NIST CSF und ISO 27001: die Rolle im Betrieb festlegen

NIST CSF und ISO 27001 helfen Organisationen, Sicherheit zu ordnen, erfüllen im Betrieb aber unterschiedliche Rollen. Die Entscheidung der Leitung wird klarer, wenn Sie fragen, welches Ergebnis das Unternehmen braucht: ein gemeinsames Bild der Prioritäten in der Cybersicherheit, ein formal gesteuertes Informationssicherheitsprogramm, eine unabhängige Bestätigung für Kunden oder eine Kombination davon.

Die Wahl eines Frameworks entbindet die Leitung nicht von ihrer Verantwortung. Führungskräfte müssen weiterhin den Geltungsbereich festlegen, Verbesserungen finanzieren, Verantwortliche benennen und entscheiden, welche Restrisiken das Unternehmen akzeptiert. Die nützliche Frage lautet daher nicht: „Welches Framework ist besser?“ Sie lautet: „Welche Rolle soll jedes davon dabei spielen, wie wir Sicherheit betreiben und nachweisen?“

Die Ergebnisse vergleichen, nicht nur die Maßnahmenlisten

Das NIST Cybersecurity Framework, derzeit CSF 2.0, beschreibt Ergebnisse der Cybersicherheit. Es gibt technischen Teams und der Geschäftsleitung eine gemeinsame Sprache, um über Risiken, Fähigkeiten und Prioritäten zu sprechen, ohne jeder Organisation eine bestimmte Umsetzung vorzuschreiben.

ISO/IEC 27001 legt Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) fest. Dieses System bestimmt, wie eine Organisation Informationssicherheitsrisiken ermittelt, Behandlungen auswählt, Verantwortung zuweist, Leistung bewertet und sich verbessert. Eine unabhängige Zertifizierung kann eine Bestätigung über die Konformität des Managementsystems innerhalb seines festgelegten Geltungsbereichs liefern.

Beide sind für Organisationen unterschiedlicher Größe und Reife nutzbar. NIST CSF ist nicht nur für Einsteiger oder US-Unternehmen gedacht, und ISO 27001 ist nicht großen internationalen Konzernen vorbehalten. Der Reifegrad beeinflusst den nötigen Aufwand, nicht die grundsätzliche Eignung des Ansatzes.

Was NIST CSF zu Entscheidungen der Leitung beiträgt

CSF 2.0 ordnet Ergebnisse in sechs Funktionen. Diese wirken zusammen; sie sind keine sechs Projektphasen, die nacheinander dauerhaft abgeschlossen werden.

Govern ist für die Geschäftsleitung besonders wichtig. Die Funktion verbindet Cybersicherheit mit Geschäftszielen, Verantwortlichkeit, Richtlinien und Aufsicht. Sie verhindert, dass Sicherheit zu einem technischen Backlog ohne ausdrücklich verantwortliche Person im Geschäft wird.

Ergebnisse in einen Investitionsplan übersetzen

Ein Current Profile beschreibt die Ergebnisse der Cybersicherheit, die die Organisation derzeit erreicht. Ein Target Profile beschreibt die Ergebnisse, die sie erreichen will, abgeleitet aus ihren Zielen, Bedrohungen, Pflichten und den Erwartungen der Beteiligten. Die Lücke zwischen beiden bietet eine Grundlage, um Arbeit zu priorisieren.

Ein Unternehmen könnte beispielsweise Backups haben, aber kaum Nachweise, dass sich sein wichtigster Dienst unter realistischen Bedingungen wiederherstellen lässt. Die nützliche Lücke lautet nicht einfach „Wiederherstellung unvollständig“. Sie besteht aus einem definierten Ergebnis, einem betroffenen Dienst, einer verantwortlichen Person, einer geplanten Wiederherstellungsübung und einer Entscheidung über die akzeptable Störung.

CSF-Tiers beschreiben Merkmale der Steuerung und des Managements von Cybersicherheitsrisiken. Sie bieten Kontext für Gespräche über Gründlichkeit und Konsistenz; sie sind keine Zertifizierungsstufen und kein allgemeiner Reifegradwert, den jede Organisation maximieren muss.

