Zum Inhalt springen
toevan
AnmeldenAudit-Pilot buchen
Menü öffnenMenü schließen
Audit-Pilot buchen

Frameworks und Control-Maps

Jedes Control, ehrlich zugeordnet.

Audit-Pilot buchenBeispielbericht ansehen
  • 503 Controls in 7 Katalogausgaben
  • Live, v1.4.0, geplant und Ihres, nie vermischt
  1. Code-Nachweis heute55 Controls aus 7 Frameworks erhalten bei jedem Pull Request einen Teilnachweis.
  2. Prozessnachweis in v1.4.09 weitere aus Merges, Freigaben, Pflicht-Checks und Regeländerungen.
  3. Der Anteil Ihrer Organisation, benanntDie 367 Controls, die Software nicht belegen kann, stehen vollständig in der Liste.

Jedes Framework auf einen Blick

Ein Segment pro Software-Control, gefärbt danach, wie Toevan Nachweise dafür liefert. Die Richtlinien-, Personen- und physischen Controls, die kein Code-Werkzeug belegen kann, stehen unter jedem Framework und vollständig auf dessen Seite.

FrameworkControl-MapLiveKommt in v1.4.0GeplantControls, die Code belegen kannUnterstützend
SOC 2Trust Services Criteria (2017)717151
+45 Richtlinien-, Personen- und physische Controls (61 insgesamt). Kein Code-Werkzeug belegt sie; jeder Bericht listet sie auf.
ISO/IEC 270012022, Annex A11510262
+65 Richtlinien-, Personen- und physische Controls (93 insgesamt). Kein Code-Werkzeug belegt sie; jeder Bericht listet sie auf.
PCI DSSv4.010115261
+36 Richtlinien-, Personen- und physische Controls (63 insgesamt). Kein Code-Werkzeug belegt sie; jeder Bericht listet sie auf.
FedRAMP ModerateRev 5, NIST SP 800-53B14221374
+136 Richtlinien-, Personen- und physische Controls (177 insgesamt). Kein Code-Werkzeug belegt sie; jeder Bericht listet sie auf.
HIPAA45 CFR Part 16480084
+30 Richtlinien-, Personen- und physische Controls (42 insgesamt). Kein Code-Werkzeug belegt sie; jeder Bericht listet sie auf.
GDPRVerordnung (EU) 2016/67930032
+35 Richtlinien-, Personen- und physische Controls (40 insgesamt). Kein Code-Werkzeug belegt sie; jeder Bericht listet sie auf.
DORAVerordnung (EU) 2022/255420461
+20 Richtlinien-, Personen- und physische Controls (27 insgesamt). Kein Code-Werkzeug belegt sie; jeder Bericht listet sie auf.

Toevan liefert Nachweise für Controls; es zertifiziert sie nie und behauptet nie, ein Framework sei abgedeckt. Ob die Nachweise genügen, beurteilt Ihr Auditor.

Aus der Toevan Control-Map, berechnet am 24. Okt. 2026 aus dem Framework-Katalog des Produkts und der Anforderungsabdeckung jedes ausgelieferten Blueprints.

Was jeder Status bedeutet

Live
Code-Nachweis heute, bei jedem Pull Request versiegelt. Immer nur teilweise: Das Control verlangt auch Dinge außerhalb des Codes.
Kommt in v1.4.0
Prozessnachweis: gemergte Pull Requests, Freigaben, Pflicht-Checks, Branch-Schutz, Rulesets und Umgehungen, pro Änderung versiegelt.
Unterstützend
Toevan erfasst verwandte Nachweise, heute oder in v1.4.0, doch die Pflicht liegt bei der Organisation und gilt deshalb nie als abgedeckt.
Geplant
Lässt sich aus Code oder GitHub belegen. Die Regel oder die Zuordnung ist noch nicht gebaut.
Ihre Organisation
Richtlinien, Personal, physische Sicherheit, Verträge, regulatorische Verfahren, Betrieb oder externe Prüfung. Diese belegt Ihre Organisation.

Control-Maps

  • SOC 2

    Trust Services Criteria (2017)

    Code-Nachweis heute für Zugriffs-, Abgrenzungs- und Vertraulichkeitskriterien; Änderungsfreigaben mit Prozessnachweis in v1.4.0.

    Code-Nachweis heute 7

    • CC6.1
    • CC6.3
    • CC6.6
    • CC6.7
    • CC7.2
    • C1.1
    • C1.2

    Prozessnachweis, v1.4.0 1

    • CC8.1

    61 Controls

  • ISO/IEC 27001

    2022, Annex A

    Code-Nachweis für elf Annex-A-Controls heute; Nachweise zu Änderungen, Code-Zugriff und Einstellungen in v1.4.0.

