So mappen Sie NIST CSF 2.0 mithilfe von KI auf andere Frameworks

Übersicht

Sie lernen, wie Sie KI nutzen können, um das NIST Cybersecurity Framework 2.0 auf andere Compliance-Frameworks wie ISO 27001, SOC 2 und NIST SP 800-53 zu mappen. Dies ermöglicht eine einheitliche Compliance und vermeidet doppelte Kontrollimplementierungen.

Für wen ist dieser Leitfaden?

Dieser Leitfaden richtet sich an:

• Compliance-Experten, die Anforderungen mehrerer Frameworks gleichzeitig verwalten

• Security-Teams, die die Implementierung von Kontrollen über verschiedene Standards hinweg rationalisieren möchten

• Auditoren, die die Abdeckung von Kontrollen über mehrere Frameworks hinweg überprüfen

• Berater, die Kunden bei der Erreichung von Multi-Framework-Compliance unterstützen

• Organisationen, die zwischen Frameworks wechseln oder neue Compliance-Anforderungen hinzufügen

Bevor Sie beginnen

Sie benötigen:

• Einen ISMS Copilot-Account mit einem NIST CSF-Workspace

• Verständnis der NIST CSF 2.0-Struktur (Funktionen, Kategorien, Subkategorien)

• Vertrautheit mit den anderen Frameworks, die Sie mappen (ISO 27001, SOC 2 usw.)

• Zugriff auf die aktuellen und angestrebten NIST CSF-Profile (Current/Target Profiles) Ihrer Organisation

• Eine Liste der Compliance-Anforderungen, die erfüllt werden müssen

Warum Framework-Mapping wichtig ist

Die Multi-Framework-Realität

Moderne Organisationen implementieren selten nur ein einziges Compliance-Framework. Häufige Szenarien sind:

• Regulatorische Anforderungen: NIST CSF für Bundesverträge + DSGVO für EU-Kunden + HIPAA für Gesundheitsdaten

• Kundenanforderungen: NIST CSF für Regierungskunden + SOC 2 für Enterprise-SaaS-Kunden + ISO 27001 für internationale Märkte

• Industriestandards: NIST CSF als Baseline + PCI DSS für Zahlungsdaten + branchenspezifische Regulierungen

• Organisatorisches Wachstum: Beginn mit NIST CSF, Ergänzung um ISO 27001 für Zertifizierungen, Erweiterung um SOC 2 zur Vertriebsunterstützung

Vorteile von Framework-Mapping

• Reduzierte Implementierungskosten: Implementieren Sie eine Kontrolle, die Anforderungen mehrerer Frameworks erfüllt

• Einheitliche Compliance-Sicht: Sehen Sie ganzheitlich, welche Kontrollen all Ihre Verpflichtungen abdecken

• Lückenidentifikation: Erkennen Sie, wo Frameworks überlappen und wo einzigartige Anforderungen bestehen

• Audit-Effizienz: Demonstrieren Sie Auditoren, wie Kontrollen mehrere Standards erfüllen

• Kontrolloptimierung: Identifizieren Sie redundante Kontrollen, um diese zu konsolidieren oder zu eliminieren

• Strategische Planung: Treffen Sie fundierte Entscheidungen darüber, welche Frameworks basierend auf Kontrollüberschneidungen eingeführt werden sollen

Schritt 1: Mapping-Methoden verstehen

Arten von Framework-Mappings

Eins-zu-eins-Mapping (One-to-one): Direkte Entsprechung, bei der eine Framework-Anforderung exakt einer Anforderung in einem anderen Framework entspricht. In der Praxis selten.

Eins-zu-viele-Mapping (One-to-many): Eine NIST CSF-Subkategorie deckt mehrere Anforderungen in einem anderen Framework ab, oder umgekehrt. Das häufigste Szenario.

Teilweises Mapping (Partial mapping): Frameworks überschneiden sich teilweise, aber keines erfüllt das andere vollständig. Die Implementierung des einen liefert eine Teilanrechnung für das andere.

Kein Mapping: Einige Anforderungen sind framework-spezifisch ohne Äquivalent. Diese erfordern eine separate Implementierung.

KI nutzen, um Mapping-Ansätze zu verstehen

Fragen Sie in Ihrem NIST CSF-Workspace:

1. Mapping-Methodik erklären:

   "Erkläre die NIST Informative Reference Mapping-Methodik. Wie mappt NIST CSF 2.0 Subkategorien auf Kontrollen in anderen Frameworks wie ISO 27001 oder SP 800-53? Was bedeuten die Beziehungstypen 'complete', 'partial' und 'informational'? Gib Beispiele."

2. Framework-Philosophien vergleichen:

   "Vergleiche die philosophischen Ansätze von NIST CSF 2.0, ISO 27001:2022 und SOC 2. Wie unterscheiden sich ihre Strukturen (Ergebnisse vs. Kontrollen vs. Kriterien)? Welche Auswirkungen haben diese Unterschiede auf das Mapping? Wo ergänzen sie sich natürlich und wo gibt es Lücken?"

Schritt 2: NIST CSF auf ISO 27001 mappen

Das Verhältnis NIST CSF ↔ ISO 27001 verstehen

NIST CSF 2.0 und ISO 27001:2022 weisen erhebliche Überschneidungen auf, verfolgen jedoch unterschiedliche Ansätze:

• NIST CSF: Ergebnisorientiertes Framework, das beschreibt, welcher Cybersicherheitszustand erreicht werden soll

• ISO 27001: Prozessorientierter Standard mit verbindlichen Anforderungen und 93 Annex-A-Kontrollen

• Überschneidung: Viele ISO 27001-Kontrollen unterstützen direkt die Ergebnisse des NIST CSF

• Unterschiede: ISO 27001 erfordert ein formales ISMS mit dokumentierten Prozessen; NIST CSF ist flexibler

KI nutzen, um CSF auf ISO 27001 zu mappen

1. Umfassendes Mapping generieren:

   "Erstelle ein Mapping zwischen NIST CSF 2.0 und ISO 27001:2022 Annex A-Kontrollen. Identifiziere für jede NIST CSF-Subkategorie in meinem Zielprofil (Target Profile) [einfügen oder beschreiben]: entsprechende ISO 27001-Kontrolle(n), Beziehungstyp (vollständig/teilweise/keiner), Implementierungshinweise und alle ISO-Kontrollen, die nicht durch CSF abgedeckt sind."

2. Funktionsspezifisches Mapping:

   "Mappe die NIST CSF 2.0 GOVERN-Funktion auf ISO 27001:2022 Anforderungen. Konzentriere dich auf: organisatorische Kontrollen (Kapitel 5 Leadership, Kapitel 6 Planning), Governance-bezogene Annex A-Kontrollen (A.5.1-5.7) und Richtlinienanforderungen. Zeige, welche CSF GV-Subkategorien welche ISO-Klauseln erfüllen."

3. Einzigartige ISO-Anforderungen identifizieren:

   "Identifiziere ISO 27001:2022 Anforderungen, die kein Äquivalent im NIST CSF 2.0 haben. Beispiele könnten sein: dokumentierter ISMS-Anwendungsbereich, Managementbewertungsprozesse, interne Auditprogramme, Korrekturmaßnahmenverfahren. Diese erfordern eine separate Implementierung für eine ISO-Zertifizierung."

4. Einheitliche Kontrollmatrix:

   "Erstelle eine einheitliche Compliance-Matrix, die folgendes zeigt: NIST CSF-Subkategorie, ISO 27001 Annex A-Kontrolle, unsere implementierte Kontrolle/Richtlinie, Implementierungsstatus (Nicht implementiert/Teilweise/Vollständig), Kontrollverantwortlicher, Ort des Nachweises. Dies ermöglicht eine 'Single-Source-of-Truth' für beide Frameworks."

5. Lückenanalyse über beide Frameworks:

   "Wir implementieren NIST CSF und streben eine ISO 27001-Zertifizierung an. Identifiziere basierend auf unserem aktuellen NIST CSF-Profil [beschreiben/einfügen]: bereits erfüllte ISO 27001-Kontrollen, Lücken, die eine ISO-Compliance verhindern, Kontrollen, die wir für ISO benötigen, aber nicht im CSF stehen, sowie Implementierungsprioritäten, die beide Frameworks erfüllen."

Schritt 3: NIST CSF auf SOC 2 mappen

Das Verhältnis NIST CSF ↔ SOC 2 verstehen

SOC 2 und NIST CSF ergänzen sich, dienen aber unterschiedlichen Zwecken:

• NIST CSF: Umfassendes Framework für das Cybersicherheits-Risikomanagement

• SOC 2: Prüfungsrahmen für Dienstleistungsunternehmen, um Kunden gegenüber Kontrollen nachzuweisen

• Trust Services Criteria: SOC 2 nutzt die TSC (Sicherheit, Verfügbarkeit, Prozessintegrität, Vertraulichkeit, Datenschutz)

• Überschneidung: Starke Übereinstimmung im Security-TSC mit den Abschnitten PROTECT, DETECT und RESPOND des NIST CSF

KI nutzen, um CSF auf SOC 2 zu mappen

1. Mapping auf Trust Services Criteria:

   "Mappe NIST CSF 2.0 auf die SOC 2 Trust Services Criteria (2017). Identifiziere für jede CSF-Funktion (GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND, RECOVER), welche SOC 2 Common Criteria (CC) und Zusatzkriterien sie unterstützen. Konzentriere dich auf den Security-TSC, da dieser für alle SOC 2-Berichte erforderlich ist."

2. Mapping auf Kontrollebene:

   "Wir implementieren sowohl NIST CSF als auch SOC 2. Identifiziere für jeden SOC 2 Common Criteria Point of Focus (z. B. CC6.1: Logische und physische Zugriffskontrollen): die entsprechenden NIST CSF-Subkategorien, eine Kontrollimplementierung, die beides erfüllt, für das SOC 2-Audit erforderliche Nachweise/Dokumentationen sowie Testverfahren."

3. Einzigartige SOC 2-Anforderungen identifizieren:

   "Identifiziere SOC 2-Anforderungen, die nicht mit NIST CSF übereinstimmen. Beispiele: Dienstleisterkontrollen spezifisch für die SaaS-Bereitstellung, Systemverfügbarkeitszusagen, Prozessintegrität für spezifische Vorgänge, Management von Unterauftragnehmern. Diese erfordern möglicherweise zusätzliche Kontrollen über das CSF hinaus."

4. Audit-Bereitschafts-Mapping:

   "Erstelle eine Checkliste zur SOC 2-Auditbereitschaft, gemappt auf unser aktuelles NIST CSF-Profil. Zeige für jedes SOC 2-Kriterium: die CSF-Subkategorie-Abdeckung, identifiziere Nachweise, die Auditoren anfordern werden, vermerke Testanforderungen (Betriebseffektivität) und hebe Lücken hervor, die eine SOC 2-Compliance verhindern."

Schritt 4: NIST CSF auf NIST SP 800-53 mappen

Das Verhältnis CSF ↔ SP 800-53 verstehen

NIST SP 800-53 bietet detaillierte Sicherheits- und Datenschutzkontrollen, während das CSF übergeordnete Ergebnisse liefert:

• NIST CSF: Strategisches, ergebnisorientiertes Framework für alle Organisationen

• NIST SP 800-53: Vorschreibender Kontrollkatalog primär für Bundesbehördensysteme (FISMA-Compliance)

• Beziehung: CSF-Subkategorien mappen auf SP 800-53 Kontrollfamilien und spezifische Kontrollen

• Anwendungsfall: Staatliche Auftragnehmer starten mit CSF für die strategische Planung und implementieren dann 800-53-Kontrollen, um die CSF-Ergebnisse zu erzielen

KI nutzen, um CSF auf SP 800-53 zu mappen

1. Mapping von strategisch zu taktisch:

   "Mappe die NIST CSF 2.0 PROTECT-Funktion auf NIST SP 800-53 Rev. 5 Kontrollfamilien. Identifiziere für jede CSF-Kategorie (PR.AA Access Control, PR.AT Awareness and Training, PR.DS Data Security, PR.IR Platform Security, PR.PS Technology Infrastructure Resilience): entsprechende 800-53-Familien (AC, AT, CM usw.), spezifische Kontrollen, die Ergebnisse erzielen, und die Anwendbarkeit der Baselines (Low, Moderate, High)."

2. Baseline-Auswahl mithilfe von CSF:

   "Wir sind ein staatlicher Auftragnehmer und implementieren die NIST SP 800-53 Moderate Baseline. Nutze unser NIST CSF-Zielprofil [beschreiben], um die Implementierung der 800-53-Kontrollen zu priorisieren. Identifiziere für hochpriorisierte CSF-Subkategorien: obligatorisch zu implementierende Kontrollen der Moderate Baseline, optionale Kontrollverbesserungen (Enhancements), die CSF-Ergebnisse stärken, sowie die Implementierungsreihenfolge."

3. RMF-Integration:

   "Erkläre, wie man NIST CSF mit dem Risk Management Framework (RMF) für Bundes-Systeme integriert. Mappe CSF-Aktivitäten (Profilentwicklung, Lückenanalyse) auf RMF-Schritte (Categorize, Select, Implement, Assess, Authorize, Monitor). Zeige, wo CSF-Ergebnisse die Auswahl und Anpassung von 800-53-Kontrollen beeinflussen."

4. Kontrollabdeckungsmatrix:

   "Erstelle eine Kontrollabdeckungsmatrix für die Behörden-Compliance, die folgendes zeigt: CSF 2.0-Subkategorie, SP 800-53 Rev. 5 Kontrolle(n), CMMC Level 2 Praktik (falls zutreffend), Implementierungsstatus, Verantwortlicher, Nachweisdokument. Dies bietet eine einheitliche Sicht auf die Anforderungen für Cybersicherheit im Bundesbereich."

Schritt 5: NIST CSF auf branchenspezifische Frameworks mappen

Sektorspezifische Mappings

Viele Branchen haben spezialisierte Cybersicherheits-Frameworks, die auf NIST CSF gemappt werden können:

• Zahlungskartenindustrie: PCI DSS 4.0

• Gesundheitswesen: HIPAA Security Rule

• Finanzdienstleistungen: FFIEC Cybersecurity Assessment Tool, GLBA Safeguards Rule

• Kritische Infrastrukturen: ICS/OT-Sicherheitsstandards (NERC CIP, ISA/IEC 62443)

• Cloud-Dienste: CSA Cloud Controls Matrix (CCM), FedRAMP

KI für Branchen-Mappings nutzen

1. Mapping auf PCI DSS:

   "Mappe NIST CSF 2.0 auf PCI DSS 4.0 Anforderungen. Identifiziere für jede PCI DSS-Anforderungskategorie (Build and Maintain, Protect, Detect and Respond to): entsprechende CSF-Funktionen und -Subkategorien, Kontrollen, die beide Standards erfüllen, PCI-spezifische Anforderungen ohne CSF-Äquivalent (z. B. Segmentierung der Karteninhaberdatenumgebung) sowie Nachweise zur Demonstration der dualen Compliance."

2. Mapping auf HIPAA Security Rule:

   "Mappe NIST CSF 2.0 auf die HIPAA Security Rule Safeguards (Administrative, Physical, Technical). Identifiziere für jede HIPAA-Implementierungsspezifikation (erforderlich und adressierbar): CSF-Subkategorien, die Abdeckung bieten, Kontrollen zum Schutz von ePHI, Risikoanalyse-Anforderungen sowie Dokumentation für die HIPAA-Compliance. Konzentriere dich auf CSF GV.RM für das HIPAA-Risikomanagement."

3. Mapping auf Sektoren-Gemeinschaftsprofile (Community Profiles):

   "Wir sind im Sektor [Fertigung / Gesundheitswesen / Finanzdienstleistungen] tätig. Mappe das NIST CSF [Sektor] Community Profile auf unser Zielprofil. Identifiziere: sektorspezifische Subkategorien, die im Community Profile betont werden, wie sie Branchenrisiken adressieren (z. B. OT/ICS-Sicherheit für die Fertigung, Patientendatenschutz für das Gesundheitswesen) und zusätzliche Ergebnisse, die wir priorisieren sollten."

Schritt 6: Erstellung einheitlicher Compliance-Matrizen

Der „Single Source of Truth“-Ansatz

Eine einheitliche Compliance-Matrix mappt alle Framework-Anforderungen auf Ihre implementierten Kontrollen und ermöglicht so ein ganzheitliches Compliance-Management.

KI zum Aufbau von Compliance-Matrizen nutzen

1. Multi-Framework-Matrix:

   "Erstelle eine einheitliche Compliance-Matrix, die umfasst: NIST CSF 2.0-Subkategorie, ISO 27001:2022 Annex A-Kontrolle, SOC 2 TSC-Kriterium, NIST SP 800-53-Kontrolle. Zeige für jede Zeile (die eine implementierte Kontrolle darstellt): Kontrollname/-beschreibung, Framework-Mappings, Implementierungsstatus, Kontrollverantwortlicher, Ort des Nachweises, Datum der letzten Bewertung, Datum der nächsten Überprüfung."

2. Chancen zur Kontrollkonsolidierung:

   "Analysiere unsere Compliance-Matrix [einfügen oder beschreiben], um Folgendes zu identifizieren: Kontrollen, die mehr als 3 Framework-Anforderungen erfüllen (wertvolle Implementierungen), redundante Kontrollen, die konsolidiert werden sollten, Lücken, in denen Frameworks einzigartige Kontrollen erfordern, und Möglichkeiten, eine Kontrolle zu erweitern, um mehrere Frameworks abzudecken."

3. Lückenanalyse über Frameworks hinweg:

   "Identifiziere basierend auf unserer einheitlichen Compliance-Matrix Lücken, die eine vollständige Compliance mit jedem Framework verhindern. Priorisiere Lücken nach: Anzahl der betroffenen Frameworks (Lücken, die NIST CSF + ISO 27001 + SOC 2 betreffen, haben höchste Priorität), Risiko-Schweregrad, regulatorische Kritikalität, Implementierungsaufwand. Erstelle eine Roadmap zur Behebung."

4. Audit-Koordination:

   "Wir haben anstehende Audits für die ISO 27001-Zertifizierung, SOC 2 Type II und eine NIST CSF-Bewertung. Nutze unsere Compliance-Matrix, um einen Plan zur Audit-Koordination zu erstellen: gemeinsame Nachweis-Artefakte, die für mehrere Auditoren ausreichen, einzigartige pro Framework benötigte Nachweise, Möglichkeiten zur Konsolidierung von Interviews/Begehungen, Optimierung des Audit-Zeitplans."

Schritt 7: Mit framework-spezifischen einzigartigen Anforderungen umgehen

Nicht überlappende Anforderungen erkennen

Nicht alle Framework-Anforderungen lassen sich sauber mappen. Einige sind einzigartig und erfordern eine separate Implementierung:

• Einzigartig bei NIST CSF: Ergebnisbasierte Flexibilität, Tier-Charakterisierung, Community Profiles

• Einzigartig bei ISO 27001: Formale ISMS-Dokumentation, Management-Bewertungssitzungen, internes Auditprogramm, dokumentierter Anwendungsbereich und Anwendbarkeit

• Einzigartig bei SOC 2: Dienstleisterkontrollen, Management von Unterauftragnehmern, Trust-Services-Kriterien jenseits der Sicherheit (Verfügbarkeit, Vertraulichkeit)

• Einzigartig bei SP 800-53: Behördenspezifische Kontrollen (FIPS 140 Kryptographie, PIV-Authentifizierung), Datenschutzkontrollen, Lieferketten-Risikomanagement spezifisch für die Regierung

KI nutzen, um einzigartige Anforderungen zu identifizieren

1. Nicht gemappte Anforderungen identifizieren:

   "Vergleiche NIST CSF 2.0, ISO 27001:2022 und SOC 2. Identifiziere Anforderungen, die für jedes Framework einzigartig sind und kein Äquivalent in den anderen haben. Erkläre für jede einzigartige Anforderung: was sie vorschreibt, warum sie framework-spezifisch ist und ob ihre Implementierung einen Teilwert für andere Frameworks bietet."

2. ISO 27001 Zertifizierungs-Besonderheiten:

   "Wir implementieren NIST CSF und möchten eine ISO 27001-Zertifizierung. Welche ISO-spezifischen Anforderungen werden nicht durch die CSF-Implementierung abgedeckt? Konzentriere dich auf: ISMS-Dokumentation (Scope, Policy, Procedures), Managementsystem-Prozesse (Managementbewertung, internes Audit, Korrekturmaßnahmen), Anforderungen für das Zertifizierungsaudit. Erstelle eine Implementierungs-Checkliste."

3. Zusatzaufwand bewerten:

   "Wir haben NIST CSF vollständig implementiert. Schätze den zusätzlichen Aufwand für: ISO 27001-Zertifizierung, SOC 2 Type II-Bericht, NIST SP 800-53 Moderate Baseline Compliance. Identifiziere für jedes: bestehende Kontrollen, die wir wiederverwenden können, neue erforderliche Kontrollen, Dokumentations-/Prozessänderungen, geschätzter Zeitrahmen und Budget."

Schritt 8: Framework-Mappings aktuell halten

Herausforderungen bei der Framework-Evolution

Frameworks werden im Laufe der Zeit aktualisiert, was eine Pflege der Mappings erfordert:

• NIST CSF: Version 2.0 veröffentlicht im Februar 2024 (vorher 1.1 im Jahr 2018)

• ISO 27001: Version 2022 ersetzte 2013, wobei die Kontrollstruktur erheblich geändert wurde

• SOC 2: TSC werden regelmäßig mit neuen Points of Focus aktualisiert

• SP 800-53: Rev. 5 (2020) ersetzte Rev. 4, fügte Kontrollen hinzu und reorganisierte Kontrollfamilien

KI für die Mapping-Pflege nutzen

1. Analyse des Versionsübergangs:

   "Wir haben NIST CSF 1.1 und ISO 27001:2013 implementiert. Analysiere die Auswirkungen eines Upgrades auf CSF 2.0 und ISO 27001:2022. Identifiziere für jedes Framework: neue Anforderungen, veraltete Anforderungen, Kontrollrestrukturierungen, Mapping-Änderungen. Identifiziere: Kontrollen, die aktualisiert werden müssen, neu entstandene Lücken, Implementierungsprioritäten für den Übergang."

2. Verfahren zur Mapping-Aktualisierung:

   "Erstelle ein Verfahren zur Pflege unserer Multi-Framework-Compliance-Matrix bei Aktualisierungen der Standards. Beinhaltet: Überwachung neuer Framework-Versionen, Prozess zur Folgenabschätzung, Workflow für Mapping-Updates, Stakeholder-Kommunikation, Implementierungsplanung für neue Anforderungen, Aktualisierung der Nachweiserhebung."

3. Ansatz zur Zukunftssicherheit:

   "Entwickle unser Compliance-Programm so, dass es resistent gegen Framework-Updates ist. Empfiehl: ergebnisorientiertes Kontrolldesign (damit Kontrollen versionsübergreifend relevant bleiben), versionsunabhängige Dokumentation, vierteljährlicher Prozess zur Überwachung von Frameworks, flexible Kontrollmatrixstruktur, Versionskontrolle für Mappings."

Nächste Schritte

Sie beherrschen nun die Techniken des Framework-Mappings:

• ✓ Verständnis von Mapping-Methoden und Beziehungstypen

• ✓ NIST CSF auf ISO 27001 gemappt für duale Compliance

• ✓ NIST CSF auf SOC 2 gemappt für Vertrauen bei Kunden

• ✓ NIST CSF auf SP 800-53 gemappt für Behördenanforderungen

• ✓ Branchenspezifische Framework-Mappings

• ✓ Einheitliche Compliance-Matrix für ganzheitliches Management

• ✓ Identifizierung und Handhabung einzigartiger Anforderungen

• ✓ Verfahren zur Mapping-Pflege

Optimieren Sie Ihr Compliance-Programm weiter:

• Implementierung der Kernfunktionen von NIST CSF 2.0 mithilfe von KI – Detaillierte Funktionsimplementierung

• Durchführung von Compliance-Risikobewertungen mit ISMS Copilot – Einheitliche Risikobewertung über Frameworks hinweg

Hilfe erhalten

• Offizielle NIST-Mappings: Durchsuchen Sie die Informative References für autorisierte CSF-Mappings

• OLIR-Katalog: Durchsuchen Sie den Online Informative References Katalog nach spezifischen Framework-zu-Framework-Mappings

• ISO 27001 Mapping: Download ISO/IEC 27001:2022 zu CSF 2.0 Mapping

• SP 800-53 Mapping: Zugriff auf SP 800-53 Rev. 5 zu CSF 2.0 Mapping

• ISMS Copilot fragen: Nutzen Sie Ihren Workspace für framework-spezifische Mapping-Fragen und die Compliance-Optimierung

• Wichtige Mappings verifizieren: Gleichen Sie KI-generierte Mappings immer mit den offiziellen NIST Informative References ab