ISO 27001 vs. CIS Controls: Managementsystem trifft technische Baseline

Nach Paul Gillet · Aktualisiert 2026-10-17

ISO/IEC 27001 und die CIS Critical Security Controls lösen unterschiedliche Probleme. ISO 27001 ist ein zertifizierbares Managementsystem: Es verlangt, dass Sie Risiken identifizieren, Maßnahmen auswählen und nachweisen, dass Sie diese betreiben. CIS Controls v8.1 ist eine priorisierte technische Baseline mit 18 Controls und 153 Safeguards, die in Implementation Groups gegliedert sind, damit kleinere Organisationen wissen, wo sie anfangen sollen.

Beim Übergang von ISO 27001 zu CIS lässt sich laut unseren Daten jeder CIS-Safeguard einem Element in ISO zuordnen, weil Anhang A dieselben Bereiche auf höherer Ebene abdeckt: Asset-Inventar, Zugriff, Protokollierung, Schwachstellenmanagement, Malware und Backups. Was CIS zusätzlich bietet, ist Spezifität, etwa automatisierte Discovery-Tools, Protokollierung von Kommandozeilen oder verhaltensbasierter Anti-Malware-Schutz. Eine ISO-Organisation sollte CIS deshalb als Checkliste dafür nutzen, wie tief jedes Control reicht. Die meisten CIS-Verknüpfungen sind redaktionell von ControlMapping erstellt, da das eigene veröffentlichte Crosswalk von CIS nur 49 Safeguards abdeckt.

Beim Übergang von CIS zu ISO 27001 besteht die neue Arbeit im Managementsystem (Scope, Ziele, Risikobewertung und -behandlung, Statement of Applicability, interne Audits, Managementbewertung) sowie in Bereichen, die CIS auslässt: physische Sicherheit, Threat Intelligence, Change Management und rechtliche Verpflichtungen wie Datenschutz.

Auf einen Blick

Kernaussagen

• Nutzen Sie CIS IG1–IG2 als technischen Umsetzungsplan innerhalb eines ISO-27001-ISMS.
• CIS → ISO: Budget für die ISMS-Klauseln und die physische Sicherheit einplanen.
• ISO → CIS: Es kommen kaum neue Themen hinzu, aber detailliertere, spezifischere technische Einstellungen.

Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →