NIST CSF.
Beskriv cybersikkerhedsrisici med et fælles resultatsprog, og prioriter forbedringer inden for et passende omfang.
- NIST CSWP 29 · CSF 2.0
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 6 min.
Kort svar.
NIST CSF er en ramme til styring af cybersikkerhedsrisici for organisationer af forskellige størrelser og brancher. NIST Cybersecurity Framework 2.0 ordner ønskede resultater i seks funktioner. Aktuelle profiler og målprofiler hjælper med at prioritere forbedringer. Rammen foreskriver ikke en ensartet foranstaltningsliste; Tiers beskriver risikostyringens udformning.
NIST Cybersecurity Framework 2.0.
NIST CSF 2.0 beskriver resultater, som ledelse, fagområder og sikkerhedsteams kan tale om sammen. Udgaven blev offentliggjort den 26. februar 2024 som NIST CSWP 29. Den aktuelle udgiverside angiver fortsat denne grundudgave; yderligere vejledninger og Community Profiles supplerer anvendelsen. Et senere udgivet ledsagedokument er derfor ikke automatisk en ny rammeværksversion.
Core ordner resultaterne efter funktioner, kategorier og underkategorier. En Organizational Profile dokumenterer, hvilke resultater der er opnået eller tilstræbes for et bestemt omfang. Tiers giver supplerende kontekst til risikostyringen. NIST SP 1299 forklarer disse tre byggesten særskilt: et emneoverblik, en profil og en beskrivelse af arbejdsformen besvarer forskellige spørgsmål.
Den konkrete implementering forbliver kontekstafhængig. NIST CSWP 29, afsnit 1, henvender sig til forskellige sektorer og organisationsstørrelser uden at foreskrive et identisk foranstaltningskatalog. I driften betyder det, at et resultat skal forbindes med egne tjenester, risici og ansvar, før det bliver en meningsfuld implementeringsopgave.
Hvem NIST CSF egner sig til.
NIST CSF egner sig til organisationer, som vil begrunde sikkerhedsprioriteter forståeligt og forbinde dem med forretningsmål. Den offentlige NIST-publikationsside nævner udtrykkeligt forskellige størrelser, sektorer og udgangspunkter. Rammen kan understøtte både en tidlig start og revurdering af et eksisterende sikkerhedsprogram. Et højt teknisk niveau gør ikke beslutningen om acceptable risici overflødig.
Anvendelsen er som udgangspunkt frivillig; konkrete lovmæssige, myndighedsmæssige eller kontraktlige krav skal undersøges særskilt. NIST’s aktuelle FAQ henviser til mulige eksterne krav. For en tysk virksomhed medfører oprindelsen i det amerikanske handelsministerium hverken en generel anvendelsespligt eller en udelukkelse. Afklar i praksis, om en kunde forventer en bestemt profil, vurdering eller anden dokumentationsform.
De seks funktioner i NIST CSF.
De seks CSF-funktioner ordner sammenhørende cybersikkerhedsresultater. NIST CSWP 29, afsnit 2, behandler dem samtidigt; rækkefølgen er ikke en serie projektfaser, der afsluttes én gang. Følgende beskrivelser forklarer hovedområderne med egne ord.
Govern: afklar retning og ansvar.
Govern forbinder sikkerhedsbeslutninger med organisationens opgave, dens risikoforventninger og ledelsens tilsyn. Ansvar og håndtering af eksterne afhængigheder hører til denne sammenhæng. I praksis er en bestemmelse først anvendelig, når det fremgår, hvem der må beslutte om afvigelser.
Identify: forstå risici i driftskonteksten.
Identify ser på eksisterende aktiver og de tilknyttede risici. Det omfatter, hvilke informationer, tjenester og afhængigheder der er væsentlige for driften. En fortegnelse støtter arbejdet; en liste alene forklarer endnu ikke den forretningsmæssige betydning eller leverandørsammenhængen.
Protect: driv passende beskyttelse.
Protect vedrører de tiltag, hvormed organisationer begrænser risici for deres tjenester og informationer. Mennesker, arbejdsgange og teknik virker sammen. Den passende udformning skal følge af egen kontekst; funktionsnavnet alene afgør ikke et produkt eller en konkret konfiguration.
Detect: opdag og vurder afvigelser.
Detect behandler evnen til at bemærke og analysere potentielt skadelige hændelser. I den praktiske vurdering tæller derfor også, om observationer fører til en forståelig beslutning. Et aktiveret overvågningsværktøj siger endnu intet om dækning, behandling eller opdagelsens kvalitet.
Respond: handl koordineret ved hændelser.
Respond ordner handlingerne ved en konstateret cybersikkerhedshændelse. Organisationen skal koordinere sin reaktion med de berørte parter. En øvelse, der efterprøver beslutningsveje og tilgængelige oplysninger, hjælper som praktisk begyndelse; lovbestemte indberetningstærskler skal desuden betragtes særskilt.
Recover: genopret driften.
Recover ser på genopretning af berørte evner og den ledsagende kommunikation. Forberedelsen begynder før en hændelse. I hverdagen bør ansvarlige derfor kunne undersøge, om genstart er mulig med de antagne afhængigheder, og hvilke beslutninger der faktisk er nødvendige ved en forstyrrelse.
