Berichterstattung an den Vorstand mit NIST CSF 2.0 Profilen

Die meisten Cybersicherheitsberichte an den Vorstand scheitern auf eine von zwei Arten: entweder durch eine Flut technischer Kennzahlen, die niemand im Gremium einordnen kann, oder durch eine beruhigende Ampel, die die tatsächlichen Risiken verbirgt. NIST CSF 2.0 bietet eine Struktur, die dazwischen liegt. Seine sechs Funktionen (Steuern, Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen) sind für den Vorstand verständlich genug, und seine Profile verwandeln die Frage „Wie sicher sind wir?“ in „Wo stehen wir, wohin wollen wir und was steht uns im Weg?“

Current und Target Profiles

Ein Current Profile erfasst, welche CSF-Ergebnisse Sie heute erreichen und wie gut. Ein Target Profile erfasst die Ergebnisse, die Sie anstreben, abgeleitet aus Ihrer Risikobereitschaft, Ihren Verpflichtungen und Bedrohungen. Die Lücke dazwischen ist Ihr Fahrplan, und die Aufgabe des Vorstands ist es, das Ziel zu genehmigen und die Lücke zu finanzieren.

Was gezeigt werden sollte

1. Ein Diagramm: Ist versus Ziel, nach Funktion. Sechs Balken mit je zwei Werten. Vorstandsmitglieder erkennen in Sekunden, dass Wiederherstellen zum Beispiel weit hinter Schützen zurückliegt.
2. Die wichtigsten Risiken, in geschäftlichen Begriffen. „Ein Ransomware-Angriff könnte die Auftragsabwicklung eine Woche lang stoppen“ wirkt besser als „PR.DS-11 teilweise erreicht“.
3. Fortschritt seit dem letzten Mal. Was sich bewegt hat und was nicht.
4. Erforderliche Entscheidungen. Budget, Risikoakzeptanz oder eine Änderung des Ziels.
5. Verpflichtungen. Welche Frameworks und Regelungen gelten und wo Sie bei jedem stehen (zertifiziert, in Umsetzung, Lücken).

Steuern gehört auf die Tagesordnung selbst

Die Funktion Steuern im CSF 2.0 umfasst organisatorischen Kontext, Risikostrategie, Rollen, Richtlinien, Aufsicht und das Management von Lieferkettenrisiken. Mehrere ihrer Ergebnisse sind originäre Aufgaben des Vorstands: die Festlegung der Risikobereitschaft, die Aufsicht über die Strategie und die Zuweisung von Verantwortung. Nach NIS2 (Artikel 20) müssen Leitungsorgane Cybersicherheitsmaßnahmen genehmigen und überwachen sowie selbst an Schulungen teilnehmen. Damit wird Steuern zu einem Compliance-Thema und nicht nur zu guter Praxis. Unsere Analyse, welche Frameworks Steuern abdecken, zeigt, wo andere Frameworks Lücken lassen.

CSF mit den Frameworks verknüpfen, gegen die Sie geprüft werden

Wenn Sie nach ISO 27001 zertifiziert sind oder nach SOC 2 berichten, brauchen Sie kein separates CSF-Programm. Ordnen Sie Ihre Kontrollen einmal den CSF-Ergebnissen zu und berichten Sie dieselben Nachweise auf zwei Wegen: CSF-Funktionen an den Vorstand, Framework-Anforderungen an die Prüfer. NIST veröffentlicht die offizielle Zuordnung von CSF 2.0 zu ISO 27001 und SP 800-53:

Richtung	Zugeordnet	Lose verwandt	Keine Zuordnung
Haben NIST CSF 2.0 → benötigen ISO 27001	79 von 123 (64%)	34	10	Bericht →
Haben ISO 27001 → benötigen NIST CSF 2.0	89 von 106 (84%)	15	2	Bericht →

Ergebnisse bewerten ohne falsche Genauigkeit

Der Vorstand braucht keine Dezimalstellen. Eine einfache, einheitliche Skala je CSF-Kategorie genügt, zum Beispiel:

Bewertung	Bedeutung
0	Nicht vorhanden
1	Teilweise vorhanden, informell oder uneinheitlich
2	Vorhanden und dokumentiert, mit etwas Nachweis
3	Vorhanden, nachgewiesen und regelmäßig getestet
4	Gemessen und sich verbessernd

Bewerten Sie jede Kategorie anhand von Nachweisen, nicht anhand von Meinungen, und fassen Sie die Kategorien für das Vorstandsdiagramm zu den sechs Funktionen zusammen. Halten Sie die Bewertungsregeln schriftlich fest, damit die Zahlen des nächsten Quartals dasselbe bedeuten wie die des aktuellen. Die eigenen Tiers des CSF 2.0 beschreiben die Konsequenz von Governance und Risikomanagement insgesamt; nutzen Sie sie für die Erläuterung und die Kategoriewerte für das Diagramm.

Die wichtigsten Erkenntnisse

• Ist versus Ziel nach CSF-Funktion in einem Diagramm darstellen.
• Die wichtigsten Risiken in geschäftlichen Begriffen und die erforderlichen Entscheidungen präsentieren.
• Konsistent und auf Basis von Nachweisen bewerten.

Ehrlich bleiben

• Ergebnisse anhand von Nachweisen bewerten, nicht nach Meinung: Ein Ergebnis gilt als erreicht, wenn seine Kontrollen funktionieren und Nachweise liefern.
• Die unbequemen Lücken zeigen. Ein Vorstand, der ein Ziel mit einer bekannten Lücke genehmigt, hat ein Risiko akzeptiert; einer, der die Lücke nie sieht, hat dies nicht.
• Das Ziel ändern, wenn sich das Geschäft ändert, und dies offen kommunizieren.

Jede CSF-2.0-Unterkategorie hat hier eine Seite, die sie zu zehn Frameworks zuordnet. Beginnen Sie mit der CSF-2.0-Framework-Seite oder dem Vergleich NIST CSF vs. ISO 27001.

Fragen

Was ist ein CSF Current Profile?

Eine Beschreibung der aktuellen Cybersicherheitsergebnisse der Organisation gegenüber dem CSF-2.0-Core. Ein Target Profile beschreibt die Ergebnisse, die sie erreichen will; die Lücke zwischen beiden treibt den Plan voran.

Sollte die Berichterstattung an den Vorstand ISO 27001 oder NIST CSF nutzen?

Viele Organisationen sind nach ISO 27001 zertifiziert, berichten aber an den Vorstand anhand der sechs Funktionen des CSF, weil dessen Ergebnissprache für Nicht-Fachleute leichter verständlich ist. Die beiden lassen sich eng aufeinander abbilden.