crossmap

NIS2 and DORA are not control catalogues. NIS2 states ten obligations in Article 21(2) and details them, for some sectors, in Implementing Regulation (EU) 2024/2690; DORA is a regulation with articles and technical standards. So each row says how far an ISO control takes you towards the obligation — full, partial or none — rather than pretending there is a one-to-one equivalent. PCI DSS is a catalogue, but a prescriptive one: it fixes frequencies, parameters and mechanisms that ISO leaves to the organisation, which is why most of its rows are partial. SOX has no IT controls at all; its side is the classic ITGC set that auditors test under Section 404. Every partial row says why it is partial, in three parts — what the ISO control already gives you, what the regime asks for beyond it, and what to build or evidence to close the gap — and every ISO control opens with a one-sentence description of what it is about.

NIS2 y DORA no son catalogos de controles. NIS2 enuncia diez obligaciones en el articulo 21.2 y las detalla, para algunos sectores, en el Reglamento de Ejecucion (UE) 2024/2690; DORA es un reglamento con articulos y normas tecnicas. Por eso cada fila dice hasta donde le lleva un control ISO respecto de la obligacion — total, parcial o ninguna — en lugar de fingir que existe un equivalente uno a uno. PCI DSS si es un catalogo, pero prescriptivo: fija frecuencias, parametros y mecanismos que ISO deja a la organizacion, y por eso la mayoria de sus filas son parciales. SOX no tiene controles de TI; su lado es el conjunto ITGC clasico que los auditores prueban bajo la seccion 404. Cada fila parcial dice por que es parcial, en tres partes — que te da ya el control ISO, que pide el regimen mas alla, y que hay que construir o evidenciar para cerrar el hueco — y cada control ISO abre con una frase sobre de que trata.