CSF selbst ist keine Zertifizierungsnorm nach dem Vorbild von ISO. Eine Organisation kann eine Bewertung beauftragen und ihr Profil mit Nachweisen belegen, sollte dies aber nicht so darstellen, als habe NIST eine Zertifizierung ausgestellt. Der geschäftliche Nutzen entsteht aus der Klarheit der Bewertung und den Verbesserungen, die sie anstößt.

Was ISO 27001 dem Betriebssystem hinzufügt

ISO 27001 konzentriert sich auf ein Managementsystem mit festgelegtem Geltungsbereich. Die Kapitel 4 bis 10 behandeln Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Die Umsetzung bedeutet, einen funktionierenden Managementzyklus zu etablieren, nicht bloß Richtlinien für einen Auditor zusammenzustellen.

Informationssicherheit umfasst Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit betrifft angemessenen Zugriff; Integrität betrifft Richtigkeit, Vollständigkeit und Schutz vor unzulässigen Änderungen; Verfügbarkeit betrifft den berechtigten Zugriff, wenn er benötigt wird. Integrität bedeutet nicht, dass sich Informationen nie ändern dürfen: Legitime Änderungen brauchen angemessene Genehmigung und Kontrolle.

Das ISMS wendet diese Schutzziele über Risikobeurteilung und Risikobehandlung an. Es ist keine pauschale Anweisung, jede mögliche Sicherheitstechnologie einzusetzen.

Die wesentlichen ISMS-Arbeitsergebnisse auseinanderhalten

Mehrere Dokumente hängen eng zusammen, beantworten aber unterschiedliche Fragen:

• Geltungsbereich: Welche Tätigkeiten, Standorte, Informationen, Systeme und Schnittstellen der Organisation deckt das ISMS ab?
• Risikobeurteilung: Was könnte geschehen, wie bedeutsam wäre es, und wie wird diese Einschätzung einheitlich getroffen?
• Risikobehandlungsplan: Welche Maßnahmen adressieren die ermittelten Risiken, wer verantwortet sie, und welche Freigaben sind erforderlich?
• Erklärung zur Anwendbarkeit: Welche notwendigen Maßnahmen sind enthalten, warum sind sie enthalten, sind sie umgesetzt, und warum sind etwaige Maßnahmen aus Anhang A ausgeschlossen?
• Internes Audit: Entspricht das ISMS den anwendbaren Anforderungen und wird es wirksam betrieben, beurteilt durch eine angemessen unparteiische Prüfung?
• Managementbewertung: Berücksichtigt die Leitung Leistung, Änderungen, Befunde und Verbesserungsbedarf und trifft sie daraus folgende Entscheidungen?

Ein Risikoregister ersetzt keine Erklärung zur Anwendbarkeit. Eine Besprechung der Leitung ist nicht automatisch eine Managementbewertung. Jedes Arbeitsergebnis braucht einen eigenen Zweck, eigene Eingaben und dokumentierte Schlussfolgerungen.

Anhang A der ISO 27001:2022 enthält 93 Maßnahmen, gruppiert in organisatorische, personenbezogene, physische und technologische Kategorien. Die Anwendbarkeit ist risikobasiert. Organisationen bestimmen die notwendigen Maßnahmen und gleichen sie mit Anhang A ab, damit keine notwendige Maßnahme übersehen wird; sie können Maßnahmen über diesen Referenzsatz hinaus benötigen. ISO 27002 bietet eine Umsetzungshilfe für die Maßnahmen.

Unser Leitfaden zu Anhang A erläutert die Struktur der Maßnahmen ausführlicher. Für die Leitung ist entscheidend, dass eine abgehakte Checkliste nicht dasselbe ist wie ein funktionierendes ISMS.

Verstehen, was eine Zertifizierung belegt

Eine Zertifizierung ist freiwillig, sofern nicht ein Vertrag oder eine andere anwendbare Pflicht sie verlangt. Eine Organisation kann ein ISMS betreiben, ohne ein Zertifikat anzustreben.

