NIST CSF 2.0,
verständlich erklärt

Das NIST Cybersecurity Framework (CSF) ist ein freiwilliges Framework, um Ihre Cybersecurity zu organisieren, zu verstehen und zu verbessern. Es wurde vom US National Institute of Standards and Technology geschaffen, und Version 2.0 erschien im Februar 2024. Es ist keine Regulierung, und entscheidend ist: Es ist kein Standard, gegen den Sie zertifizieren — es gibt kein NIST CSF Audit, keine Prüfung und kein Zertifikat für die Wand.

Deshalb ist die Sprache rund um CSF anders als bei einem zertifizierbaren Standard. Sie «bestehen» NIST CSF nicht, und niemand «fällt durch». Sie übernehmen es, richten sich danach aus und bauen ein Profile dagegen auf. Seine Aufgabe ist, Ihnen eine gemeinsame Struktur und ein Vokabular für Cybersecurity zu geben, eine Art zu beschreiben, wie gut aussieht, zu sehen, wo Sie stehen, und zu entscheiden, was als Nächstes zu verbessern ist, statt einer festen Messlatte, die ein Auditor abhakt.

Das ursprüngliche Framework von 2014 richtete sich an Betreiber US-kritischer Infrastruktur. Version 2.0 erweiterte dieses Publikum bewusst: Es ist nun für Organisationen jeder Grösse und jeder Branche geschrieben, überall auf der Welt. Ein kleines europäisches Softwareunternehmen kann CSF ebenso leicht nutzen wie ein grosser US-Versorger, und tut es zunehmend, weil die Struktur gut übertragbar ist, auch wenn das Framework selbst US-amerikanischen Ursprungs ist.

Das Herz von CSF ist der Core, und die oberste Ebene des Core sind sechs Functions: Govern, Identify, Protect, Detect, Respond und Recover. Zusammengelesen beschreiben sie den vollen Lebenszyklus des Cyber-Risikomanagements — von der Strategie über das Verstehen und Schützen des Wichtigen bis zum Erkennen, Reagieren und Wiederherstellen nach Vorfällen.

Die wichtigste Änderung in 2.0 ist Govern. Frühere Versionen hatten fünf Functions; 2.0 ergänzt Govern als sechste und stellt es ins Zentrum statt ans Ende. Govern umfasst die Cybersecurity-Strategie, die Rollen und Verantwortlichkeiten, die Policies und die Aufsicht, die das gesamte Programm zusammenhalten — die Entscheidungen, die die Führung trägt. Indem CSF 2.0 es ausdrücklich benennt, macht es deutlich, dass Cybersecurity ein Governance- und Risikomanagement-Problem ist, nicht nur ein technisches.

Die anderen fünf Functions adressieren je einen eigenen Teil des Lebenszyklus. Identify dreht sich um das Verstehen Ihrer Assets, Ihrer Risiken und Ihres Kontexts. Protect umfasst die Safeguards, die Wahrscheinlichkeit oder Auswirkung eines Vorfalls senken. Detect bedeutet zu bemerken, dass etwas passiert ist. Respond ist, was Sie tun, wenn es passiert, und Recover ist, wie Sie den Normalbetrieb wiederherstellen und daraus lernen. Keine steht für sich allein; ein gesundes Programm berührt alle sechs.

Jede Function gliedert sich in Categories, und jede Category in Subcategories. Hier wird das Framework konkret — aber konkret bei den Ergebnissen, nicht den Methoden. Eine Subcategory benennt ein zu erreichendes Ergebnis, formuliert als etwas, das wahr sein sollte: ein Asset-Inventar wird gepflegt, Zugriff wird verwaltet, Ereignisse werden analysiert. Sie sagt Ihnen nicht, welches Tool Sie kaufen oder genau wie Sie es tun sollen.

Dieses ergebnisbasierte Design ist Absicht und das Wichtigste, was man über den Core verstehen sollte. Weil Subcategories beschreiben, wie gut aussieht, statt vorzuschreiben wie, passt dasselbe Framework auf ein Zwei-Personen-Startup und einen Konzern. Sie entscheiden, welche Controls und Praktiken jedes Ergebnis in Ihrem Kontext erfüllen; CSF sagt Ihnen nur, welche Ergebnisse zählen und wie sie zusammenpassen.

Neben dem Core bietet CSF Implementation Tiers als Weg, zu beschreiben, wie reif und risikoinformiert Ihre Cybersecurity-Praktiken sind. Es gibt vier: Tier 1 Partial, Tier 2 Risk Informed, Tier 3 Repeatable und Tier 4 Adaptive. Sie reichen von ad hoc und reaktiv bei Tier 1 bis konsistent, gut geführt und kontinuierlich verbessert bei Tier 4.

Es ist wichtig, Tiers nicht als Punktzahl oder als Ziel zum Maximieren zu lesen. Ein höherer Tier ist nicht automatisch «besser» für jede Organisation — der richtige Tier ist der, der zu Ihrem Risiko, Ihren Ressourcen und den Anforderungen Ihres Kontexts passt. Ein kleines, risikoarmes Team, das bei Tier 2 gut arbeitet, ist vielleicht genau dort, wo es sein soll. Tiers sind ein Massstab, um ein Gespräch darüber zu führen, wie streng Sie Cyber-Risiken managen wollen, keine Note, der Sie nachjagen.

Profiles sind die Art, wie CSF den Core in einen Plan verwandelt. Ein Profile ist Ihre Auswahl der Functions, Categories und Subcategories, die für Ihre Organisation zählen, zusammen mit Ihrem Stand zu jedem. Sie erstellen zwei: ein Current Profile, das Ihre Sicherheitsergebnisse ehrlich so erfasst, wie sie heute sind, und ein Target Profile, das beschreibt, wo Sie sein wollen oder müssen.

Die Lücke zwischen beiden ist der ganze Sinn. Legen Sie das Current Profile neben das Target Profile und die Unterschiede werden zu einer priorisierten Liste an Verbesserungen — eine Roadmap, die auf Ihrem eigenen Risiko und Ihren Ressourcen beruht statt auf der Checkliste eines anderen. Während Sie Lücken schliessen, aktualisieren Sie das Current Profile, und das Framework wird zu einem lebendigen Protokoll des Fortschritts statt einer einmaligen Bewertung.

Hier zahlt sich CSF auch über Stakeholder hinweg aus. Ein Profile ist konkret genug, um einen Vorstand zu briefen, ein Budget abzustecken oder ein Sicherheitsteam und die Führung auf dieselben Prioritäten auszurichten — ohne dass jemand zuerst das ganze Framework lesen muss.

Wenn Sie das ältere Framework genutzt haben, zählen drei Änderungen in 2.0 am meisten. Die erste ist die neue Govern Function, die wir bereits behandelt haben — sie hebt Strategie, Rollen, Policy und Aufsicht in eine eigene Function und stellt Governance ins Zentrum des Modells.

Die zweite ist der Geltungsbereich. Das Framework von 2014 war um US-kritische Infrastruktur herum gerahmt; 2.0 weitet das Publikum ausdrücklich auf Organisationen jeder Grösse und Branche aus, überall. Der Framework-Text liest sich wie etwas, das ein kleines Unternehmen oder eine Organisation ausserhalb der USA ohne Übersetzung übernehmen kann, was zuvor weitgehend nicht der Fall war.

Die dritte ist das begleitende Material. NIST verband 2.0 mit mehr praktischen Ressourcen — Quick-Start-Leitfäden, Umsetzungsbeispielen und Referenzwerkzeugen, alle darauf ausgelegt, das Framework eher nutzbar als nur lesbar zu machen. Der Core wurde brauchbarer, und das umgebende Gerüst wuchs um ihn herum.

