Was sind die CIS Controls v8.1?
Die CIS Controls v8.1 sind ein von CIS veröffentlichter, priorisierter technischer Maßnahmenrahmen mit 18 Controls und 153 Safeguards zur Abwehr verbreiteter Cyberangriffe auf Systeme und Netzwerke.
Technische Einordnung: Die Controls beschreiben übergeordnete Handlungsfelder; die zugehörigen Safeguards konkretisieren empfohlene Schutzmaßnahmen. Der Rahmen ist keine Rechtsnorm und erzeugt selbst keine allgemeine Umsetzungspflicht.
Für wen sind die CIS Controls v8.1 gedacht?
Organisationen können den Rahmen branchenübergreifend und grundsätzlich freiwillig nutzen, um ihre Cyberabwehr zu verbessern. CIS beschreibt die Controls als für die Verbesserung der eigenen Cybersicherheit frei nutzbar. Für eine Verwertung in kundenbezogenen Produkten oder Dienstleistungen nennt CIS gesonderte Nutzungsbedingungen beziehungsweise Mitgliedschafts- oder Unterstützeroptionen; dies begrenzt die Verwertung, nicht den fachlichen Anwendungsbereich.
Wie funktionieren die Implementation Groups?
Einordnung der Herausgeberangaben: IG1, IG2 und IG3 helfen, Safeguards abhängig vom Risiko, von den verfügbaren Ressourcen und von den Fähigkeiten einer Organisation zu priorisieren. Bei einer freiwilligen Einführung ist deshalb die zum eigenen Organisationsrisiko passende Implementation Group zu bestimmen; die Gruppen sind kein organisationsübergreifender gesetzlicher Schwellenwert.
Wann müssen die CIS Controls angewendet werden?
Die CIS Controls selbst setzen keinen gesetzlichen Trigger. Ausgangspunkt ist die freiwillige Entscheidung, sie als Sicherheitsrahmen einzuführen. Eine Verbindlichkeit kann nur aus einer separat zu prüfenden gesetzlichen, vertraglichen, aufsichtsrechtlichen oder internen Vorgabe folgen. In diesem Fall ergeben sich Adressaten, Bedingungen und Umfang aus dieser anderen Vorgabe, nicht aus den CIS Controls.
Welche Fristen und Schwellenwerte gelten?
Die allgemeine Dokumentation zu CIS Controls v8.1 nennt keine einheitliche Umsetzungsfrist, keinen allgemeinen Startzeitpunkt und keinen organisationsübergreifenden Schwellenwert. Sektorale, vertragliche oder interne Vorgaben können außerhalb des Frameworks eigene Fristen, Startpunkte oder Schwellenwerte festlegen und müssen gesondert geprüft werden.
Was hat sich in Version 8.1 geändert?
Technische Einordnung: Version 8.1 behält die Grundstruktur mit 18 Controls und 153 Safeguards bei. CIS aktualisierte jedoch Zuordnungen zu fortentwickelten Standards und Frameworks, Asset-Klassen sowie Beschreibungen bestimmter Safeguards. Außerdem wurde die aus NIST CSF 2.0 übernommene Govern-Funktion ergänzt. Die Safeguard-Inhalte sind daher nicht pauschal als unverändert zu behandeln.
Belegen die CIS Controls Compliance oder eine Zertifizierung?
Nein. Nach den Herausgeberangaben ersetzen die CIS Controls und ihre Mappings kein Regulierungs-, Compliance- oder Autorisierungssystem. Mappings können einen Ausgangspunkt für die Zuordnung von Maßnahmen bieten, belegen aber weder automatisch die Erfüllung konkreter Anforderungen noch eine Zertifizierung. Die jeweils einschlägigen Anforderungen und deren tatsächliche Abdeckung sind separat zu prüfen.
Davon zu unterscheiden ist das gesonderte CIS Controls Accreditation-Programm für berechtigte Mitglieder. Es ist keine allgemeine Zertifizierung jeder Organisation, die CIS Controls implementiert.
Wie unterscheiden sich CIS Controls und CIS Benchmarks?
Die Controls bündeln allgemeine empfohlene Sicherheitspraktiken und priorisierte Maßnahmen. CIS Benchmarks enthalten dagegen konkrete Härtungsleitlinien für bestimmte Betriebssysteme, Middleware, Anwendungen und Netzwerkgeräte. Ein Benchmark ist daher kein Ersatzbegriff für ein Control oder einen Safeguard.
Häufige Fehlannahmen
Vier Abgrenzungen sind für die richtige Verwendung besonders wichtig:
- „Die CIS Controls sind verbindliches Recht.“ Das ist falsch. Der Rahmen erzeugt selbst keine allgemeine gesetzliche Umsetzungspflicht; eine Verbindlichkeit muss aus einer anderen einschlägigen Vorgabe folgen.
- „Eine Umsetzung beweist automatisch Compliance.“ Das ist falsch. Konkrete Anforderungen, Geltungsbereiche und die Aussagekraft eines Mappings bleiben gesondert zu prüfen.
- „Wer die Controls umsetzt, ist CIS-zertifiziert.“ Das ist falsch. Das separate Accreditation-Programm für berechtigte Mitglieder ist von der bloßen Implementierung durch eine Organisation abzugrenzen.
- „Version 8.1 hat keine Safeguard-Inhalte verändert.“ Das ist falsch. CIS beschreibt unter anderem überarbeitete Beschreibungen bestimmter Safeguards.
- „Die Implementation Groups sind feste gesetzliche Schwellenklassen.“ Das ist falsch. Sie dienen der risikoorientierten Priorisierung nach Ressourcen und Fähigkeiten.
- „CIS Controls und CIS Benchmarks sind dasselbe.“ Das ist falsch. Controls formulieren allgemeine Praktiken, Benchmarks produktspezifische Härtungsleitlinien.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte unterstützen eine risikoorientierte Einführung, begründen aber keine eigenständige Rechtspflicht:
- Das Organisationsrisiko, vorhandene Fähigkeiten und verfügbare Ressourcen bewerten und dazu eine passende Implementation Group bestimmen.
- Ressourcen zunächst auf die priorisierten Safeguards mit hohem unmittelbarem Nutzen für die eigene Cyberabwehr ausrichten.
- Umsetzung und verbleibende Restrisiken nachvollziehbar überwachen.
- Bei Compliance-Zielen die tatsächlich einschlägigen Anforderungen separat bestimmen und prüfen, welche Aussagekraft vorhandene Mappings im konkreten Geltungsbereich besitzen.
Für die Geschäftsleitung
Die CIS Controls v8.1 bieten einen organisations- und branchenübergreifend nutzbaren Ausgangspunkt für priorisierte Cyberabwehr. Die Leitung entscheidet anhand von Risiko, Ressourcen und Fähigkeiten über die passende Implementation Group und den Umsetzungsumfang. Als Nachweis sollte sie Umsetzung und Restrisiken nachvollziehbar überwachen; für Compliance oder Zertifizierung ist zusätzlich eine anforderungsspezifische Prüfung erforderlich.
Quellen
Autoritative technische Primärquellen des Herausgebers CIS; sie sind keine amtlichen Rechtsquellen:
