Was ist das NIST Cybersecurity Framework 2.0?
Das NIST Cybersecurity Framework (CSF) 2.0 ist ein anpassbarer NIST-Rahmen, mit dem Organisationen Cybersicherheitsrisiken steuern und verringern können.
Technische Einordnung: Der CSF Core stellt eine Taxonomie übergeordneter Cybersicherheitsergebnisse bereit. Er gliedert diese Ergebnisse in Functions, Categories und Subcategories. Organisationen können damit ihre Aktivitäten verstehen, bewerten, priorisieren und gegenüber internen und externen Beteiligten kommunizieren.
Aus welchen Bestandteilen besteht CSF 2.0?
CSF 2.0 besteht aus dem CSF Core, Organizational Profiles und Tiers. Der Core umfasst die sechs Functions Govern, Identify, Protect, Detect, Respond und Recover. Organizational Profiles beschreiben aktuelle und/oder angestrebte Ergebnisse. Die vier Tiers Partial, Risk Informed, Repeatable und Adaptive charakterisieren die Strenge der Governance- und Risikomanagementpraktiken.
Die Tiers ergänzen die Risikomanagementmethodik einer Organisation, ersetzen sie aber nicht. Sie sind weder eine verbindliche Zertifizierungsskala noch eine universelle Reifegradskala.
Für wen ist CSF 2.0 gedacht?
Der Rahmen ist für Organisationen jeder Größe, jedes Sektors und jedes Reifegrads konzipiert. Dazu zählen Unternehmen, Behörden, Wissenschafts- und Non-Profit-Organisationen. Er ist weder auf kritische Infrastrukturen noch auf IT-Abteilungen beschränkt.
Die Ergebnisse des Core können auf die gesamte von einer Organisation eingesetzte Informations- und Kommunikationstechnik bezogen werden, einschließlich IT, IoT und OT sowie Cloud-, Mobil- und KI-Umgebungen.
Wann wird CSF 2.0 angewendet?
Das Framework selbst setzt keinen allgemeinen Implementierungsauslöser. Organisationen können es freiwillig einsetzen, um ihr Cybersicherheitsrisikomanagement aufzubauen, zu beurteilen oder zu verbessern.
Technische Einordnung bei freiwilliger Anwendung: Bei einer freiwilligen Nutzung richten sich Auswahl und Priorisierung der Ergebnisse nach Missionszielen, Stakeholder-Erwartungen, Bedrohungslage und organisationsbezogenen Anforderungen. Behördliche, regulatorische oder vertragliche Vorgaben können die Nutzung im Einzelfall verlangen; eine solche Verbindlichkeit folgt aus der jeweiligen externen Vorgabe und nicht aus CSF 2.0.
Ist der CSF Core eine Maßnahmen-Checkliste?
Nein. Der Core beschreibt angestrebte Ergebnisse, schreibt aber weder konkrete Umsetzungswege noch Maßnahmen, Verantwortlichkeiten oder Kontrollen vor. Diese unterscheiden sich je nach Organisation und Anwendungsfall. Auch Reihenfolge und Umfang der Core-Elemente legen keine Umsetzungsreihenfolge oder Priorität fest.
Abgrenzung: Ergänzende NIST-Ressourcen können Praktiken und Kontrollen zur Erreichung einzelner Ergebnisse benennen. Dadurch wird der Core nicht zu einer verbindlichen Kontrollliste.
Gibt es eine NIST-Zertifizierung für CSF 2.0?
Nein. Nach den NIST-FAQ bietet NIST weder Zertifizierungen noch Bestätigungen für CSF-bezogene Produkte, Implementierungen oder Dienstleistungen an und betreibt kein entsprechendes Konformitätsbewertungsprogramm. Aussagen über „NIST-zertifizierte“ CSF-Umsetzungen dürfen deshalb nicht mit einer Zertifizierung durch NIST verwechselt werden.
Welche Fristen und Schwellenwerte gelten?
CSF 2.0 enthält keine allgemeine verbindliche Einführungsfrist und keinen allgemeinen Größen-, Umsatz- oder Reifegradschwellenwert. Externe Vorgaben können eigene Fristen oder Anwendungsvoraussetzungen enthalten; diese sind nicht Bestandteil des Frameworks.
Für einen aus einem Organizational Profile abgeleiteten Aktionsplan kann eine Organisation eine Gesamtfrist festlegen oder ihn fortlaufend führen. Die Schritte zur Profilerstellung und -aktualisierung dürfen nach Bedarf wiederholt werden.
Wie werden Current und Target Profile genutzt?
Ein Current Profile beschreibt die aktuell erreichten Ergebnisse, ein Target Profile die angestrebten Ergebnisse. Die Organisation grenzt zunächst den betrachteten Umfang ab, vergleicht anschließend beide Profile und bewertet die Unterschiede. Daraus kann sie einen priorisierten Aktionsplan ableiten und dessen Fortschritt fortlaufend aktualisieren.
Umfang, Zielbild und Priorisierung sind an Mission, Risiken, Ressourcen, Stakeholder-Erwartungen sowie rechtliche, regulatorische und Governance-Anforderungen der jeweiligen Organisation anzupassen.
Häufige Fehlannahmen
- „CSF 2.0 ist ein Gesetz.“ Nein. Es ist ein freiwillig nutzbarer NIST-Rahmen. Eine Verpflichtung kann nur aus einer gesonderten externen Vorgabe entstehen.
- „Der Core ist eine abzuarbeitende Kontrollliste.“ Nein. Er beschreibt Ergebnisse, aber nicht die dafür zwingend einzusetzenden Maßnahmen.
- „Eine höhere Tier-Stufe garantiert einen bestimmten Reifegrad.“ Nein. Tiers charakterisieren Governance- und Risikomanagementpraktiken; sie sind keine universelle Reifegradgarantie.
- „NIST zertifiziert CSF-konforme Unternehmen oder Produkte.“ Nein. NIST bietet dafür keine Zertifizierung, Bestätigung oder Konformitätsbewertung an.
- „Das Framework gilt nur für kritische Infrastruktur oder die IT-Abteilung.“ Nein. Es ist organisationsweit, sektorunabhängig und für unterschiedliche Technikbereiche konzipiert.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Entscheidet sich eine Organisation für CSF 2.0, sollte die Geschäftsleitung folgende Schritte veranlassen; sie sind NIST-orientierte Empfehlungen und keine eigenständige Rechtspflicht:
- Den organisatorischen und technischen Umfang für ein Current und ein Target Profile angemessen abgrenzen.
- Beide Profile erstellen lassen und die Unterschiede zwischen aktuellem und angestrebtem Zustand bewerten.
- Einen priorisierten Aktionsplan beschließen, der Mission, Risiken, Bedrohungslage, Ressourcen und Stakeholder-Erwartungen berücksichtigt.
- Relevante rechtliche, regulatorische, vertragliche und Governance-Anforderungen gesondert erfassen und in die Priorisierung einbeziehen.
- Den Fortschritt regelmäßig überwachen sowie Aktionsplan und Profile nach Bedarf aktualisieren.
Für die Geschäftsleitung
CSF 2.0 kann organisationsweit und unabhängig von Größe, Sektor oder bisherigem Reifegrad eingesetzt werden. Die Leitungsentscheidung betrifft nicht die pauschale Übernahme einer Checkliste, sondern Umfang, Zielbild und risikobezogene Prioritäten. Current und Target Profile, die Bewertung ihrer Unterschiede, der beschlossene Aktionsplan, die Überwachung des Fortschritts und bedarfsgerechte Aktualisierungen unterstützen die interne Nachvollziehbarkeit der gewählten Steuerung. Ob daneben verbindliche Anforderungen gelten, muss anhand der jeweils einschlägigen externen Vorgaben separat beurteilt werden.
Quellen
- NIST CSWP 29: The NIST Cybersecurity Framework (CSF) 2.0, insbesondere Abschnitte 1 bis 3 und Appendix C.
- NIST Cybersecurity Framework FAQs, insbesondere „Framework Basics“ und „Using the Framework“.
- NIST SP 1299: NIST Cybersecurity Framework 2.0 — Resource & Overview Guide.
- NIST: CSF 2.0 Organizational Profiles.