Weil CSF ergebnisbasiert ist und über seine Informative References auf andere Standards abbildet, nutzen viele Teams es als organisierendes Rückgrat ihres Sicherheitsprogramms statt als Ziel. CSF gibt Ihnen die Struktur, die Functions und Ergebnisse, und Sie zertifizieren gegen ISO 27001 oder attestieren SOC 2 darunter, wo ein Kunde oder eine Ausschreibung diesen Nachweis ausdrücklich verlangt.

Das funktioniert gut, weil die Frameworks komplementär sind, nicht konkurrierend. CSF beantwortet «wie ist unser gesamtes Programm organisiert und wo sind die Lücken?» in einer Sprache, die ein Vorstand versteht. ISO 27001 und SOC 2 beantworten «können wir einem Dritten beweisen, dass bestimmte Controls funktionieren?» Setzen Sie CSF darüber, bilden Sie seine Ergebnisse auf Ihre ISO- oder SOC-Controls ab, und ein einziger Nachweisbestand bedient sowohl die interne Roadmap als auch die externe Attestierung.

In der Praxis variiert die Reihenfolge. Manche Teams übernehmen zuerst CSF, um sich zu orientieren, und verfolgen dann ein Zertifikat, sobald sie wissen, wie ihr Programm aussieht. Andere halten bereits ISO 27001 oder einen SOC 2 Report und legen CSF darüber, um der Führung eine klarere, risikobasierte Sicht über den gesamten Bestand zu geben. So oder so sorgt das einmalige Mapping dafür, dass das zweite Framework kein zweites volles Projekt wird.

Die Kehrseite von «kein Zertifikat» ist eine berechtigte Frage: Wenn Ihnen niemand ein Bestanden ausstellt, wie zeigen Sie jemandem, dass Sie Cybersecurity ernst nehmen? Die Antwort sind Ihre Profiles und Ihr Tier. Ein Current Profile, das zeigt, welche Ergebnisse Sie erreicht haben, ein Target Profile, das zeigt, wohin Sie steuern, und der Verlauf dazwischen über die Zeit sind ein glaubwürdiges, ehrliches Bild eines geführten Programms — oft aussagekräftiger als ein binäres Zertifikat.

Das legen Sie einem Kunden, einem Partner oder Ihrem eigenen Vorstand vor. Es zeigt, dass Sie Ihre Risiken bewertet, Ergebnisse bewusst gewählt haben und sich gegen einen Plan verbessern. Viele Organisationen nutzen ein CSF Profile zudem als interne Landkarte und legen dann ein Zertifikat wie ISO 27001 darüber, wenn ein bestimmtes Geschäft eine Drittparteien-Zusicherung verlangt — das Profile zeigt das Programm, das Zertifikat belegt einen Ausschnitt davon.

Der leichteste Einstieg ist, ein grobes Current Profile zu erstellen. Gehen Sie die sechs Functions durch und halten Sie für die Categories, die für Sie zählen, ehrlich fest, wo Sie stehen. Sie müssen nicht jede Subcategory am ersten Tag angehen — der Wert liegt darin, ein organisiertes, durchgängiges Bild zu bekommen statt einer verstreuten Liste an Sicherheitsaufgaben.

Von dort definieren Sie ein Target Profile, das Ihr Risiko und Ihre Ressourcen widerspiegelt — und wählen einen realistischen Tier als Ziel, nicht den höchsten verfügbaren. Die Lücke zwischen Current und Target wird zu Ihrer priorisierten Roadmap, und die Arbeit verlagert sich darauf, sie zu schliessen und das Current Profile ehrlich zu halten, während Sie vorankommen. Weil CSF freiwillig und ergebnisbasiert ist, können Sie in Ihrem eigenen Tempo vorgehen und es an Ihren Kontext anpassen; das Framework belohnt ein lebendiges Programm weit mehr als eine einmalige, abgelegte Bewertung.