Was versteht man unter NIST-Konformität? Ein praktischer Leitfaden für IT-Teams und MSPs

Der Begriff „NIST“ wird für verschiedene Dinge verwendet, oft synonym und nicht immer ganz zutreffend. Die Behörde. Das Cybersicherheits-Rahmenwerk. Die Sonderveröffentlichungen der 800er-Reihe. Das Risikomanagement-Rahmenwerk. Das Datenschutz-Rahmenwerk. Zu wissen, um welches „NIST“ es in einem bestimmten Gespräch geht und welches für eine bestimmte Compliance-Verpflichtung tatsächlich relevant ist, ist der erste praktische Schritt bei der Arbeit mit den NIST-Leitlinien.

NIST-Konformität bedeutet im weitesten Sinne die Einhaltung der vom National Institute of Standards and Technology veröffentlichten Richtlinien zur Cybersicherheit und zum Risikomanagement. In der Praxis bedeutet dies in der Regel die Anpassung an eine oder mehrere spezifische NIST-Veröffentlichungen, wie das Cybersecurity Framework (CSF), SP 800-53, SP 800-171 oder andere, je nach regulatorischem Kontext, Branche und den Anforderungen der Kunden, Aufsichtsbehörden oder Versicherer der Organisation.

Dieser Leitfaden dient als Orientierungshilfe. Er erläutert, was das NIST als Organisation ausmacht, welche relevanten Rahmenwerke und Veröffentlichungen es gibt, wann die Einhaltung der NIST-Vorgaben freiwillig und wann sie verpflichtend ist und wie sich diese mit anderen Rahmenwerken vereinbaren lassen, mit denen IT-Teams und MSPs zu tun haben. Eine praxisorientierte, detaillierte Auseinandersetzung speziell mit dem am weitesten verbreiteten NIST-Rahmenwerk finden Sie im Leitfaden zum NIST-Cybersicherheitsrahmenwerk (CSF 2.0).

Vereinfachen Sie die Einhaltung der NIST-Vorgaben über mehrere Frameworks hinweg.

Compliance Manager GRC umfasst Vorlagen für NIST CSF 2.0, SP 800-171 und CMMC sowie für HIPAA, PCI-DSS, ISO 27001 und CIS Controls, einschließlich einer kontinuierlichen Bewertung und einer für Audits geeigneten Nachweisdokumentation.

Entdecken Compliance Manager GRC

Was ist das NIST?

Das NIST ist eine Bundesbehörde des US-Handelsministeriums. Es wurde 1901 als „National Bureau of Standards“ gegründet, 1988 umbenannt und ist in den Bereichen Messtechnik, industrielle Normen sowie in einer Vielzahl von Technologiebereichen tätig, darunter Cybersicherheit, fortschrittliche Fertigung und künstliche Intelligenz.

Die Aufgaben im Bereich Cybersicherheit, mit denen die meisten IT-Teams und MSPs konfrontiert sind, fallen in den Zuständigkeitsbereich des NIST-Labors für Informationstechnologie, das das Cybersicherheits-Framework, das Risikomanagement-Framework, das Datenschutz-Framework sowie verschiedene Sonderpublikationen herausgibt, in denen spezifische Kontrollmaßnahmen, Prozesse und Bewertungsmethoden detailliert beschrieben werden. Die NIST-Leitlinien sind in Bezug auf die zu verwendenden Tools bewusst nicht vorschreibend. Sie geben vor, welche Ergebnisse zu erzielen sind, nicht jedoch, welches Produkt gekauft werden soll.

Der Grund, warum die NIST-Leitlinien über ihre direkte Anwendbarkeit auf US-Bundesbehörden hinaus ein so großes Gewicht haben, liegt darin, dass sie durch Verweis in eine lange Liste anderer regulatorischer Rahmenwerke und kommerzieller Richtlinien übernommen werden. Das CMMC für Rüstungsunternehmen basiert auf SP 800-171. Auch in den Datenschutzgesetzen der Bundesstaaten wird in den Sicherheitsstandards häufig auf das NIST verwiesen. Anbieter von Cyberversicherungen verlangen zunehmend die Einhaltung der NIST-Vorgaben als Voraussetzung für den Versicherungsschutz. Selbst Organisationen, die keiner direkten NIST-Verpflichtung unterliegen, orientieren sich oft dennoch an den NIST-Vorgaben, da ihr größter Kunde, ihr Versicherer oder ihre Aufsichtsbehörde diese als Maßstab heranzieht.

