NIST CSF 2.0 vs. SOC 2: Framework zur Umsetzung vs. Prüfbericht

Nach Paul Gillet · Aktualisiert 2026-10-17

NIST CSF 2.0 ist ein freiwilliges, ergebnisorientiertes Framework: Sie legen Ihr Zielprofil fest und messen sich daran. SOC 2 ist eine unabhängige Testierung durch einen CPA gegen die Trust Services Criteria des AICPA; viele nordamerikanische Kunden fordern sie im Einkaufsprozess von SaaS-Anbietern ein.

Die meisten Sicherheitsanforderungen aus SOC 2 (Common Criteria) haben Entsprechungen im CSF: logischer Zugriff, Überwachung, Reaktion auf Vorfälle, Änderungsmanagement, Risikobewertung und Lieferantenmanagement. Ein am CSF ausgerichtetes Programm deckt damit den Großteil der Kontrollen ab, die ein Prüfer testen wird.

Von CSF zu SOC 2 betrachtet hat nahezu jedes Common Criterion eine Entsprechung im CSF, einschließlich der Kriterien zum Kontrollumfeld (Ethik, Aufsicht durch den Vorstand, Verantwortlichkeit), die der CSF über seine Steuern-Funktion abdeckt. Nicht zugeordnet sind die optionalen Kategorien Processing Integrity und Privacy von SOC 2, denen in einem Sicherheitsframework kaum Entsprechungen gegenüberstehen. Es gibt kein öffentlich verfügbares, maschinenlesbares SOC-2-Crosswalk; die SOC-2-Seite dieses Vergleichs ist daher die redaktionelle Zuordnung von ControlMapping.

Von SOC 2 zum CSF betrachtet liegen die Lücken vor allem bei den umfassenderen Steuerungs- und Resilienzergebnissen des CSF: Risikostrategie, Lebenszyklus des Lieferketten-Risikomanagements, Threat Intelligence und Verbesserungsprozesse, die SOC 2 nicht ausdrücklich verlangt.

Auf einen Blick

Wie beide zusammenpassen

Der CSF beschreibt, was ein gutes Programm erreichen soll; SOC 2 belegt Kunden, dass bestimmte Kontrollen wirksam sind. Viele Unternehmen nutzen den CSF, um das Programm zu strukturieren und dem Vorstand zu berichten, und SOC 2, um Kunden Nachweise zu liefern. Da SOC 2 kein offen lizenziertes Crosswalk hat, beruht jede SOC-2-Verknüpfung hier auf der redaktionellen Einschätzung von ControlMapping, jeweils mit Begründung.

Wer was verlangt

• SOC 2 wird vor allem von Kunden verlangt, überwiegend von US-Unternehmen, die Software- und Dienstleister bewerten. Die Frage lautet: „Können wir Ihnen unsere Daten anvertrauen?“, beantwortet durch das unabhängige Prüfurteil eines Wirtschaftsprüfers.
• NIST CSF 2.0 wird von Vorständen, Aufsichtsbehörden, Versicherern und Partnern verlangt, die wissen wollen, wie eine Organisation Cyberrisiken insgesamt steuert. Ein „CSF-Zertifikat“ gibt es nicht; stattdessen legen Sie Ihre Profile und die dahinterstehenden Nachweise vor.
• Immer mehr Unternehmen nutzen den CSF intern und erstellen für Kunden einen SOC-2-Bericht. Beide ergänzen sich, statt miteinander zu konkurrieren.

Den CSF zur Vorbereitung auf SOC 2 nutzen

Wenn Sie bereits ein CSF-basiertes Programm betreiben, haben Sie den Großteil dessen, was die Sicherheitskriterien von SOC 2 prüfen. Ordnen Sie Ihre CSF-Ergebnisse den Trust Services Criteria zu und prüfen Sie dann drei Punkte, die der CSF nicht erzwingt: dass jede Kontrolle fortlaufend Nachweise erzeugt (SOC 2 Typ II prüft Stichproben über Monate), dass die Kriterien zum Kontrollumfeld abgedeckt sind (Aufsicht durch den Vorstand, Integrität und ethische Werte, Kompetenz, Verantwortlichkeit) und dass Ihre Systembeschreibung mit der Abgrenzung übereinstimmt, auf die Kunden achten. Der CSF → SOC 2 Lückenbericht listet jedes Kriterium mit seiner CSF-Entsprechung und der Begründung für jede Verknüpfung auf.

