Sie sollte für das betreffende Ziel in der tatsächlichen Systemumgebung gleichwertigen oder vergleichbaren Schutz bieten, und ihr Einsatz sollte durch Rahmenbedingungen, Bedrohungsanalyse und akzeptiertes Risiko begründet werden — nicht durch Bequemlichkeit allein.
Ein Ersatz kann mehrere aufeinander abgestimmte Kontrollen erfordern. Die Organisation sollte das beabsichtigte Ergebnis der ursprünglichen Kontrolle bestimmen, Abdeckung und Stärke der Alternative vergleichen, Abhängigkeiten und Restlücken dokumentieren, erforderliche Genehmigungen einholen und die Entscheidung bei Änderungen des Systems und der Bedrohungslage erneut bewerten.
Wichtigste Punkte
Begründung der SubstitutionDokumentieren, warum die ursprüngliche Kontrolle nicht durchführbar oder geeignet ist, welche Anforderung und welches Risiko betroffen sind und warum die vorgeschlagene Alternative angemessen ist.
ÄquivalenzMechanismen und Verfahren auf das beabsichtigte Ergebnis abbilden, Versagens- und Umgehungspfade untersuchen und Belege dafür erbringen, dass die Gesamtkombination wie vorgesehen wirkt.
Ausnahme-GovernanceVerantwortlichkeit, Genehmigung, Überprüfungstermine, Monitoring und Bedingungen für die Rückkehr zur ursprünglichen Kontrolle oder den Wechsel zu einer besseren Alternative festlegen.
Wichtige EinschränkungEine Maßnahme „kompensierend" zu nennen, macht ihren Schutz nicht gleichwertig. Dokumentation, Genehmigung oder Audit-Akzeptanz sind begrenzte Belege, und ein anderes Gesetz, eine andere Norm, ein Kunde oder eine Behörde können andere Substitutionskriterien anlegen.