CIS Controls.
Cyberabwehr priorisieren, die passende Implementation Group begründen und die Umsetzung im eigenen Betrieb nachvollziehbar prüfen.
- CIS Critical Security Controls v8.1
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
CIS Controls sind priorisierte Empfehlungen des Center for Internet Security für die Cyberabwehr. Version 8.1 ordnet 153 Safeguards in 18 Themenbereiche. Implementation Groups helfen, nach Risiken und verfügbaren Ressourcen einzusteigen. Die Gruppen bauen aufeinander auf; eine dokumentierte Umsetzung ist weder automatisch eine Zertifizierung noch der Nachweis aller gesetzlichen Pflichten.
CIS Controls v8.1 als praktische Orientierung.
CIS Controls strukturieren die Auswahl von Schutzpraktiken für Systeme und Netze. Ein Control ist ein Themenbereich; die zugehörigen Safeguards beschreiben konkretere Handlungsfelder. Die Herausgeberseite zu v8.1 bezeichnet diese Fassung als iterative Überarbeitung von v8, unter anderem mit präzisierten Begriffen, angepassten Assetklassen und dem Bezug auf NIST CSF 2.0.
Die Empfehlungen sind keine allgemein geltende gesetzliche Pflicht. Eine Organisation kann sie als Arbeitsgrundlage vereinbaren; Kunden oder Verträge können bestimmte Nachweise verlangen. Die CIS-FAQ stellt ausdrücklich klar, dass die Controls andere regulatorische oder formelle Nachweisverfahren nicht ersetzen. Deshalb sollte die Auswahl zu den eigenen Diensten und zusätzlichen Verpflichtungen passen.
CIS Controls und CIS Benchmarks haben unterschiedliche Aufgaben. Controls betreffen allgemeine Schutzpraxis, Benchmarks die sichere Konfiguration bestimmter Produkte und Technologien. Ein Konfigurationsbefund kann eine Umsetzungsbewertung unterstützen, beantwortet aber nicht sämtliche organisatorischen Fragen. Diese Abgrenzung beschreibt der Herausgeber in seiner Controls-FAQ.
Implementation Groups nach Risiken und Ressourcen wählen.
Implementation Groups unterstützen Organisationen unterschiedlicher Größe bei der Priorisierung. Nach der CIS-Gruppenübersicht zählen Risikoprofil und verfügbare Ressourcen. IG1 umfasst 56 grundlegende Safeguards; CIS empfiehlt diesen Einstieg jeder Organisation. Begrenzte Sicherheitsressourcen erklären die Ausrichtung, begründen aber keine pauschale Ausnahme von weitergehenden Risiken oder vertraglichen Anforderungen.
IG2 ergänzt die IG1-Auswahl um 74 Safeguards für größere betriebliche Komplexität. Die Herausgeberseite beschreibt unter anderem eigene IT-Verantwortliche, unterschiedliche Abteilungen und sensiblere Informationen. IG2 bedeutet deshalb nicht, ausschließlich die zusätzlichen Punkte zu bearbeiten und die Grundlagen wegzulassen. Entscheidend ist der gesamte vereinbarte Umfang.
IG3 ergänzt weitere 23 Safeguards und umfasst damit alle 153. CIS beschreibt dafür unter anderem spezialisierte Sicherheitskompetenz und die Auseinandersetzung mit gezielten Angriffen. Diese Gruppen sind keine allgemeine Reifegradskala: Eine gewählte Gruppe sagt für sich weder, ob ihre Maßnahmen funktionieren, noch welche Restrisiken die Organisation akzeptiert hat.
Die wichtigsten Arbeitsbereiche der Cyberabwehr.
Die folgenden sechs Bereiche bündeln die Arbeit mit den CIS Controls redaktionell; sie sind keine neue offizielle Katalogstruktur. Für die konkrete Auswahl bleiben die veröffentlichte Fassung, die vereinbarte Implementation Group und der betrachtete Betrieb maßgeblich.
Bestand und Daten verstehen.
Schutzentscheidungen brauchen einen nachvollziehbaren Überblick über die tatsächlich eingesetzten Systeme, Software und Informationen. Als praktische Vorbereitung sollten Verantwortliche klären, welcher Dienst betrachtet wird und welche Abhängigkeiten ihn tragen. Eine Bestandsliste verliert ihren Wert, wenn Änderungen im Betrieb nicht mehr darin ankommen oder niemand ihre Vollständigkeit beurteilen kann.
Sichere Konfiguration und Schwachstellenarbeit verbinden.
Konfiguration, unterstützte Software und die Behandlung bekannter Schwachstellen greifen zusammen. Für die Umsetzung empfiehlt sich, neben der technischen Vorgabe auch Zuständigkeit und Änderungsweg festzulegen. Produktspezifische Benchmarks können dabei helfen, eine Konfiguration zu beurteilen; sie ersetzen nicht die Entscheidung, welche Systeme und Betriebsbedingungen zur Bewertung gehören.
Identitäten und Zugriffe betreiben.
Berechtigungen müssen zu Aufgaben und Schutzbedarf passen. Eine praktische Bewertung sollte sowohl Einstellungen als auch die Arbeitsschritte beim Eintritt, Wechsel und Austritt von Personen betrachten. Ein korrekt eingerichteter Kontotyp beweist noch nicht, dass veraltete Zugriffe zuverlässig erkannt und entzogen werden; dafür sind passende Aufzeichnungen aus dem Betrieb hilfreich.
Beobachtung und Reaktion abstimmen.
Sicherheitsinformationen müssen bei Personen ankommen, die sie bewerten und bearbeiten können. Klären Sie für die Umsetzung, wer Meldungen prüft, wie ein Vorfall weitergegeben wird und welche Vertretung einspringt. Die reine Verfügbarkeit eines Werkzeugs erklärt diese Zuständigkeiten nicht. Eine erprobte Reaktionsaufgabe kann zeigen, ob der vereinbarte Ablauf tatsächlich funktioniert.
Wiederherstellung und Dienstleister berücksichtigen.
Die betrachtete Leistung hängt häufig von Sicherungen, externen Diensten und vereinbarten Unterstützungswegen ab. Prüfen Sie praktisch, wer bei einer Unterbrechung welche Leistung wiederherstellen kann und welche Informationen dafür benötigt werden. Ein Nachweis sollte den eigenen Einsatzumfang erkennen lassen; der Bericht eines Dienstleisters beantwortet nicht automatisch alle Aufgaben seiner Kunden.
Menschen und Überprüfung einbeziehen.
Schutzpraxis braucht verständliche Aufgaben und eine Bewertung ihrer Umsetzung. Als Arbeitshilfe können Teams festhalten, wer eine Maßnahme betreibt, welche Beobachtung ihren Zustand zeigt und wann eine erneute Prüfung ansteht. Anpassungen sind sinnvoll, wenn Dienste, Bedrohungen oder Zuständigkeiten wechseln. Ein einmal ausgefüllter Fragebogen bildet solche Veränderungen nicht von selbst ab.
CIS Controls schrittweise anwenden.
Den betrachteten Dienst abgrenzen.
Beschreiben Sie als praktischen Einstieg den Dienst, seine Systeme, Informationen und externen Abhängigkeiten so, dass die spätere Bewertung eine erkennbare Grenze hat.
Gruppe und zusätzliche Anforderungen begründen.
Wählen Sie anhand von Risiken und Ressourcen eine Implementation Group und halten Sie fest, welche weiteren gesetzlichen oder vertraglichen Anforderungen getrennt zu berücksichtigen sind.
Umsetzung und Verantwortung vereinbaren.
Übersetzen Sie die gewählte Arbeitsgrundlage in konkrete Aufgaben und benennen Sie für jede Aufgabe eine Person mit passender Zuständigkeit und Befugnis.
Aufzeichnungen aus dem Betrieb sammeln.
Verknüpfen Sie die Umsetzung mit geeigneten Konfigurationen, Prüfaufzeichnungen oder Prozessbelegen und kennzeichnen Sie deren Umfang sowie den betrachteten Zeitraum.
Bewertung und Verbesserung verbinden.
Prüfen Sie die Aussagekraft der Belege, bearbeiten Sie festgestellte Abweichungen und legen Sie fest, woran die Wirkung einer Korrektur erkennbar sein soll.
Bei Änderungen neu entscheiden.
Überprüfen Sie Auswahl, Zuständigkeiten und Nachweise erneut, wenn sich Dienst, Risikoprofil oder verfügbare Ressourcen wesentlich verändern.
Was ein CIS-Controls-Assessment aussagt.
Ein Assessment ist nur innerhalb seines beschriebenen Umfangs aussagekräftig. Halten Sie fest, welche Fassung und Auswahl bewertet wurden, welche Systeme erfasst sind und auf welche Belege sich das Ergebnis stützt. Eine Selbsteinschätzung kann Arbeit strukturieren; ein Gruppenlabel oder ein einzelner Gesamtwert erklärt die tatsächliche Umsetzung allein noch nicht.
Die CIS Controls Assessment Specification bietet eine Grundlage für ein gemeinsames Verständnis der Bewertung von Safeguards. Die öffentliche Dokumentation führt eine Fassung für v8.1. Welches konkrete Verfahren und welche Stichproben für Ihren Zweck benötigt werden, ist vor einer Prüfung zu vereinbaren; diese Übersicht bildet keine einzelnen Prüfanweisungen nach.
CIS Controls Accreditation betrifft qualifizierte Anbieter von Implementierungs-, Audit- oder Assessmentleistungen. Die öffentliche Programmseite beschreibt deren Kompetenzbestätigung und die Auswahl eines geeigneten Dienstleisters. Das ist von der Bewertung der Kundenorganisation zu trennen. Daraus folgt weder ein allgemeines Zertifikat für jeden Controls-Anwender noch eine feste Gültigkeitsdauer seiner eigenen Umsetzungsaufzeichnungen.
Andere Frameworks ergänzend betrachten.
NIST CSF strukturiert gewünschte Sicherheitsergebnisse, während die CIS Controls bei der Priorisierung praktischer Schutzarbeit helfen. ISO 27001 behandelt das Managementsystem und dessen unabhängige Zertifizierung. NIST SP 800-53 bietet einen breiteren Katalog von Sicherheits- und Datenschutzkontrollen. PCI DSS stellt gesonderte Anforderungen an den Schutz von Zahlungskartendaten; eine Controls-Auswahl ersetzt den jeweiligen Nachweis nicht.
In Secani.
Secani stellt einen eigenen redaktionellen Unternehmenskatalog auf Grundlage von CIS Controls v8.1 bereit. Profilangaben erfassen unter anderem die vereinbarte Implementation Group, Cloud, OT und eigene Softwareentwicklung. Die Gruppen werden als kumulative Priorisierung behandelt, nicht als Zertifizierung oder Reifegradbewertung; der Katalog ist keine offizielle CIS-Übersetzung und seine unabhängige Fachfreigabe steht aus.
Mit einer begründeten Arbeitsgrundlage beginnen.
Wählen Sie einen Dienst, dessen Schutzpraxis nachvollziehbar verbessert werden soll. Vereinbaren Sie mit den Verantwortlichen den Umfang, die zugrunde gelegte Fassung und die passende Implementation Group. Halten Sie dabei fest, wer Entscheidungen über zusätzliche Maßnahmen oder akzeptierte Risiken trifft.
Prüfen Sie anschließend für diesen Umfang, welche Belege bereits aus dem Betrieb vorliegen und welche Aussage sie erlauben. Planen Sie fehlende Arbeit mit Zuständigen und Terminen. So entsteht eine überprüfbare Aufgabe, bevor ein umfangreiches Maßnahmenprogramm auf die gesamte Organisation ausgedehnt wird.
Quellen.
Häufige Fragen.
Nein. Implementation Groups priorisieren eine kumulative Auswahl nach Risiken und Ressourcen; sie sind keine Zertifizierungs- oder allgemeine Reifegradskala.
Ja. IG2 ergänzt die 56 Safeguards aus IG1 um weitere 74; IG3 fügt anschließend 23 hinzu und umfasst damit alle 153.
Nein. Controls beschreiben allgemeine Schutzpraktiken, Benchmarks die Härtung bestimmter Produkte und Technologien; eine Konfigurationsprüfung bewertet deshalb nicht automatisch die gesamte Controls-Umsetzung.
Nein. Eine gewählte Controls-Arbeitsgrundlage und die unabhängige Bewertung eines ISMS haben unterschiedliche Aussagen; zusätzliche gesetzliche oder vertragliche Nachweisanforderungen bleiben gesondert zu prüfen.
Schutzarbeit nachvollziehbar priorisieren.
Besprechen Sie, wie Sie Ihren gewählten Umfang, Zuständigkeiten und Nachweise in Secani bearbeiten können.
Diese Seite erläutert CIS Controls in eigenen Worten und ersetzt die Herausgeberveröffentlichungen oder eine fachliche Prüfung nicht. Maßgeblich sind die vereinbarte Fassung, der betrachtete Umfang und die jeweils geltenden Anforderungen.