Die CIS Controls,
verständlich erklärt

Die CIS Critical Security Controls, meist einfach «die CIS Controls», sind ein priorisiertes Set an Cybersecurity-Schutzmassnahmen, gepflegt vom Center for Internet Security (CIS). Sie sind keine Regulierung und kein zertifizierbarer Standard; sie sind eine von einer Community erarbeitete, klar positionierte Antwort auf eine Frage: Was von allem, was Sie zur Verteidigung einer Organisation tun könnten, sollten Sie tatsächlich tun, und in welcher Reihenfolge?

Genau das ist der Punkt. Die meisten Frameworks fordern Sie auf, eine breite Menge an Anforderungen zu berücksichtigen, und überlassen Ihnen die Reihenfolge. Die CIS Controls priorisieren die Arbeit stattdessen, sodass ein Team mit wenig Zeit und Personal weiss, welche Safeguards zuerst einzurichten sind und welche warten können, bis die Grundlagen stehen. Sie setzen sie um und messen Ihren Fortschritt an ihnen. «Bestehen» können Sie sie nicht.

Die aktuelle Version ist v8.1. Version 8 erschien 2021 und reduzierte das Set von 20 Controls auf 18; v8.1, veröffentlicht 2024, verfeinert dieses Set und aktualisiert das Mapping, sodass es sauber zu NIST CSF 2.0 passt. Wenn Sie ältere Texte mit 20 Controls lesen, beschreiben diese v7. Die Struktur unten ist v8.1.

Die 18 Controls reichen grob von «wissen, was man hat» bis «bereit sein, wenn etwas schiefgeht». Sie beginnen mit den Grundlagen, ohne die fast nichts anderes funktioniert: Inventory and Control of Enterprise Assets sowie Inventory and Control of Software Assets, denn was Sie nicht kennen, können Sie weder schützen noch patchen. Von dort führen sie über Datenschutz, sichere Konfiguration, Konto- und Zugriffsverwaltung, Vulnerability Management, Audit-Log-Management bis zu Abwehrmassnahmen für E-Mail, Browser und Malware.

Die späteren Controls decken die operative Seite der Sicherheit ab: Netzwerkinfrastruktur und Monitoring, Security Awareness und Schulungen, Verwaltung von Service-Providern, Sicherheit von Anwendungssoftware, Incident Response Management und Penetration Testing. Zusammen beschreiben sie ein vollständiges Verteidigungsprogramm, doch der Wert liegt in der Reihenfolge: Die frühen Controls bringen pro Aufwand weit mehr Risikoreduktion als die späteren.

Entscheidend ist: Sie arbeiten nicht alle 18 Controls und jedes Safeguard auf einmal ab. Welche Safeguards Sie wann angehen, bestimmen die Implementation Groups — der Mechanismus, der aus einer langen Liste einen geordneten Plan macht.

Das prägende Merkmal der CIS Controls ist, dass die Safeguards in drei Implementation Groups sortiert sind, jede eine selbst eingestufte Kategorie, die beschreibt, wer was tun sollte. IG1 ist grundlegende Cyber-Hygiene: die fundamentalen Safeguards, die jede Organisation zuerst einrichten sollte, machbar für ein kleines Team ohne tiefe Sicherheitsexpertise. Es ist keine abgespeckte Stufe — es ist die Basis, die gegen die häufigsten, ungezielten Angriffe schützt, und der Punkt, an dem fast alle beginnen sollten.

IG2 baut auf IG1 auf, für Organisationen mit sensibleren Daten, komplexeren Umgebungen oder mehr Ressourcen, um weiter zu gehen. IG3 ergänzt die übrigen Safeguards für reife Organisationen, die sich anspruchsvollen, gezielten Bedrohungen stellen — jenen, die einem entschlossenen Angreifer standhalten müssen. Jede Gruppe ist kumulativ: IG2 enthält alles aus IG1, und IG3 enthält alles aus IG2.

Der vorgesehene Weg ist, bei IG1 zu starten und zu wachsen. Genau das unterscheidet die CIS Controls von einer flachen Checkliste: Statt auf mehr als 150 Safeguards zu starren und zu erstarren, setzt ein Team zuerst IG1 um, erhält echten Schutz aus einem definierten und erreichbaren Set und erweitert nur dann auf IG2 oder IG3, wenn Risikoprofil und Kapazität es rechtfertigen.

CIS veröffentlicht zwei Dinge, die ständig verwechselt werden, und die Unterscheidung zählt. Die CIS Controls sind die Safeguards: das «Was zu tun ist» über Ihr gesamtes Programm hinweg. Die CIS Benchmarks sind detaillierte Härtungsleitfäden für bestimmte Produkte — das «Wie man dieses konkrete System härtet», mit präzisen empfohlenen Einstellungen für Betriebssystem, Datenbank, Browser oder Cloud-Plattform.

Sie nutzen beide zusammen, nicht austauschbar. Ein Safeguard unter dem Control für sichere Konfiguration könnte lauten «sichere Konfigurationen erstellen und pflegen» — und der passende CIS Benchmark ist dort, wo Sie die genauen Einstellungen für eine bestimmte Plattform finden, um es zu erfüllen. Die Controls sagen, dass die Konfiguration sicher und verwaltet sein muss; der Benchmark sagt, was «sicher» für dieses konkrete Produkt bedeutet.