Wird eine Zertifizierung benötigt, bewertet eine unabhängige Zertifizierungsstelle das ISMS; ISO stellt das Zertifikat nicht aus. Die Erstzertifizierung umfasst in der Regel eine erste Stufe zur Prüfung der Bereitschaft und der dokumentierten Regelungen, gefolgt von einer zweiten Stufe zur Bewertung der Umsetzung. Die Aufrechterhaltung der Zertifizierung umfasst laufende Bewertungen und eine Rezertifizierung nach den Regeln der Zertifizierungsstelle.

Lesen Sie den Geltungsbereich, bevor Sie sich auf ein Zertifikat stützen. Die Zertifizierung eines Dienstes oder Geschäftsbereichs sollte nicht so dargestellt werden, als decke sie jedes Produkt, jede Tochtergesellschaft oder jeden Standort ab. Sie garantiert auch nicht, dass nie Vorfälle eintreten, und belegt nicht die Einhaltung aller anwendbaren Gesetze.

Nach der Entscheidung wählen, die das Unternehmen treffen muss

Beginnen Sie mit den externen Erwartungen und prüfen Sie dann die internen betrieblichen Bedürfnisse. Bitten Sie Vertrieb und Einkauf, zu unterscheiden, was Kunden tatsächlich verlangen und was sie lediglich bevorzugen.

„ISO 27001-konform“, „ISO 27001-zertifiziert“ und „am NIST CSF ausgerichtet“ sind unterschiedliche Aussagen. Verlangt ein Vertrag ein Zertifikat, erfüllt eine CSF-Bewertung diesen Wortlaut nicht. Braucht der Aufsichtsrat oder Vorstand einen klaren Verbesserungsplan, erklärt ein Zertifikat allein womöglich nicht, wo die Organisation als Nächstes investieren sollte.

Nutzen Sie diese Entscheidungspunkte:

• Wählen Sie CSF als primäre Kommunikationsstruktur, wenn der unmittelbare Bedarf darin besteht, eine gemeinsame Ausgangsbasis zu schaffen, aktuelle und angestrebte Ergebnisse zu vergleichen und Investitionen in Cybersicherheit zu priorisieren.
• Wählen Sie ISO 27001 als primäre Managementstruktur, wenn die Organisation ein formales ISMS mit einheitlicher Risikobehandlung, Bewertung und Verbesserung braucht.
• Streben Sie eine Zertifizierung an, wenn eine unabhängige Bestätigung mit festgelegtem Geltungsbereich einem dokumentierten Kunden-, Vertrags- oder Geschäftsziel dient.
• Nutzen Sie beides, wenn das ISMS die Umsetzung steuern kann, während CSF-Profile der Leitung und den Beteiligten die angestrebten Ergebnisse vermitteln.

Eine reife Organisation kann CSF nutzen, um nach einer Übernahme Prioritäten neu zu bewerten. Ein kleines Unternehmen kann früh ein ISMS nach ISO 27001 aufbauen, weil Erwartungen im Einkauf es verlangen. Machen Sie die Unternehmensgröße nicht zum Ersatz für das Verständnis des tatsächlichen Bedarfs.

Keiner der beiden Ansätze macht eine gesonderte Analyse rechtlicher Pflichten überflüssig. So belegt ein ISO-Zertifikat keine Einhaltung von DSGVO oder NIS2. Anwendbare rechtliche Pflichten sollten in die Risikobeurteilung und die Auswahl der Maßnahmen einfließen, mit eigenen Nachweisen und eigener Verantwortlichkeit.

Ein Umsetzungsmodell etablieren, mit geprüften Zuordnungen

Beide Ansätze zu nutzen sollte nicht bedeuten, zwei voneinander getrennte Sicherheitsprogramme aufzubauen. Als praktische Empfehlung: Organisieren Sie die Umsetzung entlang von Diensten, Risiken, Maßnahmen, Verantwortlichen und Nachweisen und setzen Sie diese Arbeit dann zu jedem Framework in Beziehung.

Ein nützlicher Umsetzungseintrag enthält Folgendes:

Zuordnungen sind Viele-zu-viele-Beziehungen. Ein Prozess zur Vorfallreaktion kann mehrere CSF-Ergebnisse und mehrere ISMS-Anforderungen stützen. Umgekehrt kann ein Ergebnis von Richtlinien, technischen Schutzmaßnahmen, Schulungen und Lieferantenregelungen abhängen.

Für die Vorfallreaktion beschreibt CSF beabsichtigte Fähigkeiten wie die Koordination der Reaktion und die Analyse von Vorfällen. Das ISMS ergänzt Managementregelungen zu Verantwortung, Risikobehandlung, Bewertung und Verbesserung. Ein Übungsprotokoll kann beides stützen, belegt aber nicht, dass jede zugeordnete Anforderung erfüllt ist.

Halten Sie Geltungsbereich und Framework-Versionen ausdrücklich fest. Übertragen Sie eine für einen Produktivdienst entwickelte Zuordnung nicht ohne Prüfung der Unterschiede auf eine übernommene Tochtergesellschaft. Unser Leitfaden zur Framework-übergreifenden Zuordnung erläutert, wie Arbeit geteilt werden kann, ohne unterschiedliche Anforderungen gleichzusetzen.

Praxisbeispiel: ein Dienstleistungsunternehmen mit zwei Anforderungen

Betrachten Sie ein beispielhaftes Softwareunternehmen mit einem kundenseitigen Dienst. Angenommen, der Vorstand wünscht einen klareren Investitionsplan für die Sicherheit, und ein potenzieller Kunde verlangt eine ISO 27001-Zertifizierung, die diesen Dienst abdeckt. Das sind hypothetische Annahmen, keine Fallstudie eines Kunden.

Die Geschäftsführung benennt eine rechenschaftspflichtige Führungskraft als Sponsor und bittet die Sicherheitsleitung, einen Geltungsbereich vorzuschlagen, der den Betrieb des Dienstes und die relevanten unterstützenden Prozesse umfasst. Der Vorschlag umfasst Cloud-Infrastruktur, Kundensupport, Entwicklung, Identitätsverwaltung und externe Anbieter. Die Leitung prüft, ob die Grenze der Kundenanforderung entspricht, statt den kleinsten bequemen Geltungsbereich zu wählen.

Das Team erstellt ein CSF Current Profile. Es stellt fest, dass Zugriffsfreigaben dokumentiert werden, Überprüfungen privilegierter Zugriffe aber uneinheitlich sind. Backups sind vorhanden, Nachweise zur Wiederherstellung jedoch unvollständig. Rollen für Vorfälle sind dokumentiert, die Eskalation an Lieferanten wurde aber nicht geübt.

Das Target Profile setzt drei Prioritäten: eine einheitliche Steuerung privilegierter Zugriffe, eine nachgewiesene Wiederherstellungsfähigkeit und eine koordinierte Vorfallreaktion. Die ISMS-Risikobeurteilung bewertet die entsprechenden geschäftlichen Folgen und legt Behandlungsentscheidungen fest.

Die Leitung bewertet den Fortschritt anhand des Target Profile und der ISMS-Ziele. Sie finanziert offene Wiederherstellungsabhängigkeiten und entscheidet, wie befristete Zugriffsausnahmen behandelt werden. Das interne Audit prüft Managementsystem und Umsetzung; Korrekturmaßnahmen werden vor der Zertifizierungsbewertung bearbeitet.

Das Ergebnis sind nicht zwei Sammlungen von Screenshots. Es ist ein gemeinsamer Bestand an Umsetzungsnachweisen, der gegen unterschiedliche Anforderungen ausgewertet wird, mit sichtbaren Verantwortlichkeiten und Entscheidungen der Leitung.

Budget für Umsetzung und laufenden Betrieb einplanen

NIST CSF ist frei verfügbar, seine Anwendung ist aber nicht kostenlos. Beide Ansätze erfordern Arbeitszeit, um Risiken zu verstehen, Maßnahmen zu verbessern, Nachweise zu sammeln, Menschen zu schulen und Abläufe aufrechtzuerhalten. Bei ISO 27001 kommen der Erwerb der Norm und, falls angestrebt, die Gebühren der Zertifizierungsstelle hinzu.

