Das NIST Cybersecurity Framework

Das NIST Cybersecurity Framework (CSF) ist ein freiwilliges, risikobasiertes Framework, das vom US-amerikanischen National Institute of Standards and Technology veröffentlicht wurde. Es ist bewusst technologieunabhängig und lässt sich an Organisationen jeder Größe und Branche anpassen.

Seine Stärke liegt in einer einfachen, einprägsamen Struktur zur Organisation eines Sicherheitsprogramms. Ursprünglich für kritische Infrastrukturen entwickelt, wird es heute weltweit als gemeinsame Sprache für Cybersicherheitsrisiken eingesetzt.

Das Herzstück des CSF ist der Core, der in übergeordnete Funktionen gegliedert ist. Die klassischen fünf sind:

• Identify – Ihre Assets und Risiken verstehen.
• Protect – Schutzmaßnahmen einrichten.
• Detect – Ereignisse erkennen, sobald sie eintreten.
• Respond – auf erkannte Vorfälle reagieren.
• Recover – wiederherstellen und Erkenntnisse gewinnen.

CSF 2.0 (2024) ergänzt als sechste Funktion Govern, die übrigen Funktionen mit Überwachung und Strategie umgibt.

Identify schafft das für das Risikomanagement erforderliche organisatorische Verständnis. Sie können nichts schützen, von dessen Existenz Sie nichts wissen.

• Asset-Management für Hardware, Software, Daten und Services.
• Geschäftsumfeld und kritische Abhängigkeiten.
• Risikobewertung und Risikomanagementstrategie.
• Lieferkettenrisiken.

Diese Funktion beantwortet die Frage Was haben wir, und was bedroht es? Alles Weitere hängt davon ab, dass dieser Schritt richtig ausgeführt wird.

Protect implementiert Schutzmaßnahmen, um die Auswirkungen eines Ereignisses zu begrenzen oder einzudämmen. Dies ist der größte Bereich der präventiven Kontrollen:

• Identitätsmanagement und Zugriffskontrolle (Prinzip der geringsten Rechte, MFA).
• Sensibilisierung und Schulung.
• Datensicherheit, Verschlüsselung im Ruhezustand und bei der Übertragung.
• Wartung und Schutztechnologien (Härtung, Patchen).

Protect verringert die Wahrscheinlichkeit und den Schadensradius von Vorfällen, bevor sie eintreten.

Detect definiert Aktivitäten, mit denen ein Cybersicherheitsereignis rechtzeitig erkannt wird. Prävention versagt irgendwann immer, daher ist Erkennung unverzichtbar.

• Kontinuierliche Sicherheitsüberwachung (SIEM, EDR, Netzwerk-Sensoren).
• Anomalie- und Ereigniserkennung sowie Kenntnis Ihrer Baseline.
• Erkennungsprozesse, die getestet und gepflegt werden.

Die entscheidende Kennzahl ist die Erkennungszeit: Je länger eine Bedrohung unentdeckt bleibt, desto größeren Schaden verursacht sie.

Respond umfasst die Maßnahmen, die nach der Erkennung eines Vorfalls ergriffen werden, um dessen Auswirkungen einzudämmen.

• Reaktionsplanung, einschließlich eines dokumentierten Incident-Response-Plans.
• Kommunikation, intern wie extern, einschließlich Rechtsabteilung und PR.
• Analyse zum Verständnis des Umfangs und der Ursache.
• Abmilderung durch Eindämmung und Beseitigung der Bedrohung.

Hier kommen SOAR-Playbooks und Incident-Response-Runbooks zum Einsatz. Eine gut eingeübte Reaktion verringert die Auswirkungen jeder Sicherheitsverletzung.

Recover stellt durch einen Vorfall beeinträchtigte Fähigkeiten wieder her und führt gewonnene Erkenntnisse in das Programm zurück.

• Wiederherstellungsplanung und getestete Backups.
• Verbesserungen durch die Nachbereitung des Vorfalls, bei der Kontrollen aktualisiert werden.
• Kommunikation während der Wiederherstellung.

Recover schließt den Kreislauf. Die Aufarbeitung der nach einem Vorfall gewonnenen Erkenntnisse macht aus einer schmerzhaften Sicherheitsverletzung ein stärkeres Programm statt eines wiederholten Fehlers.

CSF 2.0 führte Govern als eine Funktion ein, die sich über alle anderen erstreckt. Sie etabliert und überwacht die Strategie, Erwartungen und Richtlinien der Organisation für das Management von Cybersicherheitsrisiken.

• Rollen, Verantwortlichkeiten und Rechenschaftspflicht.
• Eine an den Geschäftszielen ausgerichtete Risikomanagementstrategie.
• Richtlinien und Aufsicht, einschließlich der Einbindung der Unternehmensleitung.

Govern trägt dem Umstand Rechnung, dass Cybersicherheit eine Angelegenheit der Führungsebene und des Unternehmensrisikos ist, nicht nur eine technische.

Jede Funktion gliedert sich in Kategorien und Unterkategorien (spezifische Ergebnisse), die durch Codes referenziert werden.

Der CSF definiert Implementierungsstufen, die beschreiben, wie ausgereift und integriert Ihr Risikomanagement ist, von Tier 1 bis Tier 4:

• Tier 1 Partial — ad hoc, reaktiv.
• Tier 2 Risk Informed — Praktiken sind genehmigt, aber nicht organisationsweit umgesetzt.
• Tier 3 Repeatable — formale Richtlinien, die konsequent angewendet werden.
• Tier 4 Adaptive — kontinuierlich verbessert und bedrohungsorientiert.

Die Stufen sind kein Reifegradwert, den Sie blind maximieren sollten; wählen Sie die Stufe, die zu Ihren Risiken und Ressourcen passt.

Der CSF wird durch Profile zu einem handlungsfähigen Instrument. Erstellen Sie zwei Profile und vergleichen Sie sie:

• Ein aktuelles Profil — die Ergebnisse, die Sie heute erreichen.
• Ein Zielprofil — die Ergebnisse, die Sie angesichts Ihrer Risiken und Geschäftsziele benötigen.

Die Lücke zwischen beiden ist Ihre priorisierte Roadmap. Diese Lückenanalyse macht aus dem abstrakten Framework einen konkreten, budgetierten Plan: Schließen Sie die Lücken mit dem höchsten Risiko zuerst. So beeinflusst der CSF Investitionsentscheidungen, anstatt als Referenzdokument ungenutzt zu bleiben.

Ordnen Sie eine Aktivität der richtigen CSF-Funktion zu.

Das NIST Cybersecurity Framework:

• Eine freiwillige, risikobasierte und technologieunabhängige Struktur zur Organisation eines Sicherheitsprogramms.
• Kernfunktionen: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen sowie Govern (in CSF 2.0 hinzugefügt), das alle umschließt.
• Identifizieren erfasst Assets und Risiken; Schützen verhindert; Erkennen findet Ereignisse; Reagieren begrenzt deren Auswirkungen; Wiederherstellen stellt den Betrieb wieder her und sorgt für Lernprozesse.
• Die Funktionen gliedern sich in Kategorien und Unterkategorien (codierte Ergebnisse); ein Profil ist die Menge der Ergebnisse, die Sie anstreben.
• Implementierungsstufen (von 1 Partial bis 4 Adaptive) beschreiben den Reifegrad; wählen Sie die Stufe, die zu Ihren Risiken passt, und maximieren Sie sie nicht blind.