NIS2 vs. NIST CSF 2.0: eine EU-Rechtsanforderung aus NIST-Sicht

Für Organisationen, die ihr Sicherheitsprogramm auf Basis von NIST CSF 2.0 betreiben, etwa in den USA ansässige Unternehmen mit EU-Standorten, stellt sich die Frage, wie weit CSF sie in Richtung NIS2 bringt. Die technische Umsetzungsleitlinie der ENISA ordnet jede Anforderung der Durchführungsverordnung (EU) 2024/2690 den Subkategorien von CSF 2.0 sowie ISO 27001 zu.

Die Antwort lautet: bei den technischen Maßnahmen weitgehend. Nahezu jeder NIS2-Punkt wird durch CSF-Ergebnisse abgedeckt, einige wenige sind nur lose verwandt. Der einzige nicht zugeordnete Punkt betrifft die Rückgabe oder Löschung von Assets bei Beendigung des Beschäftigungsverhältnisses, den die ENISA ISO, nicht aber CSF zuordnet.

Von NIS2 zu CSF betrachtet sind die nicht zugeordneten CSF-Ergebnisse überwiegend strategische Governance-Punkte, die NIS2 nicht ausdrücklich regelt: Überprüfung von Auftrag und Strategie der Organisation, Vorgaben zur Risikobereitschaft, Kommunikationswege für Risiken sowie Identitätsprüfung.

Wie bei ISO gilt: Zuordnung ist nicht Compliance. Die rechtlichen Pflichten aus NIS2 (Verantwortung und Schulung der Leitungsorgane, Fristen für die Meldung von Sicherheitsvorfällen gemäß Art. 23, Registrierung, nationale Umsetzung) liegen außerhalb jedes Control-Frameworks.

Kernaussagen

• Ein CSF Target Profile, das die NIS2-zugeordneten Subkategorien enthält, ist ein guter Umsetzungsplan für NIS2.
• Ergänzen Sie EU-spezifische Pflichten ausdrücklich: Meldefristen an CSIRTs, Schulung der Geschäftsleitung, nationale Registrierung.
• Wenn Sie zusätzlich eine Zertifizierung benötigen, ist ISO 27001 der Weg; CSF ist nicht zertifizierbar.

Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →