Cyber Essentials: das britische Basiszertifikat, seine zwei Stufen und warum es auch deutsche Unternehmen betrifft

Problem in der Praxis

Deutsche Unternehmen begegnen Cyber Essentials meist überraschend: in einer britischen Ausschreibung, im Lieferantenfragebogen eines Kunden oder in der Konzernvorgabe einer UK-Tochter. Dann entstehen zwei Fehleinschätzungen. Die eine hält das Schema für eine Formalie, die mit einem ISO-27001-Zertifikat erledigt sei; Cyber Essentials prüft aber konkrete technische Schwellen, etwa die Installation kritischer Updates binnen 14 Tagen, und lässt sich nicht durch ein Managementsystem ersetzen. Die andere hält es für ein umfassendes Sicherheitszertifikat; das ist es nach eigener Darstellung der britischen Regierung nicht, es bietet eine Basisabsicherung und schützt nicht gegen fortgeschrittene, gezielte Angriffe.

CISO-Einordnung

Die Bausteine des Schemas:

• Träger: das NCSC legt die technischen Anforderungen fest. Bewertung und Zertifizierung laufen über einen Delivery Partner (derzeit IASME) und die von ihm zugelassenen Zertifizierungsstellen (Certification Bodies).
• Grundlage: "Cyber Essentials: Requirements for IT Infrastructure" in der Fassung v3.3, wirksam ab dem 27.04.2026. Neu gegenüber v3.2 sind unter anderem eine Definition von Cloud-Diensten, die ausdrückliche Aussage, dass Cloud-Dienste nicht aus dem Scope ausgeschlossen werden können, Passwordless-Authentifizierung einschließlich FIDO2 und ein Verweis auf den Software Security Code of Practice bei der Softwareentwicklung. Datensicherung ist keine technische Anforderung, wird aber dringend empfohlen.
• Cyber Essentials: Die Organisation beantwortet einen Fragenkatalog, eine unabhängige Zertifizierungsstelle verifiziert die Antworten. Die britische Regierung beschreibt das als grundlegendes Sicherungsniveau.
• Cyber Essentials Plus: dieselben Kontrollen, zusätzlich eine technische Prüfung mit externen und internen Schwachstellentests und Tests an einer Stichprobe von Geräten (dazu ce-004).
• Gültigkeit: Nach Angaben des Delivery Partner IASME laufen Zertifikate nach 12 Monaten ab; Cyber Essentials ist jährlich zu erneuern.

Was Cyber Essentials nicht ist:

• kein Managementsystem: es gibt keine Risikoanalyse, keine Leitlinie, kein Audit des ISMS (anders als ISO/IEC 27001, Track core-iso27001);
• kein Nachweis nach EU-Recht: es setzt weder NIS-2 um noch belegt es deren Erfüllung (Track nis2);
• kein Produktzertifikat: nach PPN 014 sichert es keine bestimmten Produkte oder Dienste ab.

Für einen deutschen CISO ist Cyber Essentials daher ein Werkzeug für ein bestimmtes Marktsegment: UK-Behörden und Unternehmen, die es von ihren Lieferanten verlangen. Die fünf Kontrollen sind zugleich eine brauchbare technische Basis, an der sich eigene Mindestanforderungen messen lassen; ihr Umfang ist aber bewusst eng.

Umsetzungsperspektive

• Bedarf klären: Gibt es UK-Ausschreibungen, Kundenanforderungen oder eine UK-Gesellschaft, die Cyber Essentials verlangt?
• Stufe wählen: Cyber Essentials genügt, wo eine verifizierte Selbstbewertung verlangt ist; Cyber Essentials Plus, wo der Auftraggeber eine technische Prüfung fordert.
• Scope früh festlegen: ganze Organisation oder abgegrenztes Teilnetz (dazu ce-002).
• Lückenanalyse gegen v3.3: besonders Update-Fristen, MFA für Cloud-Dienste, Trennung administrativer Konten und nicht mehr unterstützte Software.
• Erneuerung einplanen: jährlich, rechtzeitig vor Ablauf.

Typische Fehler

1. Ein ISO-27001-Zertifikat wird als Ersatz angeboten, obwohl Cyber Essentials konkrete technische Schwellen prüft.
2. Cyber Essentials wird als umfassender Schutz verstanden, obwohl es eine Basisabsicherung gegen gängige Angriffe ist.
3. Es wird gegen v3.2 vorbereitet, obwohl für neue Anträge seit dem 27.04.2026 v3.3 gilt.
4. Cloud-Dienste werden aus dem Scope herausgenommen, was v3.3 ausdrücklich ausschließt.
5. Die jährliche Erneuerung wird vergessen, und ein laufender Vertrag verlangt den Nachweis weiter.

Risiken und Trade-offs

Eine Zertifizierung nur für den UK-Auftrag spart Aufwand, kann aber einen engen Scope erzwingen, der die tatsächliche Sicherheitslage schlechter abbildet; ein Scope über die ganze Organisation bietet laut NCSC den besten Schutz und das meiste Kundenvertrauen, kostet aber mehr Umsetzung. Cyber Essentials Plus schafft belastbaren Nachweis, setzt aber die technische Umsetzung tatsächlich voraus, denn Stichprobentests decken Lücken auf.

Entscheidungspunkte

• Verlangen Kunden oder Ausschreibungen Cyber Essentials oder Cyber Essentials Plus?
• Welcher Scope wird zertifiziert, und warum?
• Welche Lücken bestehen gegen v3.3?
• Wer verantwortet Antrag, Erneuerung und laufende Einhaltung?
• Wie wird Cyber Essentials gegenüber anderen Nachweisen (ISO 27001, Kundenaudits) positioniert?

Praktische Empfehlungen

1. Prüfen Sie den Bedarf aus UK-Kunden und -Ausschreibungen, bevor Sie zertifizieren.
2. Bereiten Sie gegen v3.3 vor, nicht gegen ältere Fassungen.
3. Legen Sie den Scope bewusst fest und schließen Sie Cloud-Dienste und Endgeräte ein.
4. Planen Sie die jährliche Erneuerung fest ein.
5. Stellen Sie Cyber Essentials als technische Basis dar, nicht als Ersatz für ein ISMS.

