NIST-Cybersicherheits-Framework: Ein praktischer Leitfaden zu CSF 2.0

NIST CSF 2.0 ist das Cybersicherheits-Framework, das immer mehr Kunden nutzen, um ihre Sicherheitsprogramme zu strukturieren und die Sicherheitslage der IT-Teams sowie der MSPs, mit denen sie zusammenarbeiten, zu bewerten. Es löste im Februar 2024 CSF 1.1 ab und stellt die bedeutendste Aktualisierung seit der ursprünglichen Veröffentlichung des Frameworks im Jahr 2014 dar. Für jedes Unternehmen, das sein Sicherheitsprogramm auf der Grundlage von CSF 1.1 aufgebaut hat, haben diese Änderungen operative Auswirkungen.

Die wichtigste Neuerung ist die neue sechste Funktion „Govern“. Sie ergänzt die ursprünglichen fünf Funktionen (Identify, Protect, Detect, Respond, Recover) und greift Aspekte auf, die in CSF 1.1 nur unzureichend spezifiziert waren: Wer ist für Entscheidungen zur Cybersicherheit verantwortlich, wie wird das Risikomanagement in das Gesamtunternehmen integriert und wie werden Risiken in der Lieferkette gesteuert? CSF 2.0 verzichtet zudem auf den ursprünglichen Begriff „kritische Infrastruktur“ und richtet sich nun ausdrücklich an Organisationen jeder Größe und aus allen Branchen – ein wesentlicher Unterschied für kleinere IT-Teams und MSP-Kunden, die bisher die Terminologie der kritischen Infrastruktur auf ihren eigenen Kontext übertragen mussten.

Dieser Leitfaden erläutert, was CSF 2.0 in der Praxis erfordert. Die sechs Funktionen und was jede einzelne konkret bedeutet, wie Implementierungsstufen und -profile funktionieren, wie sich das Framework mit anderen Standards, mit denen Sie möglicherweise bereits arbeiten, in Einklang bringt und wie MSPs CSF 2.0 als strukturierten Ansatz zur Erbringung und zum Nachweis von Sicherheitsberatungsdienstleistungen nutzen können. Für einen Überblick über die gesamte NIST-Leitfadenreihe, einschließlich der SP-800-Reihe und deren Zusammenhang mit CSF, lesen Sie den begleitenden Beitrag darüber, was NIST-Konformität bedeutet und wie man damit beginnt.

Passen Sie Ihr Sicherheitsprogramm an den NIST CSF 2.0 an.

Compliance Manager GRC umfasst einen NIST-CSF-2.0-Bewertungsworkflow mit Nachverfolgung des aktuellen und des Zielprofils und lässt sich in die Plattform „ Kaseya 365 “ integrieren, um technische Nachweise automatisch abzurufen.

Entdecken Compliance Manager GRC

Was ist das NIST-Rahmenwerk für Cybersicherheit?

Das NIST-Cybersicherheits-Framework ist ein freiwilliges Rahmenwerk, das vom National Institute of Standards and Technology entwickelt wurde, um Organisationen beim Management von Cybersicherheitsrisiken zu unterstützen. Es gliedert Cybersicherheitsmaßnahmen in Funktionen, Kategorien und Unterkategorien, die Organisationen eine strukturierte Vorgehensweise bieten, um ihre Sicherheitslage zu verstehen, zu bewerten und zu verbessern, ohne dabei genau vorzuschreiben, wie dieses Ziel zu erreichen ist.

Das Rahmenwerk ist bewusst technologieunabhängig und ergebnisorientiert. Es beschreibt, wozu eine Organisation in der Lage sein sollte, nicht, mit welchem Werkzeug dies zu erreichen ist. Diese Flexibilität ist der Grund, warum das CSF so häufig mit eher präskriptiven Standards kombiniert wird. NIST SP 800-53 bietet einen detaillierten Kontrollkatalog, dem die CSF-Unterkategorien zugeordnet sind. CIS Controls v8.1 bietet einen priorisierten Leitfaden zur Umsetzung. ISO 27001 bietet eine auditierbare Struktur für ein Managementsystem. Das CSF liefert den strategischen Rahmen, während die anderen Standards die Details der Umsetzung regeln.

Für Auftragnehmer der US-Bundesregierung wird die Anpassung an die NIST-Richtlinien von einer freiwilligen zu einer verbindlichen Maßnahme. Gemäß FISMA sind Bundesbehörden verpflichtet, die NIST-Leitlinien direkt zu befolgen. CMMC-Stufe 2 entspricht NIST SP 800-171. Organisationen, die sich um Bundesaufträge bewerben oder Unternehmen beliefern, die solche Aufträge innehaben, profitieren von der Anpassung an den CSF als strategischer Grundlage, in die sich andere regulatorische Anforderungen einfügen.

Was hat sich in CSF 2.0 geändert?

Vier Neuerungen in CSF 2.0 sind für Praktiker besonders wichtig.

An erster Stelle steht die neue „Govern“-Funktion. CSF 2.0 fügt eine sechste Funktion hinzu, die sich auf den organisatorischen Kontext, die Risikomanagementstrategie, Risiken in der Lieferkette, Rollen und Verantwortlichkeiten, Richtlinien und die Aufsicht konzentriert. Diese Funktion trägt der Tatsache Rechnung, dass die Cybersicherheits-Governance – also die Frage, wer Entscheidungen trifft und wer rechenschaftspflichtig ist – ebenso tragend ist wie die technischen Kontrollmaßnahmen selbst. Für Organisationen, die CSF 1.1-Programme ohne dokumentierte Governance-Ebene durchgeführt haben, wird dies die wesentlichste Lücke sein, die es zu schließen gilt.

Der zweite Punkt ist die ausdrückliche Erweiterung des Anwendungsbereichs. CSF 1.1 war auf kritische Infrastrukturen ausgerichtet. CSF 2.0 richtet sich ausdrücklich an alle Organisationen: kleine Unternehmen, Großunternehmen, Behörden, Schulen, Krankenhäuser und MSPs. Die Dokumentation des Rahmenwerks enthält nun Beispiele, die diese breitere Zielgruppe widerspiegeln, anstatt wie im Original auf die Bereiche Energie, Verkehr und Wasser Bezug zu nehmen.

Der dritte Punkt betrifft die erweiterten Inhalte zum Risikomanagement in der Lieferkette. Angriffe auf die Lieferkette haben sich seit der Veröffentlichung von CSF 1.1 im Jahr 2018 zu einem vorherrschenden Bedrohungsvektor entwickelt, und CSF 2.0 erweitert die Leitlinien zur Bewertung, zum Management und zur vertraglichen Regelung von Cybersicherheitsrisiken durch Dritte erheblich. Für MSPs, die selbst Teil der Lieferkette ihrer Kunden sind, ist dieser Abschnitt Pflichtlektüre.

Der vierte Punkt betrifft die aktualisierte Kategorie- und Unterkategoriestruktur. Die Anzahl der Unterkategorien hat sich geändert, einige Kategorien wurden neu geordnet, und die Leitlinien berücksichtigen aktuelle Tätigkeitsbereiche wie die Sicherheit der Betriebstechnologie und die Cloud-Sicherheit deutlicher als dies bei CSF 1.1 der Fall war. Organisationen, die eine Aktualisierung ihres CSF 1.1-Programms vornehmen, sollten ihre bestehenden Kontrollmaßnahmen der CSF 2.0-Struktur zuordnen, anstatt von einer Eins-zu-Eins-Übertragung auszugehen.

Die sechs Funktionen

Die sechs Funktionen in CSF 2.0 dienen der Organisation von Cybersicherheitsmaßnahmen auf höchster Ebene. Jede dieser Funktionen gliedert sich in Kategorien und diese wiederum in Unterkategorien, die konkrete Ergebnisse beschreiben.

Govern (GV). Die neue Funktion in CSF 2.0. Festlegung und Überwachung der Strategie, der Erwartungen und der Richtlinien der Organisation zum Cybersicherheits-Risikomanagement. Umfasst den organisatorischen Kontext, die Risikomanagementstrategie, Rollen und Verantwortlichkeiten im Bereich Cybersicherheit, Richtlinien, Aufsicht sowie das Risikomanagement in der Lieferkette.

Identifizieren (ID). Verschaffen Sie sich einen Überblick über die Cybersicherheitsrisiken der Organisation für Systeme, Mitarbeiter, Ressourcen, Daten und Fähigkeiten. Hier finden Sie die Bereiche Ressourcenmanagement, Risikobewertung und Verbesserungsplanung.

Schützen (PR). Implementieren Sie die Sicherheitsmaßnahmen, die den Betrieb kritischer Dienste gewährleisten. Identitätsmanagement und Zugriffskontrolle, Sensibilisierung und Schulung, Datensicherheit, Plattformsicherheit sowie Ausfallsicherheit der technologischen Infrastruktur.

Erkennen (DE). Erkennen Sie das Auftreten eines Cybersicherheitsvorfalls, sobald dieser eintritt. Kontinuierliche Überwachung und Analyse von Vorfällen.

Reagieren (RS). Ergreifen Sie Maßnahmen, sobald ein Cybersicherheitsvorfall erkannt wird. Vorfallmanagement, Vorfallanalyse, Berichterstattung über die Reaktion, Schadensbegrenzung und Verbesserungsmaßnahmen nach dem Vorfall.

Wiederherstellung (RC). Wiederherstellung von Funktionen oder Diensten, die durch einen Cybersicherheitsvorfall beeinträchtigt wurden. Umsetzung des Plans zur Wiederherstellung nach einem Vorfall und Kommunikation im Zusammenhang mit der Wiederherstellung.

Das häufigste Ungleichgewicht in CSF-Programmen in der Praxis ist eine übermäßige Investition in den Bereich „Schützen“ im Vergleich zu den Bereichen „Erkennen“ und „Reagieren“. Unternehmen erwerben zahlreiche präventive Kontrollmaßnahmen und vergleichsweise wenige Erkennungs- und Reaktionskapazitäten – und sind dann überrascht, wenn es länger dauert als nötig, den unvermeidlichen Vorfall zu erkennen und einzudämmen. CSF 2.0 schreibt keine bestimmte Budgetaufteilung vor, doch ein glaubwürdiges Programm weist in allen sechs Funktionen eine in etwa proportionale Reife auf – und nicht eine hohe Punktzahl im Bereich „Schützen“ bei gleichzeitig schwachen Fähigkeiten in den Bereichen „Erkennen“ und „Reagieren“.

Stufen und Profile

CSF 2.0 behält das bereits in CSF 1.1 vorhandene Modell der Implementierungsebenen und Profile bei und enthält dabei verfeinerte Leitlinien zu deren Anwendung.

Die Implementierungsstufen beschreiben den Grad der Stringenz und Ausgereiftheit der Cybersicherheits-Risikomanagementpraktiken einer Organisation auf vier Ebenen: Stufe 1 (teilweise), Stufe 2 (risikobewusst), Stufe 3 (wiederholbar) und Stufe 4 (adaptiv). Die Stufen sind keine Compliance-Bewertungen. Sie charakterisieren, wie die Organisation Risiken verwaltet und wie ausgereift ihre Praktiken sind – nicht, ob sie eine Checkliste abgearbeitet hat. Die meisten KMU werden für den Großteil ihres Programms realistischerweise Stufe 2 oder Stufe 3 anstreben, anstatt durchweg Stufe 4 anzustreben.

Anhand von Profilen passt eine Organisation CSF an ihren spezifischen Kontext an. Ein Ist-Profil beschreibt die Ergebnisse im Bereich Cybersicherheit, die die Organisation derzeit erzielt. Ein Soll-Profil beschreibt die Ergebnisse, die die Organisation unter Berücksichtigung ihrer Risikobereitschaft, des regulatorischen Umfelds und ihrer Geschäftsziele erreichen möchte. Die Lücke zwischen beiden bildet den Verbesserungsplan. Für einen MSP, der Sicherheitsberatungsdienste anbietet, ist die Erstellung von Ist- und Soll-Profilen für jeden Kunden eine der klarsten Möglichkeiten, die geleistete Arbeit zu dokumentieren und die Grundlage für Gespräche über eine mehrjährige Roadmap zu schaffen.

Betrachten wir einmal, wie sich dies in der Praxis auswirkt. Ein Kunde aus dem Bereich Professional Services mit 120 Benutzern hat CSF 2.0 in seinen Anwendungsbereich aufgenommen, da sein größter Kunde (ein Auftragnehmer der Bundesregierung) von seinen Lieferanten den Nachweis der Übereinstimmung verlangt. Der MSP führt eine „Current Profile“-Bewertung durch und stellt fest, dass der Kunde in den Bereichen „Identify“ und „Protect“ etwa auf Stufe 2 liegt, in den Bereichen „Detect“ und „Respond“ auf Stufe 1, während die Funktion „Govern“ überhaupt nicht dokumentiert ist. Das „Target Profile“, das sich an den vertraglichen Verpflichtungen des Kunden orientiert, sieht Stufe 3 in den Bereichen „Identify“, „Protect“, „Detect“, „Respond“ und „Recover“ sowie Stufe 2 im Bereich „Govern“ vor. Aus dieser Lücke entsteht ein strukturiertes 18-monatiges Projekt: Grundlagenarbeit im Bereich „Govern“ im ersten Quartal, Tooling und Runbooks für „Detect“ und „Respond“ im zweiten und dritten Quartal sowie kontinuierliche Verbesserung während der restlichen Projektlaufzeit. CSF verwandelt ein Projekt, das sonst nur vage als „Verbesserung unserer Sicherheit“ definiert worden wäre, in einen vertraglich festgelegten Umfang mit messbaren Meilensteinen für den Fortschritt.

Wie sich CSF 2.0 in andere Frameworks einfügt

CSF wird selten isoliert eingesetzt. Die meisten Organisationen, die es nutzen, arbeiten auch daran, andere Rahmenwerk-Anforderungen zu erfüllen, oder erfüllen diese bereits. Das Verständnis dieser Überschneidungen hilft, Doppelarbeit zu vermeiden.

NIST SP 800-53 ist der detaillierte Kontrollkatalog, auf den sich die CSF-Unterkategorien beziehen. Organisationen, die das CSF als strategischen Rahmen und SP 800-53 für die Umsetzungsdetails nutzen, erhalten sich ergänzende Einblicke in dasselbe Sicherheitsprogramm auf unterschiedlichen Detailebenen.

NIST SP 800-171 ist eine Untergruppe der Kontrollmaßnahmen aus SP 800-53, die für kontrollierte, nicht klassifizierte Informationen gelten, die in nicht-bundeseigenen Systemen gespeichert sind. CMMC-Stufe 2 baut auf SP 800-171 auf, sodass eine Organisation, die sich an CSF und SP 800-171 ausrichtet, bereits den Großteil der Arbeit für die CMMC-Zertifizierung erledigt hat.

CIS Controls v8.1 lässt sich weitgehend den CSF-Funktionen und -Kategorien zuordnen. Ein Unternehmen, das die CIS Controls Implementation Group 2 implementiert, wird feststellen, dass eine enge Abstimmung mit den CSF mit relativ geringem Mehraufwand möglich ist.

Die Norm ISO 27001 teilt den risikobasierten und ergebnisorientierten Ansatz des CSF. Viele Organisationen setzen beides ein: das CSF als strategischen Rahmen und die Norm ISO 27001 als auditierbares Managementsystem. Eine Zertifizierung bedeutet nicht automatisch eine Übereinstimmung mit dem CSF, doch die zugrunde liegenden Kontrollmaßnahmen sind in hohem Maße kompatibel.

Implementierung des NIST CSF 2.0 für MSPs und IT-Teams

Der praktische Weg zur Umsetzung von CSF 2.0 gliedert sich in fünf Phasen.

Beginnen Sie mit der „Govern“-Funktion. Hier müssen CSF 1.1-Programme am häufigsten zusätzliche Maßnahmen ergreifen, und hier sind die Erwartungen von CSF 2.0 am deutlichsten formuliert. Dokumentieren Sie, wer für die Cybersicherheit verantwortlich ist, wie hoch die Risikobereitschaft der Organisation ist, wie Entscheidungen zur Cybersicherheit eskaliert werden und wie Risiken in der Lieferkette gemanagt werden. Die „Govern“-Funktion bildet das Fundament, auf dem die technischen Funktionen aufbauen. Programme, die diesen Schritt überspringen, bleiben in der Regel auf Stufe 2 stehen.

Führen Sie eine „Current Profile“-Bewertung durch. Gehen Sie die Kategorien und Unterkategorien durch und dokumentieren Sie, welche Ergebnisse im Bereich Cybersicherheit derzeit tatsächlich erzielt werden. Dies ist die Maßnahme mit dem unmittelbar größten Nutzen, die jede Organisation ergreifen kann, und die Bewertung selbst deckt oft Lücken in der Governance und Erkennungsblindstellen auf, auf die zuvor noch niemand hingewiesen hatte. Für MSPs ist das „Current Profile“ das Ergebnis, das den Rahmen für alle nachfolgenden Gespräche bildet.

Legen Sie ein realistisch umsetzbares Zielprofil fest. Das Zielprofil sollte das regulatorische Umfeld, die vertraglichen Verpflichtungen und die Risikobereitschaft des Unternehmens widerspiegeln und nicht als erstrebenswertes Maximum dienen. Ein Zielprofil, das für alle sechs Funktionen die Stufe 4 anstrebt, ohne dass das entsprechende Budget zur Verfügung steht, führt eher zu einem Bericht über dauerhafte Lücken als zu einem umsetzbaren Fahrplan.

Priorisieren Sie die Lücken mit dem höchsten Risiko. Für die meisten Organisationen liegt die größte Lücke eher in den Bereichen „Erkennung“, „Reaktion“ und „Steuerung“ als im Bereich „Schutz“. Kontinuierliche Überwachungsfunktionen, dokumentierte Runbooks für die Reaktion auf Vorfälle und eine formelle Rechenschaftspflicht im Rahmen der Steuerung führen im Vergleich zu zusätzlichen präventiven Kontrollen in einem bereits ausgereiften „Schutz“-Bereich zu einer überproportionalen Risikominderung pro Aufwandseinheit.

Nutzen Sie Plattform-Tools zur Umsetzung der technischen Unterkategorien. Die Plattform „ Kaseya 365 “ lässt sich in den meisten Unterkategorien direkt auf die CSF-Umsetzung abbilden. Kaseya VSA 10 und Datto RMM decken das Asset-Management und das Patch-Management ab (Identifizieren, Schützen). Datto EDR deckt die Endpunkt-Erkennung und -Reaktion ab (Erkennen, Reagieren). Datto BCDR deckt die Wiederherstellung ab („Recover“). „ BullPhish ID “ deckt Sensibilisierungsschulungen ab („Protect“). „ Compliance Manager GRC “ übernimmt Governance, Profilverfolgung und die Dokumentation von Nachweisen („Govern“). Compliance Manager GRC Es umfasst einen NIST-CSF-2.0-Bewertungsworkflow mit Nachverfolgung des aktuellen und des Zielprofils und ruft technische Nachweise automatisch aus den anderen Plattformkomponenten ab – darin liegt der Unterschied zwischen der Durchführung eines CSF-Programms in einer Tabellenkalkulation und dessen Betrieb als operativer Dienst.

Die Organisationen, die den größten Nutzen aus CSF 2.0 ziehen, sind nicht diejenigen mit den höchsten Bewertungen. Es sind diejenigen, die das Rahmenwerk als strukturierten Ansatz betrachten, um schwierige Gespräche zu führen. Zum Beispiel darüber, wer für Entscheidungen zur Cybersicherheit verantwortlich ist, wo das Programm tatsächlich Schwächen aufweist – und nicht nur dort, wo es auf den ersten Blick gut aussieht –, welche Kontrollmaßnahmen ihren Platz verdienen und welche ohne klare Funktion angeschafft wurden. CSF 2.0 schreibt Ihnen nicht vor, was Sie tun sollen. Es sagt Ihnen, welche Fragen Sie beantworten können sollten. Die Unternehmen, die diese Fragen klar und eindeutig beantworten können, sind diejenigen, bei denen Kunden, Wirtschaftsprüfer und Versicherer keine weiteren Fragen mehr stellen.

Die wichtigsten Erkenntnisse

Mit NIST CSF 2.0 wurde eine sechste Funktion – „Govern“ – hinzugefügt und der Anwendungsbereich über kritische Infrastrukturen hinaus auf alle Organisationen ausgeweitet. Dies ist die bedeutendste Aktualisierung des Rahmenwerks seit seiner Veröffentlichung im Jahr 2014.
Die sechs Funktionen (Steuerung, Identifizierung, Schutz, Erkennung, Reaktion, Wiederherstellung) bieten einen umfassenden Überblick über den gesamten Lebenszyklus des Cybersicherheits-Risikomanagements. Programme, bei denen der Schwerpunkt zu stark auf dem Schutz liegt und dabei die Funktionen „Erkennung“ und „Reaktion“ vernachlässigt werden, stellen das häufigste Ungleichgewicht dar.
CSF-Profile (Ist- und Soll-Zustand) bieten einen strukturierten Ansatz zur Ermittlung von Lücken und zur Förderung der Verbesserungsplanung. Für MSPs ist die Erstellung von Profilen für die jeweilige Kundenumgebung eine übersichtliche Methode, um die Arbeit im Bereich der Sicherheitsberatung zu dokumentieren und deren Umfang zu definieren.
CSF orientiert sich eng an den CIS Controls, der Norm ISO 27001, dem CMMC über SP 800-171 und SOC 2. Eine einzige Kontrollarchitektur sollte mehrere Rahmenwerke abdecken, ohne dass es zu Doppelungen kommt.