Cyber Essentials vs. Essential Eight: Zwei nationale Baselines im Vergleich
Beide sind kurz, technisch und staatlich unterstützt. Das eine zertifiziert fünf Maßnahmen, das andere bewertet acht Strategien nach Reifegrad. Wer eines umsetzt, kommt schon ein gutes Stück auf dem Weg zum anderen voran.
Großbritannien und Australien veröffentlichen jeweils eine kurze Liste technischer Maßnahmen, die die meisten gängigen Angriffe verhindern. Die britische ist Cyber Essentials, betrieben vom National Cyber Security Centre und umgesetzt von IASME; Australiens ist das Essential Eight des Australian Signals Directorate. Beide werden oft im selben Atemzug genannt, und Organisationen, die in beiden Ländern tätig sind, stellen die naheliegende Frage: Wenn wir das eine haben, wie weit bringt uns das Richtung des anderen?
So sind sie aufgebaut
Cyber Essentials zertifiziert fünf technische Maßnahmen: Firewalls, sichere Konfiguration, Verwaltung von Sicherheitsupdates, Benutzerzugriffskontrolle und Schutz vor Schadsoftware. Die aktuellen Anforderungen, Version 3.3, gelten ab dem 27. April 2026. Die Zertifizierung hat zwei Stufen: eine verifizierte Selbstbewertung und Cyber Essentials Plus, das praktische technische Tests ergänzt. Zertifikate gelten ein Jahr.
Das Essential Eight ist eine Reihe von acht Eindämmungsstrategien (Patchen von Anwendungen, Patchen von Betriebssystemen, Multi-Faktor-Authentifizierung, Einschränkung administrativer Berechtigungen, Anwendungskontrolle, Einschränkung von Office-Makros, Härtung von Benutzeranwendungen und regelmäßige Backups), die jeweils auf einer von drei Reifegradstufen umgesetzt werden. ControlMapping ordnet die 126 ISM-Kontrollen zu, die ASD mit diesen Reifegradstufen kennzeichnet. Es gibt keine Zertifizierung: Organisationen bewerten sich selbst oder beauftragen eine Bewertung, und seit dem 1. Juli 2022 verlangt das Protective Security Policy Framework von australischen nicht gewerblichen Commonwealth-Stellen, alle acht Strategien mindestens auf Maturity Level Two umzusetzen.
Vom Essential Eight zu Cyber Essentials
Von den 5 Cyber Essentials-technische Kontrollen sind 4 (80%) auf etwas in Essential Eight zugeordnet, 0 sind nur lose verwandt und 1 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →
| Cyber Essentials | Anforderung | Abgleich | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | Keine Zuordnung in unseren Daten | — |
| CE 2 | Secure Configuration | Redaktionell | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | Redaktionell | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | Redaktionell | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | Redaktionell | ISM-0843ISM-1488ISM-1490ISM-1544 |
Der größte Teil von Cyber Essentials hat ein Gegenstück im Essential Eight. Die Ausnahme sind Firewalls: Keine Strategie des Essential Eight betrifft Perimeter- oder Host-Firewalls, daher muss eine Essential-Eight-Umsetzung diese Maßnahme selbst abdecken.
Von Cyber Essentials zum Essential Eight
Von den 126 Essential Eight-ISM-Kontrollen sind 39 (31%) auf etwas in Cyber Essentials zugeordnet, 72 sind nur lose verwandt und 15 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →
In die andere Richtung deckt Cyber Essentials nur einen Teil des Essential Eight ab, was nicht überrascht: Es umfasst fünf Maßnahmen gegenüber einer deutlich längeren Liste abgestufter Anforderungen. Die größten Lücken sind:
- Regelmäßige Backups. Cyber Essentials Version 3.3 betont die Bedeutung der Datensicherung, verlangt sie aber nicht. Backups sind eine der acht Strategien, mit getesteter Wiederherstellung auf jeder Reifegradstufe.
