Berechtigungskonzept-Vorlage (kostenlos: Word, Excel + PDF)

Ein Berechtigungskonzept ist das schriftliche Regelwerk dafür, wer die Systeme und Daten Ihrer Organisation nutzen darf, wie Zugriffe beantragt, freigegeben, eingerichtet, überprüft und entzogen werden und wie sich Menschen bei der Anmeldung ausweisen. Aus "die IT weiß schon, wer Zugriff hat" werden Regeln, die Sie prüfen können.

Diese kostenlose Berechtigungskonzept-Vorlage gibt Ihnen eine fertige Richtlinie in Word und PDF mit Beispieltext für jeden Abschnitt: Grundsätze, Identitäten und Konten, das Verfahren für Joiner, Mover und Leaver, Berechtigungsanträge, rollenbasierte Rechte, privilegierte Zugänge, Authentisierung, Fernzugriff und Zugriff durch Dritte, Anforderungen an Geräte, Rezertifizierung, Entzug, gemeinsame und Notfallkonten, Protokollierung, Ausnahmen und Überprüfung. Dazu kommen ein Antragsformular, eine einseitige Beispielmatrix, ein Formular für die vierteljährliche Rezertifizierung, eine Zuordnung zu ISO 27001, NIST SP 800-53, SOC 2 und PCI DSS und eine Excel-Arbeitsmappe, die Rollen, Nutzer, privilegierte Konten, Rezertifizierungen und Ausnahmen verfolgt. Im Englischen heißt das Dokument Access Control Policy.

Vorlage herunterladen (Word, PDF + Excel)

Die Vorlage (Word, Excel und PDF) ist auf Englisch. Eine deutsche Fassung kann später folgen.

Was ein Berechtigungskonzept abdeckt und wer es verantwortet

Das Berechtigungskonzept ist die oberste Ebene Ihrer Dokumentation zur Zugriffssteuerung. Es sagt, was passieren muss und wer entscheidet. Verfahrensanweisungen und Runbooks beschreiben, wie Ihr Team das in jedem System umsetzt, und Aufzeichnungen belegen, dass es passiert ist. Manche Teams nennen dasselbe Dokument Zugriffskontrollrichtlinie, Rollen- und Rechtekonzept oder Richtlinie für das Identitäts- und Zugriffsmanagement. Es sollte jedes System mit Unternehmensinformationen abdecken (SaaS-Apps, Cloud-Konsolen, Systeme im eigenen Rechenzentrum, Netzwerke, Datenbanken, Quellcode und die Geräte, von denen aus sich Menschen anmelden) und jede Art von Konto, auch für Auftragnehmer, Dritte und technische Konten.

Die häufigste Schwäche von Berechtigungskonzepten ist eine unklare Verantwortung. Die Vorlage benennt eine verantwortliche Person für das Konzept (meist die IT- oder Sicherheitsleitung) und für jedes System eine Systemverantwortliche oder einen Systemverantwortlichen, die entscheiden, welche Rolle welche Rechte bekommt, und Anträge und Rezertifizierungen freigeben. Führungskräfte beantragen Zugriffe und bestätigen sie in der Rezertifizierung, die Personalabteilung stößt die Schritte für Joiner, Mover und Leaver an, die IT richtet Zugriffe ein und entzieht sie, und die Nutzer schützen ihre Anmeldedaten. Eine RACI-Tabelle hält fest, wer bei jeder Tätigkeit verantwortlich ist, wer rechenschaftspflichtig ist, wer beteiligt und wer informiert wird.

Wenn Sie schon eine IT-Sicherheitsrichtlinie (auf Englisch) haben, steht das Berechtigungskonzept darunter als themenspezifische Richtlinie für Zugriffe. Kombinieren Sie es mit einer Richtlinie zur Datenklassifizierung: Die Klassifizierung sagt, welche Daten vertraulich sind, das Berechtigungskonzept regelt, wer darauf zugreifen darf.

Vier Grundsätze als Fundament

Jede Regel der Vorlage geht auf vier Grundsätze zurück. Schreiben Sie sie in einfachen Worten in das Konzept, denn Prüfer und Freigebende entscheiden Grenzfälle damit:

• Minimale Rechte (Least Privilege): Menschen und Konten bekommen nur die Rechte, die ihre aktuelle Aufgabe braucht, und nur so lange, wie sie sie brauchen. Mehr dazu in unserem Leitfaden zum Least-Privilege-Modell.
• Need-to-know: Vertrauliche Informationen sehen nur die Personen, deren Arbeit sie erfordert, auch innerhalb eines Teams, das das System nutzt.
• Aufgabentrennung: Niemand beantragt, genehmigt und vergibt die eigenen Rechte, und niemand führt denselben sensiblen Vorgang aus und gibt ihn zugleich frei. Siehe Aufgabentrennung in der Cybersicherheit.
• Verweigerung als Standard: Was nicht ausdrücklich erlaubt ist, wird verweigert, und ein neues System startet ohne Zugriffe, bis seine Rollen festgelegt sind.

Die Vorlage nutzt rollenbasierte Zugriffssteuerung (RBAC), weil sie sich am leichtesten erklären, freigeben und prüfen lässt. Es gibt andere Modelle: Attributbasierte Zugriffssteuerung entscheidet nach Merkmalen wie Abteilung, Hierarchiestufe oder Gerät, und benutzerbestimmte und verbindliche Zugriffssteuerung stammen aus Dateisystemen und staatlichen Geheimhaltungsstufen. Unser Überblick über die Arten der Zugriffssteuerung vergleicht sie. Die meisten Unternehmen landen bei Rollen mit ein paar Attributregeln obendrauf.

Joiner, Mover und Leaver: das Verfahren für die Benutzerverwaltung

Die meisten Berechtigungsprobleme beginnen bei einem Statuswechsel: Jemand fängt an, wechselt die Rolle oder geht, und niemand passt die Zugriffe an. Das Verfahren der Vorlage gibt jeder Phase einen Auslöser, die folgenden Schritte und eine Frist:

Am meisten Gewicht haben zwei Regeln. Erstens verlieren Mover ihre alten Rechte: Wer vom Vertrieb in die Buchhaltung wechselt, bekommt die Buchhaltungsrolle auf Antrag der neuen Führungskraft, und die Vertriebsrechte fallen weg; so sammeln sich über eine Laufbahn keine Rechte an. Zweitens verlieren Leaver alles bis zum Ende des letzten Arbeitstags, bei einer fristlosen Kündigung sofort, und alle gemeinsam genutzten Zugangsdaten, die sie kannten, werden geändert. Die Personalabteilung meldet der IT das Datum, sobald es feststeht.

Die Formulare für die einzelnen Schritte hält die Vorlage getrennt, damit das Konzept kurz bleibt. Neue Konten beginnen mit einem Antrag auf ein Benutzerkonto, Austritte folgen einer IT-Offboarding-Checkliste, die Konten, Geräte und Datenübergabe abdeckt. Das Nutzerregister der Arbeitsmappe hält Eintrittsdatum, Austrittsdatum und das Datum des Entzugs fest und markiert jede ausgeschiedene Person, deren Zugang nach der in den Einstellungen festgelegten Frist noch aktiv ist.

Berechtigungsanträge und Freigabe

Alles, was über die Rolle hinausgeht (ein weiteres System, Schreib- statt Leserechte, ein befristetes Projekt), läuft über einen Antrag. Das Antragsformular der Vorlage fragt nach System, Berechtigungsstufe, geschäftlichem Grund und einem Enddatum für befristete Zugriffe und braucht zwei Freigaben: die der Führungskraft, die den Bedarf bestätigt, und die der systemverantwortlichen Person, die bestätigt, dass die Stufe passt. Für privilegierte Zugänge gibt zusätzlich die Sicherheitsleitung frei.

Niemand gibt den eigenen Antrag frei, die IT richtet Zugriffe erst ein, wenn die Freigaben dokumentiert sind, und Antrag, Freigaben und Einrichtungsdatum werden als Nachweis aufbewahrt. Für ein ausführlicheres Formular für Anwendungszugriffe mit Verantwortlichen je App und Datenschutzstufe nutzen Sie unsere Vorlage für einen Antrag auf Anwendungszugriff; das Berechtigungskonzept verweist darauf und legt die Regeln fest, denen es folgt.

Rollen und Rechte: die Berechtigungsmatrix

Eine Berechtigungsmatrix listet Ihre Rollen in den Zeilen und Ihre Systeme in den Spalten auf, mit einer Berechtigungsstufe in jeder Zelle. Sie beantwortet die Frage, was eine Person in dieser Funktion tun können soll, und Anträge, Einrichtung neuer Konten und Rezertifizierung vergleichen alle mit derselben Tabelle. Die Vorlage nutzt vier Stufen: keine, lesen, schreiben und Admin.

