Gewinnen Sie britische Aufträge mit Cyber Essentials.

Cyber Essentials ist ein von der britischen Regierung getragenes Zertifizierungsprogramm für Cybersicherheit, das Organisationen hilft, sich gegen die häufigsten Cyberangriffe zu schützen. Entwickelt wurde es vom National Cyber Security Centre (NCSC) in Partnerschaft mit dem Information Assurance for Small and Medium Enterprises (IASME) Consortium. Jede Organisation kann eine Zertifizierung nach Cyber Essentials anstreben, verpflichtend ist sie jedoch für Lieferanten, die sich um britische Regierungsaufträge bewerben, bei denen sensible oder personenbezogene Informationen verarbeitet werden. Versicherungen, Großunternehmen und Organisationen des öffentlichen Sektors verlangen von ihren Lieferanten zunehmend eine Zertifizierung nach Cyber Essentials als Teil der Lieferantenprüfung. Das Programm umfasst fünf technische Kontrollen, die bei richtiger Umsetzung rund 80 % der gängigen Cyberangriffe verhindern können.

Cyber Essentials ist eine Zertifizierung auf Basis einer Selbstbewertung: Ihre Organisation füllt einen Online-Fragebogen zur Umsetzung der fünf technischen Kontrollen aus. Ein qualifizierter Prüfer sichtet Ihre Antworten und stellt bei zufriedenstellendem Ergebnis das Zertifikat aus. Cyber Essentials Plus umfasst alles aus der Basiszertifizierung und zusätzlich eine praktische technische Überprüfung durch einen qualifizierten Prüfer, der externe Schwachstellenscans, interne Schwachstellenbewertungen und Tests Ihrer Abwehr bei E-Mail und Web-Browsing durchführt. Cyber Essentials Plus bietet eine höhere Prüfungssicherheit, weil ein unabhängiger Experte bestätigt hat, dass Ihre Kontrollen tatsächlich funktionieren und nicht nur dokumentiert sind. Viele Organisationen beginnen mit Cyber Essentials und gehen zu Plus über, wenn ihre Kunden oder Verträge die höhere Prüfungssicherheit verlangen.

Die fünf technischen Kontrollen sind: Firewalls (Perimeter-Firewalls und Internet-Gateways, die den ein- und ausgehenden Datenverkehr steuern), sichere Konfiguration (Geräte und Software so konfigurieren, dass Schwachstellen reduziert werden, unnötige Konten entfernen und Standardpasswörter ändern), Management von Sicherheitsupdates (Patches und Updates für kritische und hochriskante Schwachstellen innerhalb von 14 Tagen nach Veröffentlichung einspielen), Benutzerzugriffskontrolle (Benutzerrechte auf das Nötige beschränken, eindeutige Konten verwenden und administrativen Zugriff kontrollieren) und Malware-Schutz (Anti-Malware-Software, Whitelisting von Anwendungen oder Sandboxing einsetzen, damit Schadsoftware nicht ausgeführt werden kann). Diese fünf Kontrollen adressieren die häufigsten Angriffsvektoren, die bei breit gestreuten Standardangriffen genutzt werden.

Für die Basiszertifizierung nach Cyber Essentials dauert der Prozess vom Start bis zum Zertifikat in der Regel 1 bis 4 Wochen, abhängig von Ihrem aktuellen Sicherheitsniveau. Das Ausfüllen des Fragebogens zur Selbstbewertung selbst dauert nur wenige Stunden, die Vorbereitung, mit der Sie sicherstellen, dass Ihre Kontrollen die Anforderungen erfüllen, kann jedoch länger dauern. Für Cyber Essentials Plus kommen weitere 1 bis 2 Wochen hinzu, in denen der externe Prüfer die technischen Tests terminiert und durchführt. Organisationen mit gut gepflegten IT-Umgebungen und etablierten Sicherheitspraktiken stellen oft fest, dass sie die meisten Anforderungen bereits erfüllen, und können sich schnell zertifizieren lassen. Organisationen mit Altsystemen, uneinheitlichem Patching oder schwachen Praktiken bei der Zugriffskontrolle brauchen unter Umständen mehrere Wochen, um Lücken vor der Antragstellung zu schließen. Venvera erkennt diese Lücken von Anfang an, damit Sie Ihren Zeitplan genau planen können.