Planen Sie das Budget anhand von Arbeitspaketen statt anhand eines vermuteten Marktpreises:

• Ausgangsbewertung und Festlegung des Geltungsbereichs.
• Änderungen an Maßnahmen, einschließlich Engineering- und Lieferantenarbeit.
• Dokumentation, Prüfung von Nachweisen und Schulung der Beschäftigten.
• Internes Audit, Managementbewertung und Korrekturmaßnahmen.
• Externe Zertifizierungsbewertung, soweit erforderlich.
• Laufende Verantwortung, Überwachung, Übungen und Neubewertung.

Holen Sie Angebote für die Zertifizierung für denselben Geltungsbereich ein, damit sie sinnvoll vergleichbar sind. Fragen Sie, welche Bewertungen, Standorte, Nacharbeiten und Spesen enthalten sind. Trennen Sie die Behebung von Maßnahmen von den Zertifizierungsgebühren: Ein günstiges Auditangebot macht ein unterfinanziertes Sicherheitsprogramm nicht bereit.

Bewerten Sie den kommerziellen Nutzen anhand dokumentierter Kundenanforderungen und Chancen, nicht anhand des Versprechens, dass eine Zertifizierung automatisch Umsatz erzeugt.

Aussagen vermeiden, die die Nachweise nicht tragen

Häufige Fehler sind, „NIST-Konformität“ zu erklären, ohne Profil und Geltungsbereich zu erläutern, ein eng gefasstes Zertifikat als unternehmensweite Bestätigung darzustellen und zugeordnete Maßnahmen als Wirksamkeitsnachweis zu behandeln.

Ein weiterer Fehler besteht darin, Erfolg nur an fertiggestellten Dokumenten zu messen. Die Leitung sollte auch fragen, ob wichtige Dienste getestete Wiederherstellungswege haben, ob Ausnahmen Verantwortliche haben, ob überfällige Behandlungen eskaliert werden und ob frühere Befunde wiederkehren. Diese Fragen verbinden das Managementsystem mit der betrieblichen Leistung.

Es gibt keinen belastbaren allgemeingültigen Prozentsatz, der zeigt, wie nah eine CSF-Umsetzung an der Konformität mit ISO 27001 ist. Vorhandene Maßnahmen können wiederverwendbar sein, doch fehlende Anforderungen an das Managementsystem, Unterschiede im Geltungsbereich und schwache Nachweise müssen dennoch bewertet werden.

Den nächsten Schritt zu einer abgegrenzten Managemententscheidung machen

Erstellen Sie eine kurze Entscheidungsvorlage mit dem benötigten Ergebnis, der vorgeschlagenen Grenze, den Kundenerwartungen, dem rechenschaftspflichtigen Sponsor, den wesentlichen Lücken und den benötigten Ressourcen. Entscheiden Sie, ob der nächste Meilenstein ein geprüftes CSF-Profil, ein funktionierendes ISMS oder die Zertifizierungsreife ist. Geben Sie jedem Meilenstein Abnahmekriterien, die Nachweise einschließen und nicht nur die Fertigstellung von Dokumenten.

Secani unterstützt diesen Ablauf, indem Systeme und Dienste modelliert, Nachweise mit Anforderungen, Maßnahmen und Entscheidungen verknüpft sowie Verantwortliche und Prüfaufgaben zugewiesen werden. Teams können Quellverweise, Kommentare, Freigaben und Zeitstempel bewahren und KI-gestützte Vorschläge als Entwürfe behandeln, die eine menschliche Prüfung erfordern. Beginnen Sie mit einem repräsentativen Geltungsbereich und seinen vorhandenen Nachweisen, bevor Sie die Abdeckung erweitern.

Die Verantwortung der Leitung bleibt ausdrücklich: Prioritäten freigeben, die Arbeit mit Ressourcen ausstatten und prüfen, ob die Nachweise die Aussagen des Unternehmens tragen.