Die NIST-Reihe von Leitfäden zur Cybersicherheit

Das NIST-Portfolio im Bereich Cybersicherheit gliedert sich in eine kleine Anzahl übergeordneter Rahmenwerke und eine größere Anzahl detaillierter Veröffentlichungen.

Das NIST Cybersecurity Framework (CSF) ist das am weitesten verbreitete Rahmenwerk. Ursprünglich im Jahr 2014 für kritische Infrastrukturen veröffentlicht, ist die aktuelle Version CSF 2.0 (Februar 2024), die den Anwendungsbereich auf alle Organisationen ausweitete, neben den ursprünglichen fünf Funktionen (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen) eine neue Funktion „Govern“ hinzufügte und die Leitlinien zum Risikomanagement in der Lieferkette erheblich erweiterte. Das CSF ist das Rahmenwerk, auf das die meisten Organisationen ihr Sicherheitsprogramm ausrichten. Eine praxisorientierte Einführung in die sechs Funktionen, Stufen und Profile von CSF 2.0 finden Sie im speziellen CSF-2.0-Leitfaden.

Das NIST-Risikomanagement-Framework (RMF) ist ein strukturierter Prozess zur Steuerung von Sicherheits- und Datenschutzrisiken über den gesamten Lebenszyklus der Systementwicklung hinweg. Während das CSF die zu erreichenden Ziele vorgibt, liefert das RMF den Prozess, um diese zu erreichen: Systeme kategorisieren, Kontrollmaßnahmen auswählen, umsetzen, bewerten, genehmigen und überwachen. Das RMF ist gemäß FISMA für Informationssysteme der US-Bundesbehörden verbindlich vorgeschrieben und wird zunehmend als prozessuelles Rückgrat in Sicherheitsprogrammen der Privatwirtschaft eingesetzt.

Das NIST-Datenschutz-Rahmenwerk ist das datenschutzorientierte Pendant zum CSF. Es ist ähnlich aufgebaut (Kern, Profile, Implementierungsebenen) und soll Organisationen dabei helfen, Datenschutzrisiken parallel zu ihren Cybersicherheitsrisiken zu identifizieren und zu bewältigen. Es lässt sich nahtlos auf das CSF und auf „ DSGVO “ abbilden, was es für Organisationen nützlich macht, die in verschiedenen regulatorischen Rahmenbedingungen tätig sind.

Die Reihe der NIST Special Publications (SP) enthält detaillierte technische und verfahrenstechnische Leitlinien, auf die in den übergeordneten Rahmenwerken Bezug genommen wird. Insbesondere die 800er-Reihe ist diejenige, mit der IT-Teams am häufigsten in Berührung kommen.

Die NIST SP 800-Reihe: Wichtige Veröffentlichungen

Die 800er-Reihe ist umfangreich (Hunderte von Publikationen), doch nur eine kleine Anzahl davon deckt den Großteil der praktischen Arbeit typischer IT-Teams und MSPs ab.

SP 800-53 ist der Katalog der Sicherheits- und Datenschutzmaßnahmen für Informationssysteme der US-Bundesbehörden. Er enthält über tausend Maßnahmen, die in 20 Maßnahmenfamilien gegliedert sind, und dient als Grundlage für die Umsetzung, auf die sich die Unterkategorien des CSF beziehen. Die meisten anderen US-Bundesstandards für Cybersicherheit leiten sich aus SP 800-53 ab oder sind darauf abgestimmt.

SP 800-171 ist die Teilmenge der SP 800-53-Kontrollmaßnahmen, die für „Controlled Unclassified Information“ (CUI) gelten, die in nicht-föderalen Systemen gespeichert sind. Sie umfasst 110 Sicherheitsanforderungen in 14 Kontrollfamilien. CMMC Level 2, das Zertifizierungssystem für die US-amerikanische Verteidigungsindustrie, baut direkt auf SP 800-171 auf. Für MSPs, die Verteidigungsunternehmen oder deren Subunternehmer betreuen, ist SP 800-171 das zentrale Referenzdokument.

SP 800-30 liefert die Methodik zur Durchführung von Cybersicherheits-Risikobewertungen. Während die meisten Rahmenwerke lediglich die Durchführung einer Risikobewertung vorschreiben, erklärt 800-30, wie eine solche Bewertung tatsächlich auf eine Weise durchgeführt wird, die vertretbar und überprüfbar ist.