Der Geltungsbereich von Cyber Essentials umfasst alle Geräte, Software und Konten innerhalb Ihrer festgelegten Grenze, die auf das Internet oder auf Daten der Organisation zugreifen können. Dazu gehören Desktops, Laptops, Tablets, Smartphones, Server, Router, Firewalls und Cloud-Dienste. Sie müssen den Geltungsbereich Ihres Assessments klar festlegen: Er kann Ihre gesamte Organisation umfassen oder einen bestimmten Teil, etwa eine Abteilung oder einen Bürostandort, sofern Sie die Grenze klar ziehen können. Alle Geräte im Geltungsbereich müssen die Anforderungen der fünf technischen Kontrollen erfüllen. Cloud-Dienste (IaaS, PaaS, SaaS) fallen für die Kontrollen in den Geltungsbereich, für die Sie nach dem Modell der geteilten Verantwortung zuständig sind. Thin Clients, Richtlinien zu Bring Your Own Device (BYOD) und Regelungen zur mobilen Arbeit müssen bei der Festlegung des Geltungsbereichs allesamt berücksichtigt werden.

Die Kosten der Basiszertifizierung nach Cyber Essentials beginnen für Kleinst- und Kleinunternehmen bei etwa 300 bis 500 GBP, wobei die Gebühren mit der Größe der Organisation steigen. Die Gebühren für das Assessment legt das IASME Consortium fest. Cyber Essentials Plus kostet deutlich mehr, typischerweise 1.500 bis 5.000 GBP oder mehr, abhängig von der Komplexität Ihrer IT-Umgebung, der Zahl der Standorte und der Zahl der Geräte im Geltungsbereich. Das Plus-Assessment umfasst technische Tests vor Ort oder aus der Ferne durch einen qualifizierten Prüfer, was die höheren Kosten erklärt. Zertifikate sind 12 Monate gültig und müssen jährlich erneuert werden. Viele Organisationen halten die Investition für lohnend, weil sie Türen zu Regierungsaufträgen öffnet, Kundenanforderungen erfüllt und spürbare Sicherheitsverbesserungen bringt, die das Risiko gängiger Cyberangriffe senken.

Cyber Essentials bietet einen fokussierten Satz technischer Basiskontrollen, während ISO 27001 und NIST CSF umfassende Rahmenwerke sind, die Governance, Risikomanagement und ein breites Spektrum an Sicherheitsbereichen abdecken. Organisationen mit einer Zertifizierung nach Cyber Essentials haben damit bereits einen Teil der Annex-A-Kontrollen von ISO 27001 adressiert, insbesondere zu Zugriffskontrolle (A.5.15 bis A.5.18), sicherer Konfiguration (A.8.9), Patch-Management (A.8.8), Malware-Schutz (A.8.7) und Netzwerksicherheit (A.8.20 bis A.8.22). Ebenso lässt sich Cyber Essentials Elementen der Funktion Protect (Schützen) im NIST CSF zuordnen. Viele Organisationen nutzen Cyber Essentials als Ausgangspunkt für ihr Sicherheitsprogramm und gehen dann für eine umfassendere Abdeckung zur Zertifizierung nach ISO 27001 oder zur Einführung des NIST CSF über. Venvera ordnet Kontrollen über alle drei hinweg zu, sodass Sie genau sehen, wie Ihre Arbeit für Cyber Essentials zur Compliance mit weiteren Rahmenwerken beiträgt.

Ja. Venvera ist Compliance-Software für Cyber Essentials, aufgebaut rund um die fünf technischen Kontrollen des NCSC und den Geltungsbereich des Assessments. Sie erhalten einen zugeschnittenen Kontrollsatz, eine Gap-Analyse, die Ihre Bereitschaft für die Zertifizierung und für Cyber Essentials Plus bewertet, und hinter jeder Anforderung einen Arbeitsbereich für Nachweise. Weil Kontrollen über Rahmenwerke hinweg zugeordnet werden, füllen bereits vorhandene Nachweise für ISO 27001 oder NIST CSF einen großen Teil Ihrer Ausgangslage für Cyber Essentials vor. Beginnen Sie mit einem kostenlosen Compliance-Check, bevor Sie sich festlegen.