NIST CSF 2.0

Wir bestimmen Ihren Reifegrad entlang des NIST Cybersecurity Framework 2.0 und setzen die Lücken anschließend mit Ihnen um, von der Standortbestimmung über das begründete Zielprofil bis zum Control, das im Betrieb tatsächlich wirkt. Das funktioniert eigenständig, neben einem ISMS nach ISO 27001, mit den CIS Controls als technischer Ebene, oder als Ordnungsrahmen für die Pflichten aus NIS2 und DORA.

Bevor es um das Framework selbst geht, die Einordnung. NIS2, ISO 27001, CIS Controls, NIST CSF: Diese Namen fallen ständig in einem Atemzug, obwohl sie gar nicht in dieselbe Kategorie gehören. Sie beantworten drei verschiedene Fragen, und am schnellsten versteht man das an einem einzigen Beispiel, das durch alle drei Ebenen läuft.

Das NIST Cybersecurity Framework 2.0 ist kein Maßnahmenkatalog, sondern eine gemeinsame Sprache für Cybersicherheit: 106 angestrebte Ergebnisse, geordnet in sechs Funktionen von Govern über Identify, Protect, Detect und Respond bis Recover. Es beschreibt, was erreicht sein muss, und lässt bewusst offen, womit.

Herausgeber ist das National Institute of Standards and Technology, die Normungsbehörde der USA. Version 2.0 erschien am 26. Februar 2024, die erste grundlegende Überarbeitung seit 2014. Der frühere Titel „Framework for Improving Critical Infrastructure Cybersecurity" ist entfallen: Das Framework richtet sich jetzt ausdrücklich an Organisationen jeder Größe und Branche. Die Nutzung ist kostenlos.

Hier beginnen die meisten Missverständnisse. Das CSF schreibt keine Maßnahmen vor, und NIST sagt das im Dokument selbst: Die Ergebnisse seien keine Liste abzuarbeitender Maßnahmen. Das Ergebnis PR.AA-03 lautet vollständig „Users, services, and hardware are authenticated". Von Multi-Faktor-Authentisierung steht dort nichts. Das ist Absicht: Dieselbe Formulierung muss für einen Handwerksbetrieb mit zwölf Rechnern tragen und für eine Bank.

Das CSF beantwortet damit zwei Fragen, was erreicht sein muss und wie gut Sie darin sind. Die dritte, womit, lässt es bewusst offen. Deshalb konkurriert es nicht mit ISO 27001 oder den CIS Controls: Es ist die Landkarte, nicht die Maßnahmenliste.

Der Core ist dreistufig und führt von allgemein nach konkret: sechs Funktionen als Sprache für die Geschäftsführung, 22 Kategorien zur thematischen Ordnung, 106 Ergebnisse, über die sich im Fachteam diskutieren lässt.

Govern rahmt die anderen fünf ein: Die Funktion hat keine eigene Schutzwirkung, sondern legt fest, welche Ergebnisse überhaupt Priorität haben. Reihenfolge und Umfang sagen laut NIST nichts über die Wichtigkeit aus. Detect ist mit elf Ergebnissen die kleinste Funktion und in der Praxis trotzdem regelmäßig die größte Lücke. Klicken Sie eine Funktion an, um ihre Kategorien zu sehen:

Version 1.1 hatte fünf Funktionen. Die sechste ist mehr als eine Ergänzung: Govern umfasst 31 der 106 Ergebnisse, fast ein Drittel des Frameworks. NIST verlagert den Schwerpunkt von der eingesetzten Technik auf die Frage, wer auf welcher Grundlage entscheidet und dafür geradesteht.

Zwei Kategorien sind für den Mittelstand entscheidend. GV.RR nimmt die Leitungsebene ausdrücklich in die Verantwortung. GV.SC widmet den Lieferkettenrisiken zehn eigene Ergebnisse, von der Priorisierung der Lieferanten über vertragliche Anforderungen bis zur Einbindung Dritter in die Notfallplanung. In Version 1.1 war das ein Randthema.

Wer NIS2 umsetzt, erkennt hier vieles wieder. Das CSF ersetzt weder die Betroffenheitsanalyse noch die gesetzlichen Pflichten, ordnet sie aber in einen Rahmen ein, den auch ein Aufsichtsrat lesen kann, und macht den Stand der Umsetzung von Jahr zu Jahr vergleichbar.

Das Framework wird gern auf seine sechs Funktionen verkürzt. Damit bleibt der Teil unbeachtet, der aus einer Taxonomie ein Steuerungsinstrument macht. Die Tiers zuerst, denn hier hält sich der hartnäckigste Irrtum. Vier Stufen beschreiben, wie verbindlich eine Organisation ihre Cyber-Risiken steuert: ad hoc oder nach Richtlinie, im Einzelfall oder organisationsweit, aus dem Bauch oder auf Basis von Bedrohungsdaten. Was sie ausdrücklich nicht sind: ein Reifegradmodell, in dem Stufe 4 für alle das Ziel wäre.

Für viele mittelständische Organisationen ist Tier 3 der sinnvolle Zielzustand, Tier 4 wäre teuer erkaufte Symbolik. Entscheidend ist nicht die Zahl, sondern ob die Stufe zur Bedrohungslage und zu den Vorgaben passt.

Das zweite Werkzeug ist das Organisationsprofil, und es ist der eigentliche Motor. Ein Profil ist kein Dokument, sondern ein Abstand: Das Current Profile hält fest, welche der 106 Ergebnisse heute erreicht sind, das Target Profile, welche erreicht sein sollen. Die Differenz ist die Roadmap. NIST beschreibt dafür fünf Schritte:

Der wunde Punkt des Verfahrens liegt in Schritt 3: Woher kommt das Target Profile? Aus dem Bauchgefühl abgeleitet oder aus dem Wunsch, überall gut dazustehen, wird daraus ein Wunschzettel mit 106 Positionen. Genau hier setzt unser Kernansatz an. Welche Angreifer haben es auf Ihre Branche und Ihre Größe abgesehen, welche Techniken nutzen sie nach MITRE ATT&CK, und welche der 106 Ergebnisse zahlen auf genau diese Techniken ein?

So wird aus einem priorisierten Zielbild ein begründetes, und aus einer Reifegradbewertung eine Entscheidungsgrundlage. NIST sieht das im Framework selbst vor: Das Target Profile soll Trends aus Bedrohungsdaten berücksichtigen. Die meisten Bewertungen tun es trotzdem nicht.

Wer zwischen den dreien entscheiden muss, findet die Unterschiede hier nebeneinander:

Für die Auswahl heißt das: Wählen Sie nach dem Antrieb, nicht nach dem Rahmenwerk. Verlangt ein Kunde oder ein Regulierer einen Nachweis, führt an ISO 27001 kein Weg vorbei. Geht es um schnelle, messbare Risikoreduktion, sind die CIS Controls der kürzere Weg. Und das CSF ist richtig, wenn Sie zuerst wissen müssen, wo Sie stehen, oder eine Sprache brauchen, in der Fachteam und Geschäftsführung dieselbe Lage besprechen.

Wir arbeiten entlang des Ablaufs, den NIST vorsieht, mit der Ergänzung an der entscheidenden Stelle. Und wir hören nicht bei der Roadmap auf:

Wer ohnehin auf ein ISMS nach ISO 27001 zuläuft, bekommt mit dem Zielprofil die Priorisierung, die die Norm selbst nicht mitliefert. Wer unter NIS2 oder DORA fällt, bekommt eine Struktur, in der sich die Pflichten Jahr für Jahr belegen lassen. Und wenn Sie nur wissen wollen, wo Sie stehen, endet unsere Arbeit nach der Roadmap.