Die CIS Controls wurden für Interoperabilität gebaut, nicht um mit den breiteren Frameworks zu konkurrieren. CIS veröffentlicht Mappings von den Safeguards zu NIST CSF, ISO 27001, PCI DSS und weiteren, und v8.1 hat sein Mapping gezielt an NIST CSF 2.0 ausgerichtet. Das heisst, die Arbeit, die Sie für ein CIS Safeguard leisten, steht nicht isoliert da — sie lässt sich auf die entsprechende Anforderung in einem Framework richten, das Sie ebenfalls verfolgen.

Genau deshalb behandeln so viele Teams die CIS Controls als praktischen Einstiegspunkt. Weil die Safeguards konkret und priorisiert sind, geben sie Ihnen eine klare Reihenfolge der Arbeit; weil sie nach aussen abbilden, fliesst diese Arbeit direkt in ein NIST CSF Profil oder ein ISO 27001 Control-Set ein, sobald Sie eines davon angehen. Sie erhalten eine definierte Startliste und gleichzeitig einen Vorsprung beim breiteren Framework.

Die CIS Controls sprechen Teams an, die eine konkrete, priorisierte Liste «was tun wir tatsächlich zuerst» wollen statt einer breiten Menge an Anforderungen zum Interpretieren. Das ist oft ein wachsendes Softwareunternehmen, ein schlankes IT- oder Sicherheitsteam oder ein Managed-Service-Provider, der seine Verteidigung schnell verbessern muss und keine Monate hat, um zu entscheiden, wo er anfängt.

In der Praxis treten die Controls in zwei Rollen auf. Sie sind die Auffahrt vor einem breiteren Framework: ein Weg, greifbaren Fortschritt zu erzielen und echtes Risiko zu senken, während ein längeres ISO 27001 oder NIST CSF Vorhaben noch im Zuschnitt ist. Und sie sind das Rückgrat darunter — die konkreten Safeguards, die einen Grossteil dessen erfüllen, was diese Frameworks verlangen, querverlinkt, sodass dieselbe Arbeit doppelt zählt. So oder so ist der Reiz derselbe: Eine priorisierte Liste schlägt ein leeres Blatt.

Es gibt kein CIS-Controls-Zertifikat, keinen akkreditierten Auditor und keine Bestehensgrenze. Niemand stellt Ihnen ein CIS-Controls-Abzeichen aus, denn so funktioniert ein freiwilliges Safeguard-Set nicht. Das wirkt manchmal wie eine Schwäche, ist aber nur ein anderes Modell: Die Controls sind ein Werkzeug, um Ihre Sicherheit wirklich zu verbessern und zu belegen, kein Etikett zum Erwerben.

Also zeigen Sie Fortschritt, indem Sie ihn messen. Weil die Arbeitseinheit das Safeguard ist, können Sie verfolgen, welche Safeguards umgesetzt, welche teilweise und welche noch nicht begonnen sind — nach Implementation Group, sodass «wir haben IG1 abgeschlossen und sind mitten in IG2» zu einer klaren, ehrlichen Aussage über Ihren Stand wird. CIS-CAT und CSAT existieren genau dafür, diese Selbsteinschätzung zu unterstützen.

Für Kunden und Partner ist diese gemessene Position das, was Sie vorlegen: kein Zertifikat, sondern ein klares, belegtes Bild davon, welche Safeguards Sie eingerichtet haben und auf welche Gruppe Sie hinarbeiten. Aktuell gehalten, beantwortet es die Sicherheitsfrage, die ein Interessent wirklich stellt, nämlich was Sie tatsächlich tun, um dies zu verteidigen, ohne auf einen Audit-Zyklus zu warten.

Der richtige erste Schritt bei den CIS Controls ist fast immer derselbe: Implementation Group 1 umsetzen. IG1 ist ein definiertes, erreichbares Set grundlegender Hygiene-Safeguards, das jede Organisation einrichten kann, und es schützt gegen den Grossteil der häufigen, opportunistischen Angriffe. Dort zu starten gibt einem kleinen Team schnell echten, messbaren Schutz, ohne zuerst zu entscheiden, welche von mehr als 150 Safeguards wichtig sind.

In der Praxis heisst das, zuerst die frühen Controls anzugehen — wissen, welche Assets und Software Sie betreiben, Konten und Zugriffe verwalten, Konfigurationen sicher halten, bekannte Schwachstellen patchen und festhalten, wo jedes IG1 Safeguard steht, während Sie vorankommen. Sobald IG1 wirklich solide ist, erweitern Sie auf IG2 oder IG3, im Einklang mit der Sensibilität Ihrer Daten, Ihrer Komplexität und Ihrem Bedrohungsrisiko, statt alles auf einmal.

Die CIS Controls werden regelmässig überarbeitet, wenn sich die Bedrohungslage verschiebt, deshalb gehört es zum Betrieb eines Programms, es auf der aktuellen Version zu halten. Der Wechsel von v7 zu v8 ordnete das Set von 20 Controls auf 18 neu und gruppierte die Safeguards um; v8.1 verfeinerte das dann und richtete die Mappings an NIST CSF 2.0 aus. Jede Revision kann Safeguards zwischen Controls verschieben oder ändern, in welche Implementation Group sie fallen.

Die praktische Folge ist, dass ein CIS-Controls-Programm keine einmalige Übung ist. Wenn eine neue Version erscheint, gleichen Sie Ihre bestehende Umsetzung damit ab — festhalten, was sich verschoben hat, was neu ist und wo sich Ihre gemessene Position ändert, statt von vorn zu beginnen. Teams, die ihren Safeguard-Status an einem verbundenen Ort halten, nehmen einen Versionswechsel als Update auf; Teams, die ihn in verstreuten Tabellen pflegen, rekonstruieren ihn jedes Mal von Grund auf.