CIS Controls nutzen, ohne die Lizenz zu verletzen: CC BY-NC-ND in der Praxis

Problem in der Praxis

In der Praxis wird die Lizenzfrage regelmäßig übersehen, weil "kostenlos herunterladbar" mit "frei verwendbar" gleichgesetzt wird. Typische Muster: Ein Beratungshaus baut die Safeguard-Texte in sein kommerzielles Assessment-Template ein. Ein interner Verantwortlicher kopiert Katalogpassagen in die Sicherheitsrichtlinie des Unternehmens und passt sie an. Ein Toolanbieter hinterlegt den Katalog als Prüfkatalog in seinem Produkt.

Alle drei Muster berühren die Lizenzbedingungen: Das NC-Element (non-commercial) steht der kommerziellen Nutzung entgegen, das ND-Element (no derivatives) der Weiterverbreitung bearbeiteter oder übersetzter Fassungen, die als Wiedergabe des Werks auftreten. Wo genau die Grenze zwischen zulässiger Ideenübernahme und unzulässiger Werkübernahme verläuft, ist im Einzelfall juristisch zu bewerten; sicher ist: Die bloße Verfügbarkeit des PDF ist keine Erlaubnis.

Das eigentliche Praxisproblem ist also ein Steuerungsproblem: Es fehlt eine hausinterne Regel, wie mit dem Katalog gearbeitet werden darf, bevor Inhalte in Richtlinien, Angebote oder Produkte fließen.

CISO-Einordnung

Für die Einordnung hilft die Unterscheidung von drei Nutzungsebenen.

Ebene eins, interne Anwendung: Den Katalog lesen, die eigene Organisation dagegen bewerten, Maßnahmen priorisieren und umsetzen. Das ist der bestimmungsgemäße Gebrauch und unkritisch; genau dafür stellt CIS das Werk bereit.

Ebene zwei, eigene Inhalte auf Basis der Struktur: Eigenständig formulierte Richtlinien, Schulungen oder Fachtexte, die sich am Konzept orientieren (priorisierte Maßnahmenfelder, Implementation-Group-Logik), ohne Katalogtexte zu reproduzieren, mit Quellenangabe. Ideen und Fakten sind urheberrechtlich nicht geschützt; die konkrete Textgestalt des Katalogs ist es. Wer eigenständig formuliert und nicht als "Wiedergabe der CIS Controls" auftritt, bewegt sich auf dieser sicheren Ebene. Genau dieser Posture folgt auch unser eigener Fachcontent.

Ebene drei, Reproduktion und Ableitung: Wörtliche Übernahme von Control- oder Safeguard-Texten, übersetzte oder umformulierte Fassungen des Katalogs, Einbettung als Prüfkatalog in kommerzielle Produkte oder Beratungsleistungen. Diese Ebene kollidiert mit NC und ND und erfordert eine ausdrückliche Vereinbarung mit CIS (etwa über deren Lizenz- und Mitgliedschaftsprogramme) oder den Verzicht.

Zur Abgrenzung lohnt der Blick auf das Lizenzgefälle im Framework-Umfeld: NIST-Publikationen sind als US-Regierungswerke frei nutzbar, BSI-Werke mit Quellenangabe nutzbar, ISO-Normen kostenpflichtig und streng geschützt. Die CIS Controls liegen näher an der ISO-Posture als an der NIST-Posture, trotz kostenlosen Zugangs.

Umsetzungsperspektive

Praktisch lässt sich die Lizenz-Compliance mit wenigen Regeln absichern.

Erstens eine Hausregel definieren: Der Katalog wird intern angewendet; in alle nach außen gehenden oder kommerziellen Artefakte (Richtlinien, Angebote, Berichte, Tools) fließen nur eigenständig formulierte Inhalte mit Quellenangabe, keine Katalogtexte. Die Regel gehört dorthin, wo Vorlagen entstehen: Richtlinienmanagement, Beratungs-Templates, Produktentwicklung.

Zweitens Verweise statt Kopien: Interne Dokumente referenzieren den Katalog ("Details siehe CIS Controls v8.1, Bezug über cisecurity.org") statt ihn auszugsweise einzubetten. Das hält zugleich die Versionspflege sauber, weil es keine veralteten Kopien gibt.

Drittens den kommerziellen Fall aktiv klären: Wer die Controls in Produkte oder entgeltliche Leistungen einbetten will, prüft die aktuellen Lizenz- und Nutzungsbedingungen des CIS und holt erforderliche Genehmigungen ein, bevor entwickelt wird. Die Bedingungen können sich ändern; maßgeblich ist der jeweils aktuelle Stand beim CIS, nicht eine frühere Interpretation.

