Die Funktion Steuern von NIST CSF 2.0: Welche Frameworks decken sie bereits ab?

Als NIST im Februar 2024 CSF 2.0 veröffentlichte, lag die wichtigste Neuerung in einer sechsten Funktion. Steuern kam neben Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen hinzu, und NIST stellte sie in die Mitte der übrigen: organisatorischer Kontext, Strategie für das Risikomanagement, Rollen und Verantwortlichkeiten, Richtlinien, Aufsicht sowie Management des Cybersicherheitsrisikos in der Lieferkette. Damit wurde Governance von einer Kategorie innerhalb von Identifizieren zu dem Element, das alles andere lenkt.

Wenn Sie bereits ein anderes Framework anwenden, wie viel von Steuern decken Sie dann ab?

Abdeckung von Steuern nach Framework

ControlMapping hat sechs Themen, die in der Funktion Steuern verankert sind. Hier ist, wie viele davon jedes Framework zuordnet:

Framework	Steuern Themen zugeordnet	Keine Zuordnung für
ISO 27001	6 von 6	—
SOC 2	6 von 6	—
PCI DSS	6 von 6	—
800-53	6 von 6	—
GDPR	6 von 6	—
NIS2	6 von 6	—
HIPAA	5 von 6	Lieferkettenrisiko
CIS v8.1	2 von 6	Governance-Richtlinie, Risikomanagement, Rollen und Verantwortlichkeiten, Compliance
CMMC	2 von 6	Governance-Richtlinie, Lieferkettenrisiko, Rollen und Verantwortlichkeiten, Lieferantenrisikomanagement
Essential Eight	0 von 6	Governance-Richtlinie, Risikomanagement, Lieferkettenrisiko, Rollen und Verantwortlichkeiten, Compliance, Lieferantenrisikomanagement

Themen: Governance-Richtlinie, Risikomanagement, Lieferkettenrisiko, Rollen und Verantwortlichkeiten, Compliance, Lieferantenrisikomanagement.

Die Frameworks, die es abdecken

Managementsystem- und Katalog-Frameworks decken Steuern gut ab. Die Klauseln 4 bis 6 und 9 von ISO 27001 sind Governance: Kontext, Führung, Rollen, Risikobeurteilung und -behandlung, Leistungsbewertung, Managementbewertung. SP 800-53 hat eine eigene Familie für das Programmmanagement (PM). Die Kontrollumgebungskriterien von SOC 2 (CC1 bis CC5) stammen aus dem COSO-Framework für interne Kontrollen und sind von Grund auf Governance. Anforderung 12 von PCI DSS und die Pflichten des Leitungsorgans nach NIS2 füllen denselben Bereich aus.

Die Frameworks, die es nicht tun

Operative Baselines decken davon wenig ab. Die Essential Eight bestehen aus acht technischen Schutzstrategien und enthalten gar keine Governance-Inhalte; das ist eine Designentscheidung, kein Versehen. Die CIS Controls v8.1 berühren Governance vor allem über ihre Prozesse für das Management von Dienstleistern und Daten. CMMC Level 2 übernimmt den Fokus von SP 800-171 auf den Schutz von CUI in Systemen, wodurch die meisten Ergebnisse zu Risikostrategie und Lieferkettenprogramm außen vor bleiben.

Lieferkette: der schwierigste Teil von Steuern

Steuern umfasst zehn Unterkategorien zum Management des Cybersicherheitsrisikos in der Lieferkette, von einem Programm überhaupt bis zur Steuerung von Lieferanten über den gesamten Beziehungslebenszyklus. Viele Frameworks berühren die Sicherheit von Lieferanten (A.5.19 bis A.5.23 von ISO 27001, CC9.2 von SOC 2, 12.8 von PCI DSS), doch nur wenige behandeln sie als Programm mit Risikokriterien, Stufen und Überwachung. Wenn Ihre Framework-Abdeckung von Steuern hoch ist, prüfen Sie, ob sie gerade bei der Lieferkette hoch ist.

Zentrale Erkenntnisse

• Steuern ist die neue Funktion in CSF 2.0 für Kontext, Risikostrategie, Rollen, Richtlinien, Aufsicht und Lieferkettenrisiko.
• Managementsystem- und Katalog-Frameworks (ISO 27001, SP 800-53, SOC 2, PCI DSS, NIS2) decken sie gut ab.
• Operative Baselines (Essential Eight, CIS, CMMC) decken wenig davon ab, und das ist so gewollt.
• Das Lieferkettenrisiko ist der Teil von Steuern, bei dem sich die Tiefe zwischen den Frameworks am stärksten unterscheidet.

Was zu tun ist

1. Wenn Sie eine operative Baseline betreiben (CIS, Essential Eight, CMMC), ergänzen Sie Governance: Die Funktion Steuern aus CSF oder das Managementsystem von ISO 27001 liefert die Struktur.
2. Wenn Sie ISO 27001 oder SOC 2 anwenden, nutzen Sie Steuern, um die Berichterstattung an den Vorstand zu schärfen: Die Ergebnisse von CSF sind in einer Sprache formuliert, die Führungskräfte verstehen.
3. Prüfen Sie die Themen Lieferkette und Dienstleisterrisiko, bei denen sich die Frameworks in der Tiefe am stärksten unterscheiden.

Die Framework-Seite zu CSF 2.0 listet jede Unterkategorie von Steuern mit ihren Zuordnungen auf, und die Lückenanalyse zeigt die CSF-Abdeckung für jedes Framework, das Sie haben.

Fragen

Was ist die Funktion Steuern in NIST CSF 2.0?

Steuern (GV) wurde 2024 mit CSF 2.0 eingeführt und umfasst organisatorischen Kontext, Strategie für das Risikomanagement, Rollen und Verantwortlichkeiten, Richtlinien, Aufsicht sowie das Management des Cybersicherheitsrisikos in der Lieferkette. NIST stellt sie in die Mitte der anderen fünf Funktionen.

Deckt ISO 27001 die Funktion Steuern von CSF 2.0 ab?

Weitgehend ja: Die Klauseln 4 bis 6 und 9 von ISO 27001 (Kontext, Führung, Risiko, Leistungsbewertung) und die Lieferantenmaßnahmen decken die meisten Ergebnisse von Steuern ab.

Gilt die Funktion Steuern von CSF 2.0 nur für große Organisationen?

Nein. Kleine Organisationen brauchen dieselben Grundlagen in schlankerer Form: wer verantwortlich ist, welche Risiken akzeptabel sind, welche Richtlinien gelten und wie Lieferanten gesteuert werden.