- Office-Makros und Härtung von Benutzeranwendungen. Die Maßnahme zur sicheren Konfiguration in Cyber Essentials entfernt nicht benötigte Software und deaktiviert die automatische Ausführung; Makros sowie die Härtung von Browsern und PDF-Anwendungen werden nicht behandelt.
- Reifegradstufen und Fristen. Wo beide dasselbe verlangen, ist das Essential Eight auf seinen höheren Stufen meist genauer, etwa bei der Frage, wie schnell Schwachstellen in internetexponierten Diensten geschlossen werden müssen, sowie bei der Protokollierung und dem Schutz privilegierter Zugriffe.
- Meldung von Vorfällen. Einige Maßnahmen des Essential Eight verlangen die Meldung von Cybersicherheitsvorfällen; Cyber Essentials enthält überhaupt keine Vorfallsanforderungen.
Die Anforderungen ohne Verknüpfung zu Cyber Essentials in unseren Daten:
| Essential Eight | Anforderung | Abgleich | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | Keine Zuordnung in unseren Daten | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | Keine Zuordnung in unseren Daten | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | Keine Zuordnung in unseren Daten | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | Keine Zuordnung in unseren Daten | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | Keine Zuordnung in unseren Daten | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | Keine Zuordnung in unseren Daten | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | Keine Zuordnung in unseren Daten | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | Keine Zuordnung in unseren Daten | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | Keine Zuordnung in unseren Daten | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | Keine Zuordnung in unseren Daten | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | Keine Zuordnung in unseren Daten | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | Keine Zuordnung in unseren Daten | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | Keine Zuordnung in unseren Daten | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | Keine Zuordnung in unseren Daten | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | Keine Zuordnung in unseren Daten | — |
Wo sie übereinstimmen, Thema für Thema
| Framework | Patch-Management | Verknüpfung |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Themendefinition |
| ISO 27001 | A.8.8 | Crosswalk |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Crosswalk |
| SOC 2 | CC7.1 | Redaktionell |
| PCI DSS | 6.3.16.3.3 | Crosswalk |
| CMMC | SI.L2-3.14.1 | Crosswalk |
| 800-53 | SI-2 | Crosswalk |
| HIPAA | — | |
| GDPR | — | Keine Zuordnung in unseren Daten |
| NIS2 | 6.6 | Crosswalk |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Redaktionell |
| DORA | Art.9(4)(f) | Redaktionell |
| CPS 234 | — | Keine Zuordnung in unseren Daten |
| Cyber Essentials | CE 3 | Redaktionell |
Vollständige Details und die Begründung für jede Verknüpfung: Patch-Management über Frameworks hinweg →
| Framework | Multi-Faktor-Authentifizierung | Verknüpfung |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Themendefinition |
| ISO 27001 | A.8.5 | Crosswalk |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Redaktionell |
| SOC 2 | CC6.1 | Redaktionell |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | Redaktionell |
| CMMC | IA.L2-3.5.3 | Crosswalk |
| 800-53 | IA-2(1)IA-2(2) | Crosswalk |
| HIPAA | — | |
| GDPR | — | Keine Zuordnung in unseren Daten |
| NIS2 | 11.611.7 | Crosswalk |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Redaktionell |
| DORA | Art.9(4)(d) | Redaktionell |
| CPS 234 | — | Keine Zuordnung in unseren Daten |
| Cyber Essentials | CE 4 | Redaktionell |
Vollständige Details und die Begründung für jede Verknüpfung: Multi-Faktor-Authentifizierung über Frameworks hinweg →
Patchen und Multi-Faktor-Authentifizierung sind die deutlichsten gemeinsamen Schnittmengen. Cyber Essentials legt eine einheitliche Regel für Updates fest (kritische und hochriskante Korrekturen innerhalb von 14 Tagen) und verlangt MFA, wo immer verfügbar, und stets bei Cloud-Diensten; das Essential Eight setzt auf jeder Reifegradstufe unterschiedliche Fristen und einen unterschiedlichen MFA-Umfang.
Welche Variante Sie nutzen sollten
Wenn Sie eines für einen Vertrag benötigen, entscheidet der Vertrag: Auftraggeber der britischen Regierung verlangen Cyber Essentials, und australische Behörden arbeiten nach dem Essential Eight. Wenn Sie frei wählen können, lassen sich beide gut kombinieren. Cyber Essentials liefert ein externes Zertifikat für ein solides Mindestniveau; das Essential Eight bietet den Weg, darüber hinauszugehen, mit Backups und Anwendungshärtung, die Cyber Essentials auslässt. Um für beide gerüstet zu sein, richten Sie sich am Essential Eight aus, ergänzen Firewall-Regeln und prüfen Ihre Patchfristen: Die 14-Tage-Regel von Cyber Essentials gilt für jede kritische oder hochriskante Aktualisierung, was bei manchen Softwareprodukten strenger sein kann als die niedrigeren Reifegradstufen.
Wichtigste Erkenntnisse
- Der größte Teil von Cyber Essentials lässt sich dem Essential Eight zuordnen; Firewalls sind die Lücke.
- Cyber Essentials deckt nur einen Teil des Essential Eight ab: Backups, Makro- und Anwendungshärtung sowie die Details der Reifegradstufen sind zusätzlich nötig.
- Keine der beiden Stellen veröffentlicht eine Zuordnung. Behandeln Sie diese Verknüpfungen daher als Ausgangspunkt und prüfen Sie die Details.
Weiterführende Informationen
Sehen Sie sich die Framework-Seiten Cyber Essentials und Essential Eight an, führen Sie die Lückenanalyse aus, um den Vergleich als Tracker zu exportieren, oder lesen Sie unseren Essential-Eight-Leitfaden.
Fragen
Erfüllt eine Cyber-Essentials-Zertifizierung das Essential Eight?
Nein. Die beiden überschneiden sich beim Patchen, bei der Multi-Faktor-Authentifizierung, bei administrativen Berechtigungen und bei der Anwendungskontrolle. Das Essential Eight verlangt jedoch zusätzlich regelmäßige Backups, die Härtung von Office-Makros und Anwendungen und legt Reifegradstufen mit eigenen Fristen fest. Cyber Essentials zertifiziert außerdem Firewalls, die keine Strategie des Essential Eight abdeckt.
Gibt es eine Zertifizierung für das Essential Eight?
Es gibt kein Zertifizierungsschema wie Cyber Essentials. Organisationen bewerten sich selbst oder beauftragen eine unabhängige Bewertung anhand des Reifegradmodells der ASD. Cyber Essentials ist eine Zertifizierung mit zwei Stufen, Cyber Essentials und Cyber Essentials Plus.
Gibt es eine offizielle Zuordnung zwischen beiden?
Weder das NCSC noch die ASD veröffentlicht eine. Die Verknüpfungen auf ControlMapping sind redaktionell, und jede zeigt ihre Begründung.
Datenstand 2026-10-27: Die Zahlen in diesem Beitrag werden aus dem aktuellen Crosswalk berechnet und aktualisieren sich, sobald dieser geändert wird. Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Keine Compliance-Beratung.
Verwandte Beiträge
Analyse · 2026-10-27CPS 234 und ISO 27001: Was das ISMS abdeckt und was APRA ergänztEin ISO-27001-ISMS deckt nahezu jeden Absatz der CPS 234 der APRA ab, dennoch ergänzt die APRA Pflichten des Vorstands, Zusicherungen durch Dritte und strenge Meldefristen.
Analyse · 2026-10-27DORA vs NIS2: Was ein NIS2-Programm bereits abdecktDORA und NIS2 teilen den größten Teil ihrer Sicherheitsinhalte, doch DORA ergänzt ein Register, Vertragsklauseln und bedrohungsorientierte Tests. Artikel für Artikel: Was sich übertragen lässt.
Analyse · 2026-10-13MFA-Anforderungen im Vergleich über 11 Security-FrameworksWelche Frameworks MFA verlangen, für wen und wie streng: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 und HIPAA im direkten Vergleich.