NIST CSF 2.0 vs. CIS Controls v8.1: Ergebnisse vs. priorisierte Maßnahmen

Das CSF 2.0 beschreibt, welche Ergebnisse erreicht werden sollen; die CIS Critical Security Controls v8.1 beschreiben, was in welcher Prioritätsreihenfolge zu tun ist: 18 Controls und 153 Safeguards, gegliedert in Implementation Groups. IG1, „grundlegende Cyberhygiene“, ist das Mindestmaß, das CIS jeder Organisation empfiehlt. Beide ergänzen sich, und CIS veröffentlicht eine eigene Zuordnung zum CSF 2.0.

Beim Übergang von CIS zu CSF liegt die wesentliche Lücke in der Governance. CIS v8.1 ist operativ ausgerichtet und enthält kaum Inhalte zu organisatorischem Kontext, Risikostrategie, Richtlinien, Aufsicht oder Programmen für Lieferkettenrisiken, die zusammen die Funktion Govern des CSF bilden. Diese CSF-Ergebnisse erscheinen unten als nicht zugeordnet.

Beim Übergang von CSF zu CIS lässt sich jeder CIS-Safeguard einem im CSF definierten Thema zuordnen. Dabei muss die Beweislage klar benannt werden: Das eigene, im Katalog des NIST veröffentlichte Crosswalk von CIS verknüpft nur 49 der 153 Safeguards. Die übrigen hat ControlMapping nach eigenem Ermessen zugeordnet, jeweils mit Begründung (als redaktionell gekennzeichnet). CIS veröffentlicht eine umfassendere Zuordnung hinter einem Download-Formular; eine redaktionelle Verknüpfung sollte vor dem Vertrauen darauf mit dieser abgeglichen werden.

Ein verbreitetes Muster ist, den CSF für Governance und Berichterstattung zu nutzen und darunter die CIS IG1–IG2 als technischen Umsetzungsplan einzusetzen.

Kernaussagen

• Kleine Organisationen: Zuerst CIS IG1 umsetzen und danach in CSF-Begriffen beschreiben.
• CIS → CSF: die Funktion Govern ergänzen (Risikostrategie, Richtlinien, Rollen, Aufsicht, Lieferkette).
• CSF → CIS: die Safeguards als konkretes Backlog nutzen; Fälle ohne Zuordnung anhand der eigenen Zuordnung von CIS überprüfen.

Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →