CIS Controls als Roadmap: vom CyberRisikoCheck zum ISMS

Problem in der Praxis

Der typische Verlauf im kleineren Mittelstand sieht so aus: Ein Vorfall, eine Kundenanfrage oder der Versicherer löst einen ersten Sicherheits-Check aus. Das Ergebnis ist eine Handvoll Feststellungen und Empfehlungen. Dann passiert eines von zwei Dingen: Entweder werden die Einzelempfehlungen punktuell abgearbeitet und das Thema gilt als erledigt, oder die Organisation erschrickt über die Lückenliste und beauftragt direkt ein ISMS-Projekt, das sie personell und kulturell überfordert.

Beide Wege scheitern am selben Punkt: Es fehlt die mittlere Ebene, ein strukturierter, priorisierter Umsetzungspfad, der aus dem Erst-Befund ein mehrjähriges, machbares Programm macht. Ein Kurz-Check nach DIN SPEC 27076 ist bewusst ein Interview mit begrenzter Tiefe: Er diagnostiziert, aber er therapiert nicht. Ein ISMS wiederum setzt Strukturen voraus (Verantwortliche, Prozesse, gelebte Maßnahmen), die zu diesem Zeitpunkt noch gar nicht existieren.

Die CIS Controls schließen diese Lücke, weil sie genau das liefern, was nach dem Check fehlt: einen vollständigen, priorisierten und nach Leistungsfähigkeit gestaffelten Maßnahmenkatalog, der ohne Managementsystem-Overhead sofort bearbeitbar ist.

CISO-Einordnung

Die Treppe hat aus CISO-Sicht vier Stufen mit klar unterschiedlichen Funktionen.

Stufe eins, Diagnose: Der CyberRisikoCheck nach DIN SPEC 27076 (oder ein vergleichbarer Kurz-Check) liefert eine schnelle, standardisierte Standortbestimmung für kleine Unternehmen. Sein Wert liegt in der niedrigen Schwelle und der Vergleichbarkeit, nicht in der Tiefe.

Stufe zwei, Grundhygiene: Die Implementation Group 1 der CIS Controls (56 Safeguards) übersetzt den Befund in essenzielle Cyber-Hygiene. Sie ist bewusst so geschnitten, dass eine kleine Organisation ohne Security-Team sie mit marktüblichen Mitteln erreichen kann, und adressiert die häufigsten, ungezielten Angriffe.

Stufe drei, Ausbau: Mit wachsender Organisation, sensibleren Daten oder ersten Kundenanforderungen wächst der Arbeitsvorrat über IG2 in Richtung Vollkatalog (IG3 mit allen 153 Safeguards). Die kumulative Logik der Implementation Groups sorgt dafür, dass nichts von Stufe zwei verloren geht.

Stufe vier, Steuerung und Nachweis: Sobald formale Nachweispflichten entstehen, wird das ISMS nach ISO/IEC 27001 darübergelegt. Die auf den Stufen zwei und drei umgesetzten Maßnahmen samt Evidenzen sind dann der operative Unterbau, der den ISMS-Aufbau erheblich verkürzt.

Wichtig für die Rolle des CISO (intern oder als externer Dienstleister): Auf jeder Stufe bleibt die Verantwortung dieselbe, nur das Instrument wechselt. Wer die Treppe als Ganzes kommuniziert, nimmt der Geschäftsführung die falsche Alternative "kleiner Check oder großes ISMS" ab.

Umsetzungsperspektive

Als konkreter Fahrplan bewährt sich ein Vorgehen in drei Zeithorizonten.

Kurzfristig (nach dem Check): Die Feststellungen des Erst-Checks werden auf die CIS-Struktur abgebildet: Welche Befunde betreffen Inventar, Konfiguration, Konten, Datensicherung? Daraus entsteht der IG1-Backlog mit Verantwortlichen und Terminen. Schnelle, sichtbare Erfolge (etwa Mehrfaktor-Anmeldung, getestete Datensicherung) gehören an den Anfang, sie tragen die Unterstützung der Geschäftsführung.

Mittelfristig (erstes bis zweites Jahr): IG1 wird vollständig und evidenzbasiert abgedeckt und als Baseline dauerhaft gepflegt. Parallel wird geprüft, welche Kunden-, Vertrags- oder Regulierungsanforderungen absehbar sind; sie bestimmen, ob und wann der Ausbau Richtung IG2 und der Einstieg in die ISMS-Strukturen beginnt.

Langfristig: Der Übergang zum Managementsystem wird als bewusste Entscheidung getroffen (Auslöser, Budget, Zeitplan), nicht als schleichender Prozess. Das Maßnahmenregister aus der CIS-Arbeit wird dabei in die ISO-Systematik überführt; ein Register, mehrere Sichten.

Für externe CISO- und Beratungsdienstleister ist die Treppe zugleich ein sauberes Leistungsmodell: Diagnose, Baseline-Programm und ISMS-Aufbau sind klar abgrenzbare Pakete mit definierten Ergebnissen, statt eines diffusen Dauermandats.

Typische Fehler

1. Nach dem Erst-Check werden nur die genannten Einzelbefunde abgearbeitet; der systematische Maßnahmenpfad entfällt.
2. Aus dem Check-Ergebnis wird direkt ein ISMS-Projekt, das die Organisation überfordert; die operative Basis fehlt.
3. Der IG1-Backlog wird ohne Verantwortliche und Termine geführt und versandet nach den ersten Wochen.
4. Schnelle sichtbare Erfolge werden ausgelassen; die Geschäftsführung verliert das Interesse am Programm.
5. Der Übergang zum ISMS wird nie explizit entschieden; die Organisation bleibt dauerhaft im "Projektmodus".
6. Die CIS-Arbeit wird beim ISMS-Aufbau verworfen statt in die ISO-Systematik überführt.

Risiken und Trade-offs

Der Treppenweg braucht Zeit. Wer akute Nachweispflichten hat (etwa eine Ausschreibung, die ein Zertifikat verlangt), kann nicht zwei Jahre Baseline-Arbeit vorschalten; dann läuft der ISMS-Aufbau parallel zur operativen Härtung, mit entsprechend höherem Ressourcenbedarf.

Zweitens besteht das Risiko der Dauerbaustelle: Die CIS-Baseline ist als Zwischenstufe komfortabel, weil sie keinen Audit-Druck erzeugt. Organisationen richten sich dort ein und verschieben die Steuerungsebene unbegrenzt. Ohne definierte Auslöser für den ISMS-Übergang wird die mittlere Stufe zum Endzustand, obwohl Kunden- und Regulierungsumfeld weiterwachsen.

Drittens die Abhängigkeit von der Einstiegsdiagnose: Ein Kurz-Check nach DIN SPEC 27076 ist ein Interviewformat. Er bildet ab, was die Befragten wissen und berichten; technische Tiefenprüfungen ersetzt er nicht. Die CIS-Arbeit sollte deshalb früh eigene Evidenzen erzeugen (Inventarabgleiche, Konfigurationsprüfungen), statt sich auf die Interview-Selbstauskunft zu stützen.

Entscheidungspunkte

• Wo auf der Treppe stehen wir heute ehrlich: vor der Diagnose, nach dem Check, in der Baseline-Arbeit oder vor dem ISMS-Übergang?
• Welche Feststellungen des Erst-Checks lassen sich direkt in den IG1-Backlog überführen, und wer verantwortet ihn?
• Welche Kunden-, Vertrags- oder Regulierungsanforderungen definieren unseren Auslöser für den ISMS-Aufbau?
• Welche schnellen, sichtbaren Erfolge sichern die Unterstützung der Geschäftsführung für das Gesamtprogramm?
• Arbeiten wir mit internen Kräften oder einem externen CISO-Dienstleister, und wie sind die Stufen als Pakete geschnitten?

Praktische Empfehlungen

1. Kommunizieren Sie die Treppe als Gesamtbild: Check, CIS-Baseline, Ausbau, ISMS. Das ersetzt die falsche Alternative "klein oder groß".
2. Überführen Sie Check-Befunde systematisch in einen IG1-Backlog mit Verantwortlichen, Terminen und Evidenzpflicht.
3. Setzen Sie schnelle, sichtbare Maßnahmen an den Anfang, um Rückhalt der Geschäftsführung aufzubauen.
4. Definieren Sie den ISMS-Auslöser explizit (Kundenanforderung, Ausschreibung, Regulierung) und dokumentieren Sie die Entscheidung.
5. Erzeugen Sie früh technische Evidenzen statt Interview-Selbstauskünften.
6. Führen Sie die CIS-Arbeit beim ISMS-Aufbau als operativen Unterbau fort; verwerfen Sie nichts.

Relevante Normreferenzen

• CIS Critical Security Controls v8.1 (Center for Internet Security, 2024): priorisierter Maßnahmenkatalog mit Implementation Groups; füllt die Umsetzungslücke zwischen Erst-Check und ISMS (Referenz, Lizenz CC BY-NC-ND 4.0).
• DIN SPEC 27076: Grundlage des interviewbasierten CyberRisikoCheck für kleine und Kleinstunternehmen; standardisierte Erstdiagnose (Referenz).
• ISO/IEC 27001: zertifizierbares Managementsystem als Zielbild für Steuerung und Nachweis (Referenz).