NIST CSF NIST Cybersecurity Framework.

Was das NIST CSF ist und was es nicht ist

Das NIST Cybersecurity Framework ist eine strukturierte Methode, um ein Cybersicherheitsprogramm um Ergebnisse statt um Produkte herum zu organisieren. Es sagt Ihnen nicht, welche Firewall Sie kaufen oder welche Maßnahme Sie einführen sollen.

Stattdessen beschreibt es, wie ein guter Zustand aussieht, indem es die Cybersicherheitsaktivität in eine kleine Gruppe von Funktionen gliedert und jede Funktion in Kategorien und Unterkategorien aufteilt, die sich als Ergebnisse in klarer Sprache lesen: Assets sind inventarisiert, Zugriffe werden verwaltet, Anomalien werden erkannt, Reaktionspläne werden ausgeführt. Diese Ergebnisorientierung ist der Grund, warum es sich so gut über Branchen und Größen hinweg übertragen lässt.

Ein Krankenhaus, ein Hersteller und ein Softwareanbieter können alle dasselbe Vokabular nutzen, um zu beschreiben, wo sie stehen und wohin sie wollen.

Das Wichtigste, was es zu verstehen gilt, ist, was das Framework nicht ist. Es ist keine zertifizierbare Norm. Es gibt kein NIST-CSF-Zertifikat, keine akkreditierte Stelle, die ein Bestehen ausstellt, und kein Audit, das mit einem eingetragenen Siegel auf Ihrer Website endet. Es ist eine freiwillige Referenz, die Sie nutzen, um die Reife zu bewerten, Ziele festzulegen und die Sicherheitslage zu kommunizieren, sowohl intern gegenüber einem Vorstand als auch extern gegenüber Partnern. Behandeln Sie die Behauptung eines Anbieters, „NIST CSF zertifiziert“ zu sein, als Warnsignal, denn eine solche Zertifizierung existiert nicht.

Die Funktionen: von fünf auf sechs

Das Framework ist um Funktionen herum aufgebaut, die zusammen den gesamten Lebenszyklus des Managements von Cyberrisiken abdecken. Die ursprünglichen fünf waren Identify, Protect, Detect, Respond und Recover. Die 2024 veröffentlichte Revision 2.0 fügte Govern hinzu, womit sich die Gesamtzahl auf sechs erhöhte und die Governance in den Mittelpunkt des Modells gestellt wurde, statt sie als nachträglichen Gedanken zu behandeln.

Govern umfasst den organisatorischen Kontext, die Risikomanagementstrategie, Rollen und Verantwortlichkeiten, Richtlinien und Aufsicht, die bestimmen sollten, wie die anderen fünf Funktionen priorisiert und mit Ressourcen ausgestattet werden. Die Aufnahme formalisierte, was reife Programme bereits taten: Technische Maßnahmen funktionieren nur, wenn jemand die dahinterstehenden Risikoentscheidungen verantwortet.

In der Praxis bewertet ein Team seinen aktuellen Zustand anhand jeder Kategorie, definiert ein Zielprofil, das seine Risikobereitschaft und seine Pflichten widerspiegelt, und arbeitet daran, die Lücke zwischen beiden zu schließen. Das Framework überlässt das Wie bewusst Ihnen, weshalb es sich auf natürliche Weise mit präskriptiven Katalogen wie den CIS Controls oder NIST 800-53 kombinieren lässt, die die konkreten Schutzmaßnahmen unter jedem Ergebnis liefern.

Warum es neben ISO 27001 steht

Das NIST CSF und ISO 27001 sind keine Konkurrenten, und viele transatlantische Organisationen nutzen beide. ISO 27001 bescheinigt, dass Sie ein Informationssicherheits-Managementsystem betreiben, mit einer Risikobewertung, einer Erklärung zur Anwendbarkeit und kontinuierlicher Verbesserung, und es erbringt ein auditierbares Zertifikat, das Kunden weltweit anerkennen.

Das NIST CSF gibt Ihnen eine flexible Reifesprache und eine Möglichkeit, die Sicherheitslage gegenüber einem US-orientierten Publikum auszudrücken oder sich an US-bundesstaatlichen Erwartungen auszurichten. Ein gängiges Muster besteht darin, das Managementsystem für den Nachweis nach ISO 27001 zu zertifizieren und dann das CSF-Profil zu nutzen, um die Reife zu kommunizieren und sich mit Frameworks und Kunden abzustimmen, die in NIST-Begriffen sprechen.

NIST veröffentlicht informative Referenzen, die CSF-Unterkategorien auf ISO 27001 und andere Normen abbilden, sodass die Arbeit selten zweimal erledigt werden muss.