NIST CSF.

NIST CSF 2.0 beschreibt Ergebnisse, über die Leitung, Fachbereiche und Sicherheitsteams gemeinsam sprechen können. Die Ausgabe wurde am 26. Februar 2024 als NIST CSWP 29 veröffentlicht. Die aktuelle Herausgeberseite führt weiterhin diese Grundausgabe; zusätzliche Leitfäden und Community Profiles ergänzen ihre Anwendung. Ein später veröffentlichtes Begleitdokument ist deshalb nicht automatisch eine neue Framework-Version.

Der Core ordnet die Ergebnisse nach Funktionen, Kategorien und Unterkategorien. Ein Organizational Profile hält fest, welche Ergebnisse für einen bestimmten Umfang erreicht oder angestrebt werden. Die Tiers geben ergänzenden Kontext zur Risikosteuerung. NIST SP 1299 erläutert diese drei Bausteine getrennt: Eine Übersicht über Themen, ein Profil und eine Charakterisierung der Arbeitsweise beantworten unterschiedliche Fragen.

Die konkrete Umsetzung bleibt kontextabhängig. NIST CSWP 29, Abschnitt 1, richtet sich an unterschiedliche Sektoren und Organisationsgrößen, ohne einen identischen Maßnahmenkatalog vorzugeben. Für die betriebliche Anwendung bedeutet das: Ein Ergebnis muss mit den eigenen Diensten, Risiken und Verantwortlichkeiten verbunden werden, bevor daraus eine sinnvolle Umsetzungsaufgabe entsteht.

NIST CSF eignet sich für Organisationen, die Sicherheitsprioritäten verständlich begründen und mit ihren Geschäftszielen verbinden wollen. Die öffentliche NIST-Publikationsseite nennt ausdrücklich unterschiedliche Größen, Sektoren und Ausgangslagen. Der Rahmen kann einen frühen Einstieg ebenso unterstützen wie die Neubewertung eines bereits bestehenden Sicherheitsprogramms. Ein hoher technischer Ausbaustand macht die Entscheidung über akzeptable Risiken nicht überflüssig.

Die Anwendung ist grundsätzlich freiwillig; konkrete gesetzliche, behördliche oder vertragliche Vorgaben sind gesondert zu prüfen. Die aktuellen NIST-FAQ weisen auf mögliche externe Anforderungen hin. Für ein deutsches Unternehmen folgt aus der Herkunft beim US-Handelsministerium weder eine allgemeine Nutzungspflicht noch ein Ausschluss. Klären Sie praktisch, ob ein Kunde ein bestimmtes Profil, eine Bewertung oder eine andere Nachweisform erwartet.

Ein CSF-Profil ist eine begründete Darstellung des betrachteten Stands. NIST SP 1301 unterscheidet Current und Target Profile: Das erste beschreibt erreichte Ergebnisse, das zweite die ausgewählten Ziele und Prioritäten. Ein Community Profile kann Orientierung geben; die NIST-Profilseite beschreibt es als gemeinsame Ausgangsbasis einer Gruppe. Die eigene Grenze und die tatsächlichen Entscheidungen bleiben zu erklären.

Die vier Tiers heißen Partial, Risk Informed, Repeatable und Adaptive. Nach NIST SP 1302 charakterisieren sie die Ausprägung von Risikosteuerung und Risikomanagement. Ihre Auswahl berücksichtigt unter anderem Ziele, Risiken, Vorgaben und verfügbare Ressourcen. Sie ergänzen die Risikomethodik; sie ersetzen weder einen konkreten Nachweis noch eine begründete Entscheidung darüber, welcher Zustand gebraucht wird.

Eine interne oder beauftragte externe Bewertung sollte Umfang, Zeitpunkt, Methode und Aussagegrenzen erkennen lassen. NIST bietet keine CSF-Zertifizierung an; ein privater Bewertungsbericht ist deshalb nicht als von NIST ausgestelltes Zertifikat zu bezeichnen. Für die Pflege ist praktisch festzulegen, welche Änderungen eine Neubewertung auslösen. Eine pauschale Zertifikatslaufzeit lässt sich aus CSF nicht ableiten.

ISO 27001 beschreibt Anforderungen an ein Informationssicherheitsmanagementsystem mit einem möglichen Zertifizierungsnachweis. NIST SP 800-53 bietet einen detaillierten Sicherheits- und Datenschutz-Kontrollkatalog, während CIS Controls priorisierte Schutzpraktiken ordnet. Diese Hilfen können die betriebliche Arbeit konkretisieren; ihre Anwendung ist gesondert von der Darstellung eines CSF-Profils zu bewerten.

Secani stellt einen redaktionellen DE/EN-Arbeitskatalog zu NIST CSF 2.0 bereit. Die vorhandenen Profilangaben erfassen unter anderem Bewertungsdatum, abgestimmten Umfang und Profilzweck als aktuellen Stand, Ziel oder beides. Der Katalog ersetzt weder den englischen Herausgebertext noch die fachliche Bewertung; eine automatische Tier-Bestimmung oder NIST-Zertifizierung wird damit nicht zugesagt.

Wählen Sie einen repräsentativen Dienst und benennen Sie, welche Entscheidung durch das Profil vorbereitet werden soll. Halten Sie den Umfang einschließlich wichtiger Lieferanten und unterstützender Prozesse fest. Sammeln Sie vorhandene Aufzeichnungen, bevor Sie einen Zielzustand beschreiben. So wird sichtbar, welche Aussagen bereits belastbar sind und wo zunächst zusätzliche Prüfung erforderlich ist.