    Code-Nachweis heute 11

    • A.5.15
    • A.5.17
    • A.8.2
    • A.8.3
    • A.8.5
    • A.8.8
    • A.8.12
    • A.8.20
    • A.8.22
    • A.8.24
    • A.8.28

    Prozessnachweis, v1.4.0 5

    • A.8.4
    • A.8.9
    • A.8.25
    • A.8.29
    • A.8.32

    93 Controls

  • PCI DSS

    v4.0

    Code-Nachweis heute für gespeicherte und übertragene Kartendaten, Secrets, Zugriff und sicheren Code; Änderungsfreigabe in v1.4.0.

    Code-Nachweis heute 10

    • Req.1.3
    • Req.3.3
    • Req.3.5
    • Req.3.6
    • Req.4.2
    • Req.6.2
    • Req.6.3
    • Req.7.2
    • Req.7.3
    • Req.8.6

    Prozessnachweis, v1.4.0 1

    • Req.6.5

    63 Controls

  • FedRAMP Moderate

    Rev 5, NIST SP 800-53B

    Code-Nachweis heute für vierzehn Controls, von Zugriffsdurchsetzung bis Schutz ruhender Daten; Konfigurationsänderungskontrolle in v1.4.0.

    Code-Nachweis heute 14

    • AC-2
    • AC-3
    • AC-4
    • AC-6
    • AU-2
    • AU-12
    • CM-2
    • CM-6
    • IA-5
    • SA-11
    • SC-7
    • SC-8
    • SC-28
    • SI-2

    Prozessnachweis, v1.4.0 2

    • CM-3
    • SA-10

    177 Controls

  • HIPAA

    45 CFR Part 164

    Code-Nachweis für die technischen Schutzmaßnahmen und die Anforderungen der Privacy Rule zu Nutzung und Weitergabe, soweit sie im Code liegen.

    Code-Nachweis heute 8

    • 164.308(a)(4)
    • 164.312(a)(1)
    • 164.312(b)
    • 164.312(c)(1)
    • 164.312(d)
    • 164.312(e)(1)
    • 164.502
    • 164.514

    Prozessnachweis, v1.4.0 0

    Keine zugeordnet

    42 Controls

  • GDPR

    Verordnung (EU) 2016/679

    Code-Nachweis für die Verarbeitungsgrundsätze, Datenschutz durch Technikgestaltung und Sicherheit der Verarbeitung.

    Code-Nachweis heute 3

    • Art.5
    • Art.25
    • Art.32

    Prozessnachweis, v1.4.0 0

    Keine zugeordnet

    40 Controls

  • DORA

    Verordnung (EU) 2022/2554

    Code-Nachweis für Schutz und Prävention sowie Erkennung, gestärkt durch Nachweise zum Änderungsmanagement in v1.4.0.

    Code-Nachweis heute 2

    • Art.9
    • Art.10

    Prozessnachweis, v1.4.0 0

    Keine zugeordnet

    27 Controls

  • Ein anderes Framework?

    NIS2, ein internes Regelwerk oder ein Branchenstandard: Der Nachweis ist derselbe, nur die Zuordnung ändert sich.

    Zuordnung anfragen

Der Prozess Ihrer Organisation

Was Software nicht belegen kann, bleibt bei Ihnen und Ihren anderen Werkzeugen. Jeder Bericht listet es auf, damit ein sauberes Ergebnis nie als mehr gelesen wird, als es ist.

  • die Richtlinien der Organisation122
  • einen betrieblichen Prozess113
  • die physische Sicherheit48
  • Verträge und Lieferanten25
  • Personal und HR23
  • ein regulatorisches Verfahren23
  • eine externe Prüfung13

367 Controls im gesamten Katalog

Auf der Roadmap

Geplant. Noch nicht im Produkt.

  • DORA RTS zum IKT-RisikomanagementGeplantDelegierte Verordnung (EU) 2024/1774Art. 17 IKT-Änderungsmanagement mit Prozessnachweis; Art. 16 Entwicklung und Wartung mit Code-Nachweis.
  • NIST SSDFGeplantSP 800-218 v1.1Sichere Entwicklungspraktiken, aus Blueprints, Reviews und Abhängigkeitsprüfungen.
  • SLSAGeplantv1-Spezifikation (OpenSSF)Source Track aus geschützten Branches und Review durch zwei Personen; Build-Provenienz geplant.
  • OWASP Top 10Geplant2021Regeln, zugeordnet zu den Kategorien, die sich im Code prüfen lassen.
  • EU Cyber Resilience ActGeplantVerordnung (EU) 2024/2847Komponenten, SBOM-Export und Umgang mit Schwachstellen.

Testen Sie die Zuordnung an einem echten Audit.

Bringen Sie ein Repository und ein anstehendes Audit mit. Wir richten den Blueprint ein und führen Ihren Auditor durch die Prüfung.

Audit-Pilot buchenBeispielbericht ansehen