Implementation Groups IG1 bis IG3: Priorisierung nach Leistungsfähigkeit

Problem in der Praxis

Maßnahmenkataloge scheitern in der Praxis selten am Inhalt, sondern an der Menge. Eine Organisation mit drei IT-Mitarbeitenden, die einen Katalog mit weit über hundert Einzelmaßnahmen vor sich sieht, priorisiert entweder gar nicht oder nach Bauchgefühl: Umgesetzt wird, was gerade ein Projekt hergibt oder was ein Auditor zuletzt angemerkt hat.

Beide Muster sind teuer. Ohne Priorisierung versanden Sicherheitsinitiativen im Klein-Klein; mit Bauchgefühl-Priorisierung entstehen Inseln (etwa ein ausgereiftes Monitoring neben ungepflegten Administratorkonten). Die Implementation Groups lösen genau dieses Problem: Sie geben eine begründete, erfahrungsbasierte Reihenfolge vor, die sich an der Leistungsfähigkeit der Organisation orientiert statt an der Attraktivität einzelner Themen.

In der Beratungspraxis zeigt sich zusätzlich ein zweites Problem: die Selbstüberschätzung bei der Einstufung. Organisationen wählen IG2 oder IG3, weil es ambitioniert klingt, und scheitern dann an einem Arbeitsvorrat, der zwei Nummern zu groß ist.

CISO-Einordnung

Die drei Stufen folgen einer klaren Logik.

IG1 ist die Basis und von CIS bewusst als Mindestmaß an Cyber-Hygiene positioniert: 56 Safeguards, die eine kleine Organisation ohne dediziertes Security-Personal mit marktüblichen Mitteln umsetzen kann. IG1 zielt auf die Abwehr der häufigsten, ungezielten Angriffe. Wichtig für die Einordnung: IG1 ist kein "abgespecktes Feigenblatt", sondern der Teil des Katalogs, der das beste Verhältnis von Aufwand zu Risikoreduktion bietet.

IG2 baut vollständig auf IG1 auf und adressiert Organisationen mit höherer Komplexität: mehrere Abteilungen, eigene IT-Verantwortliche, sensiblere Daten, erste regulatorische Berührungspunkte. Die zusätzlichen Safeguards vertiefen unter anderem Betriebs- und Überwachungsthemen.

IG3 umfasst alle 153 Safeguards und richtet sich an Organisationen mit hoher Gefährdungslage oder strenger Regulierung, die gezielte Angriffe abwehren müssen und über reife Sicherheitsfunktionen verfügen.

Entscheidend ist der kumulative Charakter: IG1 ist vollständig in IG2 enthalten, IG2 vollständig in IG3. Eine Organisation "überspringt" also nichts, wenn sie klein anfängt; sie arbeitet denselben Pfad entlang, nur unterschiedlich weit.

Für die verbindliche Zuordnung einzelner Safeguards zu den Gruppen gilt: Maßgeblich ist der Originalkatalog des CIS, nicht eine aus dem Gedächtnis rekonstruierte Tabelle.

Umsetzungsperspektive

Der erste Schritt ist eine ehrliche Selbsteinstufung. Brauchbare Kriterien sind: Gibt es dediziertes IT- und Security-Personal? Wie sensibel sind die verarbeiteten Daten? Gibt es regulatorische oder vertragliche Sicherheitsanforderungen? Wie attraktiv ist die Organisation für gezielte Angriffe? Eine kleine Organisation ohne eigene Security-Rolle startet bei IG1, unabhängig davon, was Wettbewerber oder Kunden signalisieren.

Der zweite Schritt ist die Umwandlung der gewählten Stufe in einen Umsetzungsplan: Ist-Stand je Safeguard erheben, Lücken nach Risiko und Aufwand ordnen, Verantwortliche und Termine festlegen. Bewährt hat sich ein Zielhorizont, der die vollständige Abdeckung der gewählten IG als messbares Programmziel definiert, mit Zwischenständen für die Leitung.

Der dritte Schritt ist die geplante Weiterentwicklung. Die IG-Zuordnung ist keine Dauerentscheidung: Wächst die Organisation, ändern sich Datenlage oder Kundenanforderungen, wird die Einstufung überprüft. Der Übergang von IG1 zu IG2 ist dann kein neues Programm, sondern die Erweiterung des bestehenden Arbeitsvorrats.

Wichtig für Nachweise: Da es keine CIS-Zertifizierung gibt, sollte der Umsetzungsstand evidenzbasiert dokumentiert werden (Konfigurationsnachweise, Stichproben, Kennzahlen), damit er gegenüber Kunden, Versicherern oder Auditoren belastbar ist.

Typische Fehler

1. Die Organisation stuft sich aus Ehrgeiz zu hoch ein und scheitert am Umfang; IG1 wäre der wirksamere Start gewesen.
2. IG1 wird als minderwertig abgetan, obwohl es das beste Aufwand-Nutzen-Verhältnis des Katalogs bündelt.
3. Die kumulative Logik wird ignoriert und einzelne IG2-/IG3-Themen umgesetzt, während IG1-Grundlagen fehlen.
4. Die Einstufung wird nie überprüft, obwohl Organisation, Datenlage oder Kundenanforderungen gewachsen sind.
5. Der Umsetzungsstand wird als Selbstauskunft ohne Evidenzen geführt und hält externen Nachfragen nicht stand.
6. Safeguard-Zuordnungen werden aus Sekundärquellen oder dem Gedächtnis übernommen statt aus dem Originalkatalog.

Risiken und Trade-offs

Die IG-Logik priorisiert nach typischen Organisationsprofilen, nicht nach der individuellen Risikolage. Eine kleine Organisation mit hochsensiblen Daten (etwa im Gesundheitsumfeld) kann mit IG1 formal richtig eingestuft und trotzdem unterversorgt sein. Die Einstufung ersetzt deshalb keine eigene Risikobetrachtung; sie liefert den Standardpfad, von dem begründet abgewichen werden darf.

Der zweite Trade-off betrifft die Geschwindigkeit. Wer IG1 schnell "abhakt", um IG2 zu erreichen, riskiert oberflächliche Umsetzung: Ein Inventar, das nach drei Monaten veraltet ist, erfüllt den Zweck nicht. Tiefe schlägt Tempo; die Stufen sind Reifegrade, keine Meilensteine eines Sprints.

Drittens besteht ein Kommunikationsrisiko: "Wir erfüllen IG1" ist eine Selbstaussage ohne akkreditierte Prüfung. Gegenüber Dritten sollte der Anspruch entsprechend formuliert werden (umgesetzt und intern nachgewiesen, nicht "zertifiziert").

Entscheidungspunkte

• Welche Implementation Group entspricht ehrlich unserer Größe, Komplexität und Gefährdungslage?
• Welche individuellen Risiken rechtfertigen Abweichungen vom Standardpfad der gewählten IG?
• Bis wann wollen wir die gewählte IG vollständig und evidenzbasiert abdecken?
• Welche Ereignisse (Wachstum, neue Kunden, Regulierung) lösen eine Neubewertung der Einstufung aus?
• Wie weisen wir den Umsetzungsstand gegenüber Kunden und Versicherern nach, ohne eine Zertifizierung zu suggerieren?

Praktische Empfehlungen

1. Stufen Sie konservativ ein: Im Zweifel IG1 vollständig und belastbar statt IG2 lückenhaft.
2. Machen Sie die vollständige Abdeckung der gewählten IG zum messbaren Programmziel mit Berichtsweg an die Leitung.
3. Erheben Sie den Ist-Stand je Safeguard mit Evidenzen und pflegen Sie ihn als lebendes Register.
4. Ergänzen Sie die IG-Logik um eine eigene Risikobetrachtung für Ihre besonderen Gefährdungen.
5. Definieren Sie Auslöser für die Neueinstufung (Wachstum, Datenlage, Kunden- und Vertragsanforderungen).
6. Nutzen Sie für alle Safeguard-Zuordnungen den Originalkatalog des CIS als einzige verbindliche Quelle.

Relevante Normreferenzen

• CIS Critical Security Controls v8.1 (Center for Internet Security, 2024): definiert die drei Implementation Groups und die Zuordnung der 153 Safeguards; IG1 umfasst 56 Safeguards, IG3 den Vollumfang (Referenz, Lizenz CC BY-NC-ND 4.0).
• ISO/IEC 27001: risikobasiertes Managementsystem als komplementäres Vehikel; die IG-Logik ersetzt dessen Risikobetrachtung nicht (Referenz).