Kosten und Aufwand

Der CSF selbst ist kostenlos; der Aufwand entsteht durch die Bewertung und Verbesserung Ihres Profils. SOC 2 kommt mit den Honoraren einer CPA-Gesellschaft hinzu und bei Typ II mit der Disziplin, Nachweise über den gesamten Beobachtungszeitraum zu sammeln. Für ein Unternehmen mit ausgereiftem CSF-Programm besteht der zusätzliche SOC-2-Aufwand vor allem in der Nachweissammlung, der Systembeschreibung und den optionalen Kategorien, die Sie einbeziehen. Für ein Unternehmen, das bei null beginnt, bietet der Aufbau nach CSF zuerst eine breitere Grundlage; der Aufbau nach SOC 2 zuerst liefert schneller ein Ergebnis für Kunden.

Zeitplan

Vom funktionierenden CSF-Programm bis zum ersten SOC-2-Bericht Typ II vergehen typischerweise sechs bis neun Monate: ein bis drei Monate, um Kontrollen zuzuordnen, Lücken zu schließen und einen Prüfer zu beauftragen, danach ein drei- bis sechsmonatiger Beobachtungszeitraum und einige Wochen für den Bericht. In umgekehrter Richtung kann ein Unternehmen mit SOC-2-Bericht ein CSF-Current-Profile in wenigen Wochen erstellen, da die meisten Ergebnisse zu Schützen, Erkennen und Reagieren bereits belegt sind; die Steuern-Funktion erfordert meist den größten Aufwand.

Praxisbeispiel: ein Fintech-Start-up

Ein Fintech mit 30 Beschäftigten hat einen SOC-2-Bericht Typ II für seine Payment-API. Vorstand und Cyberversicherer fragen nun, wie es Cyberrisiken insgesamt steuert. Das Unternehmen erstellt aus seinen SOC-2-Kontrollen ein CSF-2.0-Current-Profile und stellt eine starke Abdeckung bei Schützen, Erkennen und Reagieren fest, dagegen Lücken bei Steuern: keine formale Risikoappetit-Erklärung, kein Lieferketten-Risikoprogramm über Lieferantenfragebögen hinaus und keine regelmäßige Berichterstattung an den Vorstand. Es legt ein Target Profile fest, ergänzt einen Quartalsbericht an den Vorstand in CSF-Begriffen und behält seinen SOC-2-Prüfzyklus unverändert bei. Ein Kontrollsatz beantwortet nun beide Zielgruppen.

Häufige Fehler

• Die Annahme, CSF-Ausrichtung bedeute SOC-2-Reife. Der CSF verlangt keine fortlaufenden Nachweise über einen Zeitraum, die ein Bericht Typ II prüft.
• Das Kontrollumfeld ignorieren. Die Kriterien CC1 bis CC5 von SOC 2 (Aufsicht durch den Vorstand, Integrität, Kompetenz, Verantwortlichkeit) erfordern Nachweise, die technische CSF-Programme oft nicht liefern.
• Den SOC-2-Bericht zu weit fassen, indem er das gesamte CSF-Programm abdeckt, statt des Systems, auf das sich Kunden verlassen.
• Zwei Programme parallel betreiben. Ein Kontrollsatz, in beide Richtungen zugeordnet, vermeidet doppelte Nachweise.
• Steuern bis zuletzt aufschieben. Die Steuern-Ergebnisse des CSF 2.0 sind in einem SOC-2-first-Programm oft der schwächste Teil und der, nach dem Vorstände am meisten fragen.

Kernaussagen

• Der CSF sagt Ihnen, wie gute Umsetzung aussieht; SOC 2 belegt einem Kunden, dass Sie sie betreiben.
• Nachweise fortlaufend sammeln: Ein Bericht Typ II braucht Belege über den gesamten Prüfungszeitraum.
• Processing Integrity und Privacy als getrennte Projekte behandeln, sofern sie im Umfang enthalten sind.

Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →