelevant wären, sondern weil TISAX® ISA 2027 sie an keiner Stelle konkret genug anspricht, um daraus einen eigenständigen Befund abzuleiten.

Vorgehen: Teil II erweitert MHC-13 um vier zusätzliche Mindeststandards — (a) Agenten-Identität/NHI-Governance, (b) Grundhärtung gegen Prompt Injection, (c) Kill-Switch, (d) kontinuierliche Neubewertung freigegebener Komponenten — und ergänzt ein neues, eigenständiges MHC-16 (Multi-Agent-Integrität) für Bedrohungen, die eine Architektur mit mehreren kommunizierenden Agenten voraussetzen. Damit deckt der Katalog acht der zehn OWASP-ASI-Kategorien ab (ASI01, ASI02, ASI03, ASI04, ASI05 über MHC-13; ASI06, ASI07, ASI08 über MHC-16). Zwei Kategorien bleiben auch nach dieser Erweiterung unadressiert: ASI09 (Human-Agent Trust Exploitation) und ASI10 (Rogue Agents) — das wird hier bewusst offen benannt, statt stillschweigend als gelöst zu behandeln.

Warum diese Kennzeichnung wichtig ist: Der methodische Wert von MRIS liegt darin, dass jede Einstufung auf einen konkreten, zitierfähigen TISAX®-Anforderungstext zurückgeführt werden kann (siehe Methodik, "Reproduzierbarkeit"). Die hier beschriebenen Ergänzungen erfüllen dieses Kriterium nicht — sie sind fachliches Urteil des Autors auf Basis externer Bedrohungsforschung (primär OWASP), keine aus einem TISAX®-Anforderungstext destillierte Diagnose. Diese Sektion sowie MHC-13 und MHC-16 (jeweils Abschnitt 9) in Teil II kennzeichnen deshalb durchgängig, welcher Teil TISAX®-abgeleitet und welcher originär ist, damit beide Kategorien nicht vermischt werden. Die "74 Einzelbefunde über 31 Controls" der Kernanalyse (siehe Management Summary) bleiben von dieser Erweiterung unberührt.

Regulatorischer Ausblick: Das NIST Cyber AI Profile (NIST IR 8596) befindet sich zum Zeitpunkt dieser Analyse noch im Entwurfsstadium (Status "Reviewing Comments", siehe Cluster 7 oben) und war zu keinem Zeitpunkt zitierfähig genug, um daraus eine TISAX®-vergleichbare Anforderung abzuleiten. Sollte NIST IR 8596 oder ein künftiges TISAX®-ISA-Release Agenten-Sicherheit ausdrücklich adressieren, wären die hier originär ergänzten Inhalte zu überprüfen und gegebenenfalls in eine TISAX®-abgeleitete Klassifikation zu überführen.