Anvend NIST CSF med profiler.
Aftal omfang og formål.
Afgræns som praktisk begyndelse en tjeneste eller et organisationsområde, og afklar, hvilket risikospørgsmål ledelsen ønsker besvaret med profilen.
Saml eksisterende oplysninger.
Indsaml efter tilgangen i NIST SP 1301 relevante mål, risici, krav, ansvar og driftsoplysninger for dette omfang.
Skeln mellem Current og Target Profile.
Beskriv den opnåede status sporbart, og fastlæg særskilt, hvilke resultater der tilstræbes med hvilken prioritet.
Træf beslutninger om forbedringer.
Vurder forskellene, og fastlæg konkret arbejde, ansvarlige og ressourcer frem for at vægte alle mulige forbedringer ens.
Implementer og revurder.
Følg den aftalte plan, og opdater profiler ved ny viden eller ændrede risici; trinene er en gentagelig begyndelse ud fra NIST SP 1301.
Vurder profiler og Tiers sporbart.
En CSF-profil er en begrundet fremstilling af den betragtede status. NIST SP 1301 skelner mellem Current og Target Profile: Den første beskriver opnåede resultater, den anden de valgte mål og prioriteter. En Community Profile kan vejlede; NIST’s profilside beskriver den som en gruppes fælles udgangspunkt. Egen grænse og de faktiske beslutninger skal stadig forklares.
De fire Tiers hedder Partial, Risk Informed, Repeatable og Adaptive. Efter NIST SP 1302 karakteriserer de udformningen af risikostyring og risikohåndtering. Valget tager blandt andet højde for mål, risici, krav og tilgængelige ressourcer. De supplerer risikometoden; de erstatter hverken konkret dokumentation eller en begrundet beslutning om den nødvendige tilstand.
En intern eller bestilt ekstern vurdering bør vise omfang, tidspunkt, metode og udsagnsgrænser. NIST tilbyder ikke CSF-certificering; en privat vurderingsrapport må derfor ikke betegnes som et certifikat udstedt af NIST. Til vedligeholdelsen skal det i praksis fastlægges, hvilke ændringer der udløser revurdering. En generel certifikatgyldighed kan ikke udledes af CSF.
Forstå andre rammeværker.
ISO 27001 beskriver krav til et ledelsessystem for informationssikkerhed med mulig certificeringsdokumentation. NIST SP 800-53 tilbyder et detaljeret kontrolkatalog for sikkerhed og databeskyttelse, mens CIS Controls ordner prioriterede beskyttelsespraksisser. Hjælpemidlerne kan konkretisere driftsarbejdet; deres anvendelse skal vurderes særskilt fra fremstillingen af en CSF-profil.
I Secani.
Secani stiller et redaktionelt tysk-engelsk arbejdskatalog til NIST CSF 2.0 til rådighed. De eksisterende profiloplysninger registrerer blandt andet vurderingsdato, aftalt omfang og profilformål som aktuel status, mål eller begge dele. Kataloget erstatter hverken den engelske udgivertekst eller den faglige vurdering; der loves hverken automatisk Tier-bestemmelse eller NIST-certificering.
Begynd med et konkret risikospørgsmål.
Vælg en repræsentativ tjeneste, og angiv, hvilken beslutning profilen skal forberede. Dokumenter omfanget inklusive vigtige leverandører og understøttende processer. Saml eksisterende registreringer, før De beskriver en måltilstand. Dermed bliver det synligt, hvilke udsagn der allerede er holdbare, og hvor der først kræves yderligere undersøgelse.
Kilder.
- NIST – aktuelt CSF 2.0 Resource Center
- NIST CSWP 29 – Cybersecurity Framework 2.0, 26. februar 2024
- NIST – publikationsside om CSF 2.0
- NIST SP 1299 – Resource & Overview Guide
- NIST SP 1301 – Organizational Profiles
- NIST – aktuelle profiler og skabeloner
- NIST SP 1302 – Using the CSF Tiers
- NIST – ofte stillede spørgsmål om CSF
Ofte stillede spørgsmål.
Nej. CSF 2.0 er beregnet til organisationer i forskellige lande, størrelser og sektorer; mulige lovmæssige eller kontraktlige anvendelseskrav skal undersøges særskilt.
Nej. Tiers karakteriserer risikostyring og risikohåndtering i den konkrete kontekst; de er hverken NIST-tildelte certificeringsniveauer eller universelle modenhedskarakterer.
Nej. NIST SP 1302 knytter valget til mål, risici, krav og gennemførlighed; en højere klassificering er ikke generelt et mål i sig selv.
Nej. En CSF-profil og certificering af ISMS’et er forskellige udsagn; kontraktligt krævet dokumentation skal vurderes ud fra den aftalte ordlyd og det aftalte anvendelsesområde.
Forbind resultater og dokumentation.
Tal om, hvordan De kan strukturere arbejdet med sikkerhedsprogrammet i Secani.
Denne side forklarer NIST CSF 2.0 med egne ord. Udgiverens publikationer er afgørende; en profilvurdering erstatter ikke en særskilt undersøgelse af juridiske eller kontraktlige pligter.