Viertens die Mitarbeitenden sensibilisieren: Die Gleichung "kostenlos = frei" ist der häufigste Fehler; ein kurzer Hinweis in Onboarding und Vorlagen-Governance genügt meist, um ihn zu verhindern.

Typische Fehler

1. Katalogtexte werden in kommerzielle Templates, Tools oder Kundendokumente kopiert, weil der Download kostenlos war.
2. Umformulierte oder übersetzte Katalogfassungen werden als "eigene" Inhalte behandelt, obwohl sie als Bearbeitung des Werks auftreten.
3. Die Quellenangabe (BY-Element) wird auch dort vergessen, wo zulässig referenziert wird.
4. Veraltete Katalogkopien kursieren in internen Ablagen, weil kopiert statt referenziert wurde.
5. Die Lizenzfrage wird erst nach der Produktentwicklung geprüft; Rückbau ist teurer als vorherige Klärung.
6. Aus Vorsicht wird der Katalog gar nicht genutzt; die interne Anwendung ist aber gerade der bestimmungsgemäße, unkritische Gebrauch.

Risiken und Trade-offs

Das rechtliche Risiko bei Lizenzverstößen reicht von Abmahnung und Unterlassung bis zu Reputationsschäden, gerade für Sicherheitsdienstleister, deren Geschäft auf Vertrauenswürdigkeit beruht. Das Risiko ist vermeidbar, weil die zulässige Nutzung (intern anwenden, Struktur nutzen, referenzieren) für fast alle Zwecke ausreicht.

Der Trade-off der sauberen Linie ist Komfortverlust: Verweise statt eingebetteter Texte bedeuten, dass Leser das Original heranziehen müssen, und eigenständige Formulierungen kosten Redaktionsaufwand. Dieser Aufwand ist zugleich eine Qualitätschance: Eigenformulierte Inhalte lassen sich an Zielgruppe und Kontext anpassen, was kopierte Katalogtexte gerade nicht dürfen (ND) und oft auch fachlich nicht leisten.

Offen bleibt in Randfällen die juristische Grauzone, wo Ideenübernahme endet und Werkübernahme beginnt. Für wesentliche kommerzielle Vorhaben ist deshalb eine juristische Einzelfallprüfung und im Zweifel die direkte Klärung mit CIS der belastbare Weg; dieser Artikel ist keine Rechtsberatung.

Entscheidungspunkte

• Nutzen wir die CIS Controls nur intern oder fließen Inhalte in kommerzielle Leistungen, Produkte oder Kundendokumente?
• Haben wir eine Hausregel, die Kopien verbietet und eigenständige Formulierung plus Quellenangabe vorschreibt?
• Wer prüft Vorlagen, Tools und Angebote auf eingebettete Katalogtexte, bevor sie ausgerollt werden?
• Brauchen wir für ein konkretes Vorhaben eine Vereinbarung mit CIS, und wer klärt sie vor Entwicklungsbeginn?
• Wie stellen wir sicher, dass immer die aktuelle Fassung der CIS-Nutzungsbedingungen herangezogen wird?

Praktische Empfehlungen

1. Behandeln Sie "kostenlos erhältlich" und "frei verwendbar" als zwei verschiedene Dinge; die CIS Controls sind Ersteres.
2. Verankern Sie die Hausregel: intern anwenden ja, in externe und kommerzielle Artefakte nur Eigenformulierungen mit Quellenangabe.
3. Referenzieren Sie den Katalog, statt ihn zu kopieren; das löst zugleich das Versionspflege-Problem.
4. Klären Sie kommerzielle Einbettungen vor der Entwicklung direkt anhand der aktuellen CIS-Bedingungen, im Zweifel mit CIS selbst.
5. Prüfen Sie bestehende Vorlagen und Tools einmalig auf eingebettete Katalogtexte und bereinigen Sie Funde.
6. Holen Sie bei wesentlichen kommerziellen Vorhaben juristischen Rat ein; verlassen Sie sich nicht auf Sekundärinterpretationen.

Relevante Normreferenzen

• CIS Critical Security Controls v8.1 (Center for Internet Security, 2024): Originalkatalog, Bezug nach Registrierung über cisecurity.org; Lizenz CC BY-NC-ND 4.0 (Referenz).
• Creative Commons BY-NC-ND 4.0: Lizenzrahmen; Namensnennung erforderlich, keine kommerzielle Nutzung, keine Weiterverbreitung von Bearbeitungen (unveränderte, nichtkommerzielle Weitergabe mit Namensnennung bleibt zulässig) (Referenz).
• Zum Vergleich der Lizenz-Postures: NIST-Publikationen (frei nutzbar als US-Regierungswerk), BSI-Werke (nutzbar mit Quellenangabe), ISO-Normen (kostenpflichtig, streng geschützt) (Referenzen).