CIS Controls und ISO 27001: Maßnahmenkatalog trifft Managementsystem

Problem in der Praxis

Die Verwechslung der beiden Vehikel erzeugt in der Praxis zwei gegenläufige Fehlentwicklungen.

Die erste: Eine Organisation braucht gegenüber Kunden ein ISO-27001-Zertifikat und beginnt mit Dokumentenarbeit (Leitlinie, Risikomethodik, Statement of Applicability), während die operative Härtung liegen bleibt. Das Audit wird bestanden, aber das tatsächliche Schutzniveau hinkt der Papierlage hinterher. Ein Managementsystem verlangt zwar wirksame Maßnahmen, gibt aber keine konkrete Prioritätenreihenfolge für den operativen Aufbau vor; genau diese Lücke füllen die CIS Controls.

Die zweite: Eine Organisation arbeitet die CIS Controls diszipliniert ab und hält sich damit für "compliant". Wenn dann ein Großkunde ein Zertifikat verlangt oder eine Regulierung ein Managementsystem voraussetzt, fehlt die gesamte Steuerungsebene: dokumentierte Risikoentscheidungen, Managementbewertung, interne Audits, kontinuierliche Verbesserung. Operative Hygiene ist kein Nachweisvehikel.

Beide Fehlentwicklungen haben dieselbe Wurzel: Katalog und Managementsystem werden als austauschbar behandelt, obwohl sie auf verschiedenen Ebenen arbeiten.

CISO-Einordnung

Drei Unterschiede sind tragend.

Erstens die Logik: ISO 27001 ist risikobasiert und organisationsindividuell. Welche Maßnahmen eine Organisation umsetzt, ergibt sich aus ihrer Risikobeurteilung; der Anhang der Norm dient als Prüfraster gegen Vergessenes. Die CIS Controls sind erfahrungsbasiert und generisch: Sie priorisieren Maßnahmen nach dem, was gegen die häufigsten Angriffsmuster am meisten bewirkt, unabhängig von der Einzelorganisation. Die Implementation Groups verfeinern das nach Organisationsgröße und Gefährdung.

Zweitens der Nachweis: ISO 27001 führt zu einem Zertifikat einer akkreditierten Stelle mit Überwachungsaudits; das ist international anerkannte Nachweiswährung. Die CIS Controls führen zu einem intern dokumentierten Umsetzungsstand; es gibt keine akkreditierte Zertifizierung. Wo Kunden, Ausschreibungen oder Aufsichten formale Nachweise fordern, führt an einem Zertifizierungsvehikel langfristig selten ein Weg vorbei.

Drittens die Flughöhe: ISO 27001 adressiert Governance (Rollen, Risikoakzeptanz, Managementbewertung, Verbesserungszyklus). Die CIS Controls adressieren primär die technische und operative Umsetzungsebene; v8.1 hat die Governance-Perspektive zwar ergänzt, ersetzt aber kein Managementsystem.

Inhaltlich überschneiden sich beide erheblich: Die operativen Themen der CIS Controls finden sich sinngemäß in den ISO-Maßnahmenbereichen wieder. Offizielle Mappings des CIS existieren; für verbindliche Zuordnungen ist das Originalmaterial heranzuziehen, nicht eine aus dem Gedächtnis rekonstruierte Tabelle.

Umsetzungsperspektive

Für die meisten mittelständischen Organisationen bewährt sich ein gestuftes Vorgehen.

Stufe eins: Die CIS Controls (beginnend mit der passenden Implementation Group) werden als operatives Aufbauprogramm genutzt. Das schafft in überschaubarer Zeit reale Risikoreduktion und, als Nebeneffekt, genau die gelebten Maßnahmen und Evidenzen, die ein späteres ISMS ohnehin braucht.

Stufe zwei: Sobald Nachweispflichten konkret werden (Großkunde, Ausschreibung, Regulierung), wird das Managementsystem darübergelegt: Risikomethodik, Anwendbarkeitserklärung, Governance-Prozesse, interne Audits. Die bereits umgesetzten CIS-Maßnahmen werden dabei nicht neu erfunden, sondern in die ISO-Systematik eingeordnet und um die risikobasiert erforderlichen Maßnahmen ergänzt.

Wichtig ist die Rollenklärung im Zielbild: Das ISMS steuert (welche Risiken, welche Maßnahmen, welche Wirksamkeit), der CIS-Katalog bleibt als operative Referenz und Priorisierungshilfe darunter nutzbar. Doppelstrukturen (zwei parallele Maßnahmenregister, zwei Bewertungslogiken) sind zu vermeiden; ein Maßnahmenbestand, zwei Sichten darauf.

Wer bereits ISO-zertifiziert ist, kann die CIS Controls umgekehrt als Realitätscheck nutzen: Sie machen sichtbar, ob die operative Basis (Inventar, Konfiguration, Konten, Schwachstellen) der Papierlage entspricht.

Typische Fehler

1. ISO-Dokumentation wird aufgebaut, während operative Grundmaßnahmen fehlen; das Zertifikat überdeckt reale Lücken.
2. CIS-Umsetzung wird mit Zertifizierbarkeit verwechselt; bei Kundenanforderungen fehlt das Nachweisvehikel.
3. Beide Rahmenwerke werden parallel mit getrennten Maßnahmenregistern betrieben; doppelte Pflege, widersprüchliche Stände.
4. Mappings CIS↔ISO werden aus Sekundärquellen oder dem Gedächtnis übernommen statt aus dem Originalmaterial.
5. Die risikobasierte ISO-Logik wird durch den generischen Katalog ersetzt; organisationsspezifische Risiken bleiben unbehandelt.
6. Der Übergang von "CIS als Programm" zu "ISMS als Steuerung" wird nie explizit entschieden und bleibt im Ungefähren.

Risiken und Trade-offs

Der gestufte Weg (erst CIS, dann ISO) hat einen Preis: Wer die Managementsystem-Ebene lange aufschiebt, trifft Risikoentscheidungen implizit und undokumentiert. Das rächt sich spätestens im ersten Zertifizierungsaudit oder im Schadensfall, wenn Entscheidungswege belegt werden müssen.

Der umgekehrte Weg (ISO zuerst) trägt das Risiko der Papier-Compliance: formal konformes System, operativ dünne Basis. Auditoren prüfen Wirksamkeit stichprobenartig; ein Zertifikat ist kein Beleg für flächendeckende Härtung.

Der Parallelbetrieb beider Rahmenwerke schließlich kostet Pflegeaufwand: Jede Maßnahme muss in beiden Sichten aktuell gehalten werden. Das lohnt sich nur, wenn beide Sichten echte Abnehmer haben (etwa ISO für Kundennachweise, CIS für die operative Steuerung und Priorisierung).

Entscheidungspunkte

• Gibt es heute oder absehbar formale Nachweispflichten (Kunden, Ausschreibungen, Regulierung), die ein Zertifikat erfordern?
• Starten wir mit den CIS Controls als operativem Aufbauprogramm oder direkt mit dem ISMS-Aufbau?
• Wann und wodurch wird der Übergang zum Managementsystem ausgelöst, und wer entscheidet ihn?
• Wie ordnen wir bestehende CIS-Maßnahmen in die ISO-Systematik ein, ohne ein zweites Maßnahmenregister aufzubauen?
• Welche organisationsspezifischen Risiken deckt der generische Katalog nicht ab, und wie behandeln wir sie?

Praktische Empfehlungen

1. Klären Sie zuerst die Nachweisfrage: Ohne formale Nachweispflicht ist der CIS-Einstieg meist der schnellere Weg zu realer Sicherheit.
2. Nutzen Sie die CIS-Umsetzung als Unterbau: Gelebte Maßnahmen und Evidenzen verkürzen den späteren ISMS-Aufbau erheblich.
3. Führen Sie ein einziges Maßnahmenregister mit zwei Sichten (CIS-Priorisierung, ISO-Systematik) statt zweier Parallelwelten.
4. Dokumentieren Sie Risikoentscheidungen von Anfang an, auch vor dem formalen ISMS.
5. Verwenden Sie für CIS↔ISO-Zuordnungen ausschließlich das Originalmaterial des CIS.
6. Behandeln Sie ein ISO-Zertifikat nie als Beleg operativer Vollständigkeit; nutzen Sie die CIS Controls als Realitätscheck.

Relevante Normreferenzen

• CIS Critical Security Controls v8.1 (Center for Internet Security, 2024): priorisierter Maßnahmenkatalog, 18 Maßnahmenfelder, 153 Safeguards, keine Zertifizierung (Referenz, Lizenz CC BY-NC-ND 4.0).
• ISO/IEC 27001: zertifizierbares Managementsystem für Informationssicherheit; risikobasierte Maßnahmenauswahl, akkreditierte Zertifizierung (Referenz).
• ISO/IEC 27002: Umsetzungsleitfaden zu den ISO-Maßnahmen (Referenz).