Die Cybersicherheits-Grundlage, nach der Ihre Kunden fragen.

Das NIST CSF 2.0 (Cybersecurity Framework, Version 2.0) ist ein freiwilliges Rahmenwerk des National Institute of Standards and Technology, das Organisationen einen strukturierten Ansatz für das Management von Cybersicherheitsrisiken bietet. Die im Februar 2024 veröffentlichte Version 2.0 führt mit Govern eine sechste Kernfunktion ein, die im Zentrum des Rahmenwerks steht und Cybersecurity-Governance sowie die Strategie des Risikomanagements zu einem Anliegen ersten Ranges macht. Zu den weiteren Änderungen zählen die Ausweitung des Anwendungsbereichs über kritische Infrastrukturen hinaus auf alle Organisationen, unabhängig von Größe oder Sektor, bessere Hinweise zum Management von Lieferkettenrisiken, eine engere Verzahnung mit anderen Rahmenwerken für das Risikomanagement und neue Umsetzungsbeispiele für jede Unterkategorie. Das Rahmenwerk ist weltweit verbreitet, nicht nur in den USA, und dient als Referenz für bewährte Praktiken der Cybersicherheit.

Das NIST CSF 2.0 gliedert Cybersicherheitsaktivitäten in sechs Kernfunktionen. Govern (GV) legt die Strategie, die Erwartungen und die Richtlinien der Organisation für das Management von Cybersicherheitsrisiken fest und überwacht sie. Identify (ID) hilft, die aktuelle Lage der Organisation bei Cybersicherheitsrisiken zu verstehen, indem Assets, Datenflüsse und Risiken erfasst werden. Protect (PR) setzt Schutzmaßnahmen zur Steuerung von Cybersicherheitsrisiken um, darunter Zugriffskontrolle, Sensibilisierungsschulungen, Datensicherheit und Plattformsicherheit. Detect (DE) definiert Aktivitäten, um Cybersicherheitsereignisse durch kontinuierliche Überwachung und Anomalieerkennung aufzudecken. Respond (RS) beschreibt Maßnahmen, um erkannte Cybersicherheitsvorfälle einzudämmen und zu bewältigen. Recover (RC) umfasst Aktivitäten, um Fähigkeiten wiederherzustellen, die durch einen Cybersicherheitsvorfall beeinträchtigt wurden. Zusammen bieten diese Funktionen eine vollständige Sicht auf den gesamten Lebenszyklus des Managements von Cybersicherheitsrisiken.

Für die meisten Organisationen ist das NIST CSF freiwillig, für US-Bundesbehörden und ihre Auftragnehmer ist es jedoch faktisch verpflichtend. Über den öffentlichen Sektor hinaus nutzen Organisationen jeder Größe das NIST CSF breit als Rahmenwerk für bewährte Praktiken der Cybersicherheit. Finanzinstitute setzen es neben sektorspezifischen Vorschriften ein, Gesundheitsorganisationen ergänzen damit HIPAA, und Technologieunternehmen nutzen es als Grundlage ihrer Sicherheitsprogramme. Viele Cyberversicherer ziehen das NIST CSF heran, wenn sie das Risiko von Versicherungsnehmern bewerten. Einige Branchenvorschriften und Gesetze von US-Bundesstaaten verweisen auf das NIST CSF als Maßstab für angemessene Cybersicherheitspraktiken. International nutzen Organisationen das NIST CSF als Ergänzung zu ISO 27001 oder als Ausgangspunkt, wenn keine sektorspezifische Regulierung gilt.

Die Implementierungsstufen des NIST CSF beschreiben, in welchem Maß die Praktiken einer Organisation im Management von Cybersicherheitsrisiken die im Rahmenwerk definierten Merkmale aufweisen. Es gibt vier Stufen. Bei Tier 1 (Partial) erfolgt das Management von Cybersicherheitsrisiken ad hoc und reaktiv. Bei Tier 2 (Risk Informed) sind die Praktiken des Risikomanagements von der Leitung genehmigt, aber möglicherweise nicht organisationsweit verankert. Bei Tier 3 (Repeatable) verfügt die Organisation über formell genehmigte und regelmäßig aktualisierte Praktiken des Risikomanagements. Bei Tier 4 (Adaptive) passt die Organisation ihre Praktiken anhand gewonnener Erkenntnisse und vorausschauender Indikatoren an. Die Stufen sind keine Reifegrade, und es besteht keine Pflicht, Tier 4 zu erreichen. Stattdessen wählen Organisationen eine Zielstufe, mit der sie ihr Cybersicherheitsrisiko angesichts ihrer Bedrohungslage und ihrer geschäftlichen Anforderungen angemessen steuern.

Ein Profil im NIST CSF ist eine maßgeschneiderte Ausrichtung der Funktionen, Kategorien und Unterkategorien des Rahmenwerks an den konkreten Geschäftsanforderungen, der Risikotoleranz und den Ressourcen Ihrer Organisation. Sie erstellen zwei Profile: ein Ist-Profil (Current Profile), das Ihre bestehende Cybersicherheitslage beschreibt, und ein Zielprofil (Target Profile), das Ihren angestrebten künftigen Zustand beschreibt. Die Lücke zwischen beiden Profilen wird zu Ihrem priorisierten Maßnahmenplan. Um ein Profil zu erstellen, bewerten Sie jede Unterkategorie nach ihrem aktuellen Umsetzungsstand, legen fest, welche Unterkategorien für Ihre Organisation relevant sind und auf welchem Niveau, und dokumentieren die Begründung für jede Unterkategorie, die als nicht zutreffend eingestuft wird. Venvera automatisiert diesen Prozess, indem es Sie durch die Bewertung jeder Unterkategorie führt und sowohl das Ist-Profil als auch das Zielprofil samt automatisch berechneter Gap-Analyse erzeugt.

Das NIST CSF 2.0 lässt sich umfassend sowohl ISO 27001 als auch SOC 2 zuordnen, mit rund 70 bis 80 Prozent Überschneidung bei den Kontrollzielen. Die Funktion Govern entspricht den Abschnitten 4 bis 7 der ISO 27001 (Kontext, Führung, Planung, Unterstützung) und SOC 2 CC1 (Kontrollumfeld). Identify entspricht ISO 27001 A.5 (organisatorische Kontrollen) und SOC 2 CC3 (Risikobeurteilung). Protect entspricht ISO 27001 A.6-A.8 (personelle, physische und technologische Kontrollen) und SOC 2 CC5-CC6 (Kontrollaktivitäten, logischer Zugriff). Detect entspricht ISO 27001 A.8.15-A.8.16 (Protokollierung, Überwachung) und SOC 2 CC7 (Systembetrieb). Respond und Recover entsprechen ISO 27001 A.5.24-A.5.30 (Vorfallsmanagement, Betriebskontinuität) und SOC 2 CC7-CC9. Venvera pflegt diese rahmenübergreifenden Zuordnungen, sodass eine einmal umgesetzte Kontrolle die Anforderungen aller zutreffenden Rahmenwerke erfüllt.

NIST empfiehlt Organisationen, ihre Cybersicherheitsprofile und Risikobewertungen regelmäßig zu überprüfen und zu aktualisieren. Wie oft, hängt davon ab, wie schnell sich Ihre Bedrohungslage und Ihr Geschäftsbetrieb verändern. Die meisten Organisationen führen jährlich eine vollständige Bewertung nach dem Rahmenwerk durch, ergänzt um vierteljährliche Überprüfungen der Bereiche mit hoher Priorität und eine kontinuierliche Überwachung kritischer Kontrollen. Wichtige Auslöser für eine Neubewertung sind erhebliche Änderungen der IT-Infrastruktur, neue regulatorische Anforderungen, schwere Sicherheitsvorfälle, Fusionen oder Übernahmen sowie Veränderungen der Bedrohungslandschaft. Die Funktion Govern im NIST CSF 2.0 betont, dass das Management von Cybersicherheitsrisiken ein fortlaufender, in das unternehmensweite Risikomanagement integrierter Prozess sein sollte und keine Momentaufnahme. Venvera unterstützt das mit einer lebenden Bewertung, die Sie schrittweise aktualisieren können, statt in jedem Zyklus bei null anzufangen.

Ja. Venvera ist Compliance-Software für das NIST CSF, aufgebaut um die sechs Kernfunktionen und die Implementierungsstufen. Sie erhalten einen auf Ihren Umfang zugeschnittenen Kontrollsatz, eine Gap-Analyse, die Ihren Reifegrad je Funktion bewertet, und einen Nachweis-Arbeitsbereich hinter jeder Unterkategorie. Weil Kontrollen über Rahmenwerke hinweg zugeordnet werden, füllen Ihre bereits vorhandenen Nachweise für ISO 27001 oder SOC 2 einen großen Teil Ihrer NIST-CSF-Ausgangslage vor. Starten Sie mit einem kostenlosen Compliance-Check, bevor Sie sich festlegen.