SP 800-37 ist das Verfahrensdokument für das Risikomanagement-Rahmenwerk (RMF). Es führt durch die sechs RMF-Schritte (Vorbereitung, Kategorisierung, Auswahl, Umsetzung, Bewertung, Genehmigung, Überwachung) und dient als operativer Leitfaden für Organisationen, die ein RMF-konformes Programm betreiben.

SP 800-61 befasst sich mit dem Umgang mit Sicherheitsvorfällen in der IT. Es dient als Referenzdokument für den Aufbau eines Programms zur Reaktion auf Sicherheitsvorfälle und wird häufig in behördlichen Vorgaben zitiert, die die Fähigkeit zur Reaktion auf Sicherheitsvorfälle vorschreiben.

SP 800-137 befasst sich mit der kontinuierlichen Überwachung der Informationssicherheit. Es legt den Rahmen für die fortlaufende Erfassung des aktuellen Stands der Informationssicherheit, von Schwachstellen und Bedrohungen fest – also jene Disziplin, die die einmalige Implementierung von Kontrollmaßnahmen in ein nachhaltiges Sicherheitsprogramm umsetzt.

Es gibt Dutzende weiterer Veröffentlichungen der 800er-Reihe, die spezifische Themen abdecken, von Cloud Computing (SP 800-144) über industrielle Steuerungssysteme (SP 800-82) bis hin zum Identitätsmanagement (SP 800-63). Für die meisten IT-Teams und MSPs decken die sechs oben genannten Veröffentlichungen den Großteil der täglichen NIST-Referenzarbeit ab, wobei weitere herangezogen werden, sobald spezifische Anforderungen auftreten.

Wann die Einhaltung der NIST-Vorgaben freiwillig ist und wann sie verpflichtend ist

Die Einhaltung der NIST-Standards ist für nicht-bundeseigene Organisationen technisch gesehen freiwillig. In der Praxis verschwimmt die Grenze zwischen freiwillig und verpflichtend jedoch schon seit Jahren.

Die NIST-Leitlinien sind für US-Bundesbehörden gemäß dem FISMA (Federal Information Security Modernization Act) unmittelbar verbindlich. Das Gesetz verpflichtet die Behörden, Informationssicherheitsprogramme zu entwickeln, zu dokumentieren und umzusetzen, die auf die NIST-Standards und -Leitlinien abgestimmt sind.

Für Auftragnehmer und Subunternehmer der US-Bundesregierung, die mit kontrollierten, nicht geheimen Informationen umgehen, ist dies aufgrund vertraglicher Weitergabeverpflichtungen zwingend vorgeschrieben. Das CMMC-Programm, das schrittweise in die Verträge des Verteidigungsministeriums integriert wird, macht die Einhaltung der SP 800-171-Vorgaben zur Voraussetzung für die Bietungsberechtigung bei den meisten Verteidigungsaufträgen.

Durch die Übernahme in zahlreiche bundesstaatliche und branchenspezifische Rechtsrahmen ist dies faktisch verbindlich. Die Cybersicherheitsverordnung des New Yorker Finanzdienstleistungsministeriums (23 NYCRR 500), die Leitlinien zur HIPAA-Sicherheitsvorschrift sowie verschiedene bundesstaatliche Datenschutzgesetze verweisen alle auf NIST-Veröffentlichungen als maßgebliche Quellen.

Im Rahmen der Cyber-Versicherung wird dies aus kommerziellen Gründen zunehmend gefordert. Die Versicherer sind von der fragebogenbasierten Risikobewertung dazu übergegangen, Nachweise für die Übereinstimmung mit einem anerkannten Cybersicherheits-Rahmenwerk zu verlangen, und das CSF ist das Rahmenwerk, nach dem sie am häufigsten fragen. Unternehmen, die ihren Cyber-Versicherungsschutz im Jahr 2026 verlängern, sollten damit rechnen, dass sie zur Übereinstimmung mit dem CSF befragt werden.

Die freiwillige Anpassung ist auch der vorherrschende Weg für Organisationen aus der Privatwirtschaft, die ein strukturiertes Cybersicherheitsprogramm anstreben, aber keiner spezifischen regulatorischen Verpflichtung unterliegen. Die ausdrückliche Ausweitung des CSF 2.0 auf alle Organisationen hat dies erleichtert. Das Rahmenwerk ist nun nicht mehr ausschließlich auf kritische Infrastrukturen ausgerichtet und kann tatsächlich auch von Kleinunternehmen, mittelständischen Unternehmen und MSPs selbst genutzt werden.

Inwiefern das NIST mit HIPAA, PCI-DSS, ISO 27001 und den CIS-Kontrollen im Einklang steht

NIST überschneidet sich in erheblichem Maße mit anderen Rahmenwerken, an deren Umsetzung eine Organisation wahrscheinlich bereits arbeitet. Der häufigste Fehler bei der Umsetzung besteht darin, diese als separate Programme zu betrachten, die auf separaten Kontrollmechanismen basieren.

Die HIPAA-Sicherheitsvorschrift orientiert sich eng an den NIST-Leitlinien. Das Ministerium für Gesundheit und Soziales verweist in seinen Sicherheitsleitlinien ausdrücklich auf NIST-Veröffentlichungen, und Organisationen, die die Anforderungen der HIPAA-Sicherheitsvorschrift erfüllen, haben im Gesundheitswesen in der Regel bereits den größten Teil der Arbeit zur Anpassung an den CSF geleistet.

PCI-DSS für die Zahlungskartenabwicklung weist erhebliche Überschneidungen mit NIST SP 800-53 auf, insbesondere in den Bereichen Zugriffskontrolle, Verschlüsselung, Schwachstellenmanagement und Reaktion auf Sicherheitsvorfälle. Ein Händler oder Dienstleister, der ein tragfähiges PCI-Programm betreibt, ist gut aufgestellt, um dieses auf das CSF auszuweiten.

ISO 27001 ist die internationale Norm für Managementsysteme zur Informationssicherheit. Sie folgt ebenso wie das CSF einem risikobasierten und ergebnisorientierten Ansatz, ergänzt diesen jedoch um eine formale Managementsystemstruktur, die im Rahmen einer Zertifizierung geprüft werden kann. Das CSF und ISO 27001 sind in hohem Maße kompatibel, und viele Organisationen setzen beide Standards ein: Das CSF dient dabei als strategischer Rahmen, während ISO 27001 als zertifizierbares Managementsystem genutzt wird.

CIS Controls v8.1 ist ein nach Prioritäten geordneter, verbindlicher Katalog von 18 Sicherheitsmaßnahmen, der weitgehend den Funktionen und Kategorien des CSF entspricht. CIS Controls ist für Organisationen, die noch keine Erfahrung mit strukturierter Sicherheitsarbeit haben, oft der einfachere Einstieg, da es konkrete Maßnahmen in der Reihenfolge ihrer Priorität vorgibt, während das CSF lediglich Ziele festlegt, ohne Maßnahmen vorzuschreiben. Eine Organisation, die CIS Controls implementiert, leistet damit bereits einen wesentlichen Teil der Arbeit zur Anpassung an das CSF.

Das Muster ist bei all diesen Fällen dasselbe. Eine einzige zugrunde liegende Kontrollarchitektur sollte mehrere Frameworks abdecken. Bei einer intelligenten Umsetzung werden die Kontrollen einmalig den Anforderungen der jeweiligen Frameworks zugeordnet und die entsprechenden Nachweise wiederholt verwendet, anstatt parallele Compliance-Programme zu betreiben, die jeweils einen eigenen Verwaltungsaufwand erfordern.

Ein praktischer NIST-Leitfaden für IT-Teams und MSPs

Für Organisationen, die gerade erst anfangen, lässt sich die Arbeit in der Regel in fünf Phasen unterteilen.

Ermitteln Sie die konkrete NIST-Verpflichtung. Handelt es sich bei der Organisation um einen Auftragnehmer der US-Bundesregierung, für den die CMMC-Vorschriften gelten? Um eine Einrichtung des Gesundheitswesens, die der HIPAA unterliegt? Um ein Finanzdienstleistungsunternehmen, das der NYDFS 500 unterliegt? Oder um ein Unternehmen der Privatwirtschaft, das eine freiwillige Anpassung im Hinblick auf eine Cyberversicherung oder die Stärkung seiner geschäftlichen Glaubwürdigkeit anstrebt? Die konkrete Verpflichtung bestimmt, welche NIST-Veröffentlichung als primäre Referenz herangezogen wird.

Legen Sie den strategischen Rahmen fest. Für die meisten Organisationen lautet die Antwort „NIST CSF 2.0“, da dieser branchenübergreifend einsetzbar ist, die größte externe Anerkennung genießt und sich nahtlos auf andere Verpflichtungen abbilden lässt. Auftragnehmer der US-Bundesregierung mit CUI-Verpflichtungen kombinieren das CSF mit SP 800-171.

Führen Sie eine Bestandsaufnahme des aktuellen Profils anhand des ausgewählten Rahmenwerks durch. Dokumentieren Sie, welche Ergebnisse im Bereich der Cybersicherheit derzeit tatsächlich erzielt werden, wo Lücken bestehen und welche Lücken für die regulatorischen oder geschäftlichen Verpflichtungen, die die Grundlage für diese Arbeit bilden, am relevantesten sind.

Erstellen Sie ein Zielprofil und einen Fahrplan. Wo soll das Unternehmen stehen, wann soll es dieses Ziel erreichen, welche Kosten sind damit verbunden und wie sieht die Prioritätenreihenfolge der Aufgaben aus?

Wählen Sie Tools, die sich an das Framework anpassen, anstatt ihm entgegenzuwirken. Die Plattform „ Kaseya 365 “ implementiert den Großteil der CSF-Unterkategorien direkt. Kaseya VSA 10 und Datto RMM decken das Asset-Management und das Patch-Management ab (Identify, Protect). Datto EDR deckt die Endpunkt-Erkennung und -Reaktion ab (Detect, Respond). Datto BCDR deckt die Wiederherstellung ab (Recover). „ BullPhish ID “ deckt Sensibilisierungsschulungen ab (Protect). Compliance Manager GRC deckt die Bereiche Governance, Profilverfolgung und Beweissicherung (Govern) ab und verfügt über integrierte Vorlagen für NIST CSF 2.0, SP 800-171, CMMC und verwandte Rahmenwerke, die die Compliance-Arbeit von einer reinen Tabellenkalkulationsaufgabe in einen kontinuierlichen Betriebsdienst verwandeln.

Wird die NIST-Konformität als einmaliges Projekt behandelt, wird sie zu einem verstaubten Ordner voller Richtlinien, die nicht mehr der Realität entsprechen. Wird sie hingegen als kontinuierlicher Prozess betrachtet, wird sie zum Bindeglied, das den Rest des Cybersicherheitsprogramms zu einem schlüssigen Ganzen zusammenführt – standardmäßig audit-, versicherungs- und vertragsfähig. Die Organisationen, die den größten Nutzen aus den NIST-Leitlinien ziehen, sind diejenigen, die aufhören, sie als regulatorische Belastung zu betrachten, und anfangen, sie als architektonischen Entwurf dafür zu sehen, wie ihr Sicherheitsprogramm funktionieren soll.

Die wichtigsten Erkenntnisse

• „NIST“ bezeichnet mehrere unterschiedliche Dinge: die Behörde, das Cybersicherheits-Rahmenwerk, das Risikomanagement-Rahmenwerk, das Datenschutz-Rahmenwerk sowie die Publikationsreihe SP 800. Zu wissen, welches davon für eine bestimmte Verpflichtung gilt, ist der erste praktische Schritt.
• Die Einhaltung der NIST-Vorgaben ist außerhalb von Bundesystemen zwar technisch gesehen freiwillig, wird jedoch zunehmend durch Verträge (CMMC), Vorschriften (NYDFS 500, Verweise auf HIPAA) und die Risikoprüfung bei Cyberversicherungen vorgeschrieben.
• CSF 2.0 ist das am weitesten verbreitete NIST-Rahmenwerk. SP 800-171 ist die wichtigste Referenz für Verteidigungsunternehmen, die mit CUI umgehen. Die kleinere Gruppe von SP-800-Publikationen (800-53, 800-171, 800-30, 800-37, 800-61, 800-137) deckt den Großteil der praktischen NIST-Referenzwerke ab.
• NIST deckt sich weitgehend mit HIPAA, PCI-DSS, ISO 27001 und den CIS-Kontrollmaßnahmen. Anstelle paralleler Compliance-Programme sollte eine einzige Kontrollarchitektur alle relevanten Rahmenwerke abdecken.