CIS Controls und NIST CSF 2.0: das Alignment der Version 8.1

Problem in der Praxis

Organisationen, die mit dem NIST CSF steuern, kennen ein wiederkehrendes Problem: Das Framework beschreibt Ergebnisse und Fähigkeiten, aber es sagt bewusst nicht, mit welchen konkreten Maßnahmen man dorthin kommt. Ein CSF-Profil zeigt eine Lücke etwa im Bereich Schutzmaßnahmen; welche zwanzig operativen Schritte diese Lücke schließen, muss anderswo herkommen.

Umgekehrt fehlt reinen CIS-Anwendern häufig die Vogelperspektive: Sie arbeiten Safeguards ab, können aber gegenüber Vorstand oder Aufsicht schwer darstellen, wie sich das zu einem steuerbaren Gesamtprogramm mit Zielbild fügt.

Vor Version 8.1 kam Reibung hinzu: Das CSF 2.0 hatte mit der Govern-Funktion die Steuerungsebene aufgewertet und seine Strukturen weiterentwickelt, während die CIS Controls v8 noch auf dem älteren Stand aufsetzten. Wer beide kombinierte, musste Begriffs- und Zuordnungsarbeit selbst leisten, etwa bei der Frage, welche Asset-Kategorien gemeint sind. Genau diese Naht hat v8.1 geglättet.

CISO-Einordnung

Drei Punkte sind für die Einordnung tragend.

Erstens die Natur der beiden Werke: Das NIST CSF 2.0 ist ein funktionsorientierter Rahmen; es gliedert ein Sicherheitsprogramm in übergreifende Funktionen von der Steuerung über Identifizieren und Schützen bis zu Erkennen, Reagieren und Wiederherstellen und eignet sich für Reifegradbewertung, Zielprofile und Managementkommunikation. Die CIS Controls v8.1 sind ein priorisierter Maßnahmenkatalog: 18 Maßnahmenfelder, 153 Safeguards, drei Implementation Groups. Das eine ist Landkarte, das andere Wegbeschreibung.

Zweitens das v8.1-Alignment: Die Ergänzung der Governance-Funktion trägt der Erkenntnis Rechnung, dass operative Maßnahmen ohne Steuerungsverankerung nicht nachhaltig sind, und spiegelt die Govern-Funktion des CSF 2.0. Die Angleichung der Asset-Taxonomie sorgt dafür, dass beide Rahmenwerke von denselben Gegenstandskategorien sprechen; das reduziert Übersetzungsfehler bei Inventar-, Schutz- und Überwachungsthemen.

Drittens die Nachweisfrage: Beide Rahmenwerke sind freiwillig und nicht zertifizierbar. Das CSF stammt aus dem US-Behördenumfeld und ist als Werk der US-Bundesverwaltung frei nutzbar; die CIS Controls stehen unter der restriktiveren Lizenz CC BY-NC-ND 4.0. Für formale Nachweise in Europa bleibt ISO/IEC 27001 das übliche Vehikel; CSF und CIS ordnen sich darauf abbilden.

Umsetzungsperspektive

Das bewährte Zusammenspiel sieht so aus: Das CSF 2.0 liefert die Programmstruktur. Die Organisation beschreibt ihr Ist- und Zielprofil entlang der Funktionen und macht damit Fortschritt und Lücken auf Managementebene kommunizierbar. Die CIS Controls liefern darunter den Arbeitsvorrat: Für identifizierte Lücken werden die einschlägigen Maßnahmenfelder und Safeguards (in der passenden Implementation Group) als konkrete Umsetzungsschritte herangezogen.

Praktisch heißt das: Die Programmsteuerung (Berichte, Zielbilder, Reifegrade) spricht CSF; die Umsetzungsplanung (Backlog, Verantwortliche, Evidenzen) spricht CIS. Die Verbindung zwischen beiden wird einmal sauber hergestellt und dann gepflegt, am besten auf Basis der offiziellen Zuordnungsmaterialien des CIS statt eigener Rekonstruktionen.

Für Organisationen, die bereits ISO 27001 betreiben, ist die Kombination kein Widerspruch: Das ISMS bleibt Steuerungs- und Nachweisvehikel; CSF-Profile können der Managementkommunikation dienen, die CIS Controls der operativen Priorisierung. Wichtig ist auch hier ein einziges Maßnahmenregister mit mehreren Sichten statt paralleler Welten.

Beim Versionsmanagement gilt: Aussagen zum Alignment beziehen sich auf CIS v8.1 gegen CSF 2.0. Wer noch Bewertungen auf v8-Basis führt, sollte sie beim nächsten Turnus auf v8.1 heben, damit Taxonomie und Governance-Sicht konsistent sind.

Typische Fehler

1. Das CSF wird als Maßnahmenkatalog missverstanden und die konkrete Umsetzungsebene bleibt unbesetzt.
2. Die CIS Controls werden ohne Programmrahmen abgearbeitet; gegenüber der Leitung fehlt das steuerbare Gesamtbild.
3. Zuordnungen CSF↔CIS werden frei rekonstruiert statt aus den offiziellen Materialien übernommen.
4. Alte Bewertungen (CIS v8, CSF 1.x) werden mit neuen (v8.1, CSF 2.0) vermischt; Reifegrade sind nicht vergleichbar.
5. Die Governance-Ergänzung der v8.1 wird ignoriert und Steuerungsthemen weiter als "nicht CIS-relevant" behandelt.
6. Die Kombination beider Rahmenwerke erzeugt ein zweites Maßnahmenregister neben dem ISMS statt einer zusätzlichen Sicht.

Risiken und Trade-offs

Die Kombination zweier Rahmenwerke kostet Abstimmungsaufwand: Begriffe, Zuordnungen und Bewertungszyklen müssen konsistent gehalten werden. Für kleine Organisationen kann das Overhead sein; dort reicht oft die CIS-Baseline allein, und die CSF-Ebene kommt erst mit wachsender Programmkomplexität dazu.

Ein zweiter Trade-off betrifft die Herkunft: Beide Werke sind US-geprägt. Sie sind international anschlussfähig, aber europäische Nachweispflichten (etwa gegenüber Kunden oder Aufsichten) verlangen in der Regel ISO-basierte oder regulatorische Vehikel. CSF und CIS ersetzen diese nicht, sie füttern sie.

Drittens das Lizenzgefälle: CSF-Inhalte sind als US-Regierungswerk frei verwendbar, CIS-Inhalte nur unter CC BY-NC-ND 4.0. Wer interne Dokumente baut, die beide Quellen verarbeiten, muss die strengere CIS-Posture beachten: Struktur und Konzept ja, wörtliche Übernahmen nein.

Entscheidungspunkte

• Brauchen wir eine Programmsteuerungsebene (CSF) oder genügt aktuell die Maßnahmen-Baseline (CIS)?
• Welche Rolle behält unser ISMS, wenn wir CSF-Profile und CIS-Priorisierung ergänzen?
• Auf welcher Grundlage stellen wir die Zuordnung CSF↔CIS her, und wer pflegt sie bei Versionswechseln?
• Wann heben wir bestehende Bewertungen auf CIS v8.1 und CSF 2.0, damit Taxonomie und Governance-Sicht konsistent sind?
• Wie stellen wir sicher, dass die Kombination eine zusätzliche Sicht auf ein Maßnahmenregister bleibt und keine Parallelwelt?

Praktische Empfehlungen

1. Nutzen Sie das CSF 2.0 für Zielbild und Managementkommunikation, die CIS Controls für den konkreten Umsetzungs-Backlog.
2. Stellen Sie Zuordnungen zwischen beiden Rahmenwerken auf Basis der offiziellen CIS-Materialien her, nicht aus dem Gedächtnis.
3. Halten Sie Versionsstände synchron: CIS v8.1 gegen CSF 2.0, keine Mischbewertungen.
4. Verankern Sie Governance-Themen ausdrücklich, die v8.1 hat sie aus gutem Grund ergänzt.
5. Führen Sie ein einziges Maßnahmenregister mit Sichten für CSF, CIS und gegebenenfalls ISO.
6. Beachten Sie das Lizenzgefälle: CSF frei nutzbar, CIS nur als Struktur/Konzept ohne wörtliche Übernahmen.

Relevante Normreferenzen

• CIS Critical Security Controls v8.1 (Center for Internet Security, 2024): Maßnahmenkatalog; v8.1 ergänzte die Governance-Funktion und glich die Asset-Taxonomie an NIST CSF 2.0 an (Referenz, Lizenz CC BY-NC-ND 4.0).
• NIST Cybersecurity Framework 2.0: funktionsorientierter Steuerungsrahmen mit eigenständiger Govern-Funktion; als US-Regierungswerk frei nutzbar (Referenz).
• ISO/IEC 27001: zertifizierbares Managementsystem als übliches Nachweisvehikel in Europa (Referenz).