Halten Sie die Rollen breit, meist eine je Team plus ein paar für Admins, und lassen Sie die Verantwortlichen jedes Systems ihre Spalte freigeben. Zugriffe außerhalb der Matrix werden als Einzelberechtigung mit Enddatum erfasst und bei jeder Rezertifizierung angesehen. Das Matrix-Blatt der Arbeitsmappe liest Ihre Rollen aus dem Rollen-Blatt, bietet die vier Stufen als Auswahlliste an und zählt die Admin-Rechte je Rolle. So sehen Sie schnell, welche Rolle zu viel angesammelt hat. Eine Schritt-für-Schritt-Anleitung finden Sie in unserem Leitfaden zur Einführung rollenbasierter Zugriffssteuerung.

Privilegierte Zugänge

Privilegierte Konten können Systeme verändern und alles lesen, deshalb gelten für sie strengere Regeln. Admins nutzen für privilegierte Arbeit ein eigenes Admin-Konto und ihr normales Konto für E-Mail und Surfen. Jedes privilegierte Konto nutzt Multi-Faktor-Authentifizierung, wird von der Sicherheitsleitung freigegeben und vierteljährlich rezertifiziert. Wo ein System es unterstützt, werden Admin-Rechte befristet vergeben und nach der Aufgabe wieder entzogen; unser Beitrag zu Just-in-Time-Zugriff erklärt den Ansatz.

In größeren Unternehmen ist eine Richtlinie für privilegierte Zugänge oft ein eigenes Dokument. Für Organisationen mit 20 bis 1.000 Beschäftigten reichen meist ein Abschnitt im Berechtigungskonzept und das Blatt für privilegierte Konten in der Arbeitsmappe. Es listet jedes Admin-, technische, Notfall- und gemeinsame Konto mit verantwortlicher Person, MFA-Status, ob die Zugangsdaten im Tresor liegen, letztem Wechsel und letzter Rezertifizierung und markiert Konten ohne MFA, ohne verantwortliche Person, mit überfälliger Rezertifizierung oder überfälligem Wechsel. Mehr Tiefe zu Tresoren und Sitzungsaufzeichnung bieten unsere Best Practices für Privileged Access Management.

Authentisierung: Passwörter, MFA und Single Sign-on

Die Vorlage verlangt Passphrasen mit mindestens 14 Zeichen (setzen Sie Ihren eigenen Wert), keine Wiederverwendung über Systeme hinweg, einen Wechsel bei Verdacht auf Kompromittierung statt nach festem Kalender und einen Passwortmanager des Unternehmens. Wenn Sie in den Geltungsbereich von PCI DSS fallen, setzt Anforderung 8.3.6 eine Untergrenze von 12 Zeichen für Passwörter, die als Authentisierungsfaktor dienen.

Multi-Faktor-Authentifizierung ist Pflicht für Fernzugriff, E-Mail, Cloud- und SaaS-Anwendungen, privilegierte Konten und jedes System mit vertraulichen Informationen. Single Sign-on über Ihr zentrales Verzeichnis ist vorzuziehen, wo immer ein System es unterstützt: Eine starke Anmeldung mit MFA schützt dann jede angebundene App, und ein gesperrtes Konto schneidet alle auf einmal ab. Die Hintergründe stehen in unseren Leitfäden zur Multi-Faktor-Authentifizierung und zu Best Practices für den Passwortwechsel.

Fernzugriff, Dritte und Geräte

Fernzugriff auf interne Systeme läuft über einen freigegebenen Dienst mit MFA. Dritte bekommen eine benannte interne Ansprechperson, einen Vertrag mit Sicherheitspflichten, die geringsten nötigen Rechte und ein Enddatum, und ihre Konten werden bei jeder Rezertifizierung geprüft. Unsere Vorlage für eine Richtlinie zum Remote-Desktop-Zugriff regelt Fernwartungssitzungen genauer.

Der Geräteabschnitt der Vorlage regelt, von welchen Geräten aus sich jemand anmelden darf. Er legt fest, dass vertrauliche Systeme nur von firmenverwalteten Geräten erreichbar sind oder von Geräten, die Ihrem Gerätestandard folgen: Bildschirmsperre mit Code, Festplattenverschlüsselung, ein unterstütztes und aktuelles Betriebssystem und keine nicht freigegebene Software. Regeln, die eine Anmeldung je nach Gerätezustand oder Anmelderisiko zulassen oder blockieren, gehören in eine Richtlinie für bedingten Zugriff (auf Englisch), die auf dem Berechtigungskonzept aufbaut. Beide sind Teil einer Zero-Trust-Architektur.

Rezertifizierung von Berechtigungen und Entzug

Berechtigungen verschieben sich mit der Zeit: Befristete Zugriffe überleben das Projekt, und Austritte rutschen durch. Die regelmäßige Rezertifizierung fängt auf, was die Schritte für Joiner, Mover und Leaver übersehen haben. Die Vorlage legt den Rhythmus nach Risiko fest:

Diese Rhythmen sind Beispielwerte; legen Sie Ihre eigenen fest. PCI DSS verlangt in Anforderung 7.2.4 mindestens halbjährlich eine Überprüfung aller Benutzerkonten und ihrer Rechte, Systeme im Geltungsbereich von Kartendaten brauchen also mindestens die mittlere Stufe. Die Prüfenden bestätigen, ändern oder entziehen die Rechte jeder Person, unterzeichnen das Rezertifizierungsprotokoll, und Entzüge werden binnen einer festgelegten Zahl von Tagen umgesetzt. Die Vorlage enthält ein Formular für die vierteljährliche Rezertifizierung, und unsere Vorlage für die Überprüfung von Benutzerzugriffen liefert die vollständige Arbeitsmappe, wenn Sie Rezertifizierungen gründlicher durchführen wollen.

Der Entzug beim Austritt hat einen eigenen Abschnitt, weil Auditoren dieses Control am häufigsten prüfen. Zugänge werden bis zum Ende des letzten Arbeitstags entzogen, bei fristloser Kündigung sofort. Konten werden zuerst gesperrt und erst nach der Datenübergabe gelöscht, gemeinsam genutzte Zugangsdaten, die die Person kannte, werden geändert, und firmeneigene Geräte werden zurückgegeben und gelöscht oder neu zugewiesen. Verspätete Entzüge meldet die IT an die Sicherheitsleitung.

Gemeinsame, technische und Notfallkonten

Bei Konten, die nicht einer einzelnen Person gehören, häufen sich Auditfeststellungen. Die Vorlage erlaubt gemeinsame Konten nur, wo ein System keine Alternative bietet, mit benannter verantwortlicher Person und Zugangsdaten in einem Passworttresor. Technische Konten und API-Konten haben eine verantwortliche Person, die geringsten nötigen Rechte, keine interaktive Anmeldung und Zugangsdaten, die alle 12 Monate gewechselt werden oder wenn jemand ausscheidet, der sie kannte. Notfallkonten (Break-Glass) gibt es für den Tag, an dem die normale Anmeldung ausfällt: Ihre Zugangsdaten liegen versiegelt im Tresor, jede Nutzung wird protokolliert und geprüft, und nach jeder Nutzung werden die Zugangsdaten geändert.

Protokollierung, Ausnahmen und Überprüfung des Konzepts

Die Systeme protokollieren Anmeldungen, fehlgeschlagene Anmeldungen, privilegierte Aktionen und Änderungen an Konten und Rechten, und die Protokolle werden für einen festgelegten Zeitraum aufbewahrt (PCI DSS 10.5 verlangt mindestens 12 Monate). Die Vorlage legt fest, wer welche Protokolle wie oft prüft.

Kein Konzept passt auf jeden Fall, deshalb gehören Ausnahmen dazu. Jede hält Grund, Risiko, ausgleichende Maßnahmen, die risikoverantwortliche Person, die freigebende Person und ein Ablaufdatum von höchstens sechs Monaten fest und kommt ins Ausnahmeregister, das abgelaufene und bald ablaufende Ausnahmen markiert. Der Abschnitt zur Durchsetzung verknüpft Verstöße mit Ihren arbeitsrechtlichen Regeln und behandelt vermuteten Missbrauch als Sicherheitsvorfall. Die verantwortliche Person überprüft das Konzept mindestens alle 12 Monate und nach größeren Änderungen an Systemen, Teams oder Pflichten.

Das Berechtigungskonzept für ISO 27001 und NIST

Sie brauchen keine zwei Dokumente. Die Zuordnungstabelle der Vorlage stellt jedem Abschnitt die Referenzen gegenüber, mit denen Auditoren arbeiten, sodass dasselbe Konzept für ein ISO-27001-Audit, einen SOC-2-Bericht oder ein Programm nach NIST dient:

Für eine ISO-27001-Fassung behalten Sie die Abschnittsnummern und übernehmen die Referenzen aus Anhang A in Ihre Erklärung zur Anwendbarkeit. Für eine NIST-Fassung verlangt AC-1 eine schriftliche Richtlinie und Verfahren zur Zugriffssteuerung, die nach festem Plan überprüft und aktualisiert werden; die Tabelle zur Dokumentenlenkung und der Abschnitt zur Überprüfung zählen dann so viel wie die Regeln. In beiden Fällen prüfen Auditoren das Konzept mit Stichproben: Sie wählen Joiner, Mover und Leaver aus dem Prüfzeitraum und fragen nach Antrag, Freigaben, Einrichtungsdatum und Entzugsdatum, dann vergleichen sie eine Stichprobe von Konten mit der Berechtigungsmatrix. Ein Konzept, das die Aufzeichnungen benennt, und ein Tracker, der sie enthält, machen diese Stichprobe schnell beantwortbar.

Für die weitere Auditvorbereitung siehe unsere ISO-27001-Checkliste und die SOC-2-Checkliste (auf Englisch). Die Zuordnung ist eine allgemeine Orientierung: Was zählt, entscheiden Ihr Auditumfang und die Lesart Ihres Auditors.

Das Berechtigungskonzept einführen

Eine realistische Einführung dauert in einem mittelgroßen Unternehmen einige Wochen:

• Woche 1, Inventar: Systeme auflisten und für jedes eine verantwortliche Person benennen. Die Nutzerliste aus dem Verzeichnis und aus jedem wichtigen System exportieren.
• Woche 2, Rollen und Matrix: Rollen je Team festlegen, die Berechtigungsmatrix ausfüllen und die Verantwortlichen jedes Systems ihre Spalte freigeben lassen.
• Woche 3, Bereinigung: die aktuellen Zugriffe mit der Matrix vergleichen, entfernen, was niemand begründen kann, Konten ausgeschiedener Personen sperren und für jedes gemeinsame und technische Konto eine verantwortliche Person finden.
• Woche 4, Anmeldung: MFA für Fernzugriff, E-Mail, Cloud-Apps und Admins einschalten und Apps an Single Sign-on anbinden, wo sie es unterstützen.
• Danach, Routine: die erste Rezertifizierung der Systeme mit hohem Risiko durchführen, Führungskräfte und Personalabteilung in die Schritte für Joiner, Mover und Leaver einweisen und die Termine für die Rezertifizierung in den Kalender eintragen.

Die Arbeitsmappe folgt derselben Reihenfolge, und am Ende des ersten Monats zeigt ihr Dashboard überfällige Rezertifizierungen, privilegierte Nutzer ohne MFA, ausgeschiedene Personen mit aktivem Zugang und Rollen ohne verantwortliche Person.

Was im Download steckt

• Word-Richtlinie (Access-Control-Policy-trio.so.docx): das Konzept mit 19 Abschnitten, einer RACI-Tabelle, den Schritten für Joiner, Mover und Leaver, dem Rezertifizierungsrhythmus nach Risiko, einem ausfüllbaren Antragsformular, einer einseitigen Beispielmatrix, einem ausfüllbaren Formular für die vierteljährliche Rezertifizierung und der Zuordnungstabelle, fertig zum Bearbeiten.
• PDF-Fassung (Access-Control-Policy-trio.so.pdf): dieselbe Richtlinie mit denselben Formularen, zum Drucken oder Weitergeben.
• Excel-Berechtigungsmatrix und Rezertifizierungs-Tracker (Access-Control-Matrix-trio.so.xlsx): Rollen mit Verantwortlichen und Risikostufen; eine Matrix aus Rollen und Systemen; ein Nutzerregister, das überfällige Rezertifizierungen, privilegierte Nutzer ohne MFA und nicht rechtzeitig entzogene Zugänge markiert; ein Blatt für privilegierte Konten mit Prüfungen zu MFA, Tresor, Wechsel und Rezertifizierung; ein Rezertifizierungsprotokoll; ein Ausnahmeregister; ein ausgefülltes Beispiel; ein Dashboard; und Quellen. Nur Formeln, keine Makros.

Das Beispiel zeigt ein erfundenes Unternehmen mit 6 Rollen, 12 Nutzern, 6 privilegierten Konten und 5 Rezertifizierungen, darunter 3 Nutzer mit überfälliger Rezertifizierung, ein Admin ohne MFA, eine ausgeschiedene Person mit aktivem Zugang, eine verspätet entzogene, eine Rolle ohne verantwortliche Person und ein technisches Konto außerhalb des Tresors. So sehen Sie jede Markierung, bevor Sie Ihre eigenen Daten eintragen.

Konzept, Formulare und Tracker holen

Die Vorlage (Word, Excel und PDF) ist auf Englisch. Eine deutsche Fassung kann später folgen.

Wo trio.so passt

trio.so führt keine Freigaben für Berechtigungsanträge, keinen Tresor für privilegierte Zugänge, keinen Just-in-Time-Zugriff und keine Rezertifizierungskampagnen durch: Das tragen das Konzept und die Arbeitsmappe. trio.so deckt die Teile des Konzepts ab, die in Ihrer Identitätsumgebung und auf Ihren Geräten liegen. Dafür bekommen Sie:

• Konsolenrollen, vordefiniert und eigene, damit jeder IT-Admin nur die Rechte in der Geräteverwaltung bekommt, die seine Aufgabe braucht.
• Single Sign-on mit SAML 2.0 oder OpenID Connect (OIDC) und Multi-Faktor-Authentifizierung bei der Nutzeranmeldung, im Tarif Zero Trust.
• Nutzer- und Gruppenabgleich mit Microsoft Entra ID und Google Workspace und SCIM-2.0-Provisionierung aus Entra ID, Okta und OneLogin, sodass Joiner, Mover und Leaver aus Ihrem Verzeichnis in trio.so ankommen.
• Einen CSV-Export der Konsolenmitglieder mit Rollen, Status und Datum der letzten Aktivität, als Nachweis bei der Rezertifizierung der Personen, die Ihre Geräte verwalten dürfen.
• Richtlinien für Code und Festplattenverschlüsselung auf Firmengeräten, mit Richtlinienstatus je Gerät, der zeigt, ob jede Richtlinie angewendet wurde, fehlgeschlagen ist oder noch aussteht.
• Fernlöschung firmeneigener Geräte, wenn jemand ausscheidet.

trio.so deckt Windows, macOS, Linux, iOS/iPadOS und Android in einer Konsole ab. Die Tarife beginnen bei 5 $ pro Gerät.

Kostenlos testen Demo buchen

14 Tage kostenlos, ohne Kreditkarte.

Weitere Vorlagen

• Vorlage für die Überprüfung von Benutzerzugriffen: die regelmäßige Rezertifizierung, die das Konzept verlangt.
• Antrag auf Anwendungszugriff: ein ausführliches Antragsformular mit Freigaben je App.
• Antrag auf ein Benutzerkonto: der Joiner-Schritt für neue Konten.
• IT-Offboarding-Checkliste: jeder Schritt des Austritts.
• Richtlinie für bedingten Zugriff (auf Englisch): Anmelderegeln nach Gerätezustand und Risiko.
• IT-Sicherheitsrichtlinie (auf Englisch): die übergeordnete Richtlinie, unter der das Konzept steht.
• Richtlinie zur Datenklassifizierung: welche Daten den strengsten Zugriffsschutz brauchen.

Quellen. Zuletzt geprüft im November 2026. Namen, Nummern und Titel der Rahmenwerke dienen nur als Verweis; Wortlaut des Konzepts, Zuordnung, Formeln und Beispiel stammen von uns. trio.so ist mit ISO, NIST, dem AICPA und dem PCI Security Standards Council nicht verbunden und wird von ihnen nicht empfohlen. Die Quellen sind auf Englisch.

• ISO/IEC 27001:2022 (ISO catalogue page)
• NIST SP 800-53 Rev. 5, Security and Privacy Controls
• AICPA 2017 Trust Services Criteria (with revised points of focus, 2022)
• PCI DSS document library (PCI Security Standards Council)
• 45 CFR 164.312, Technical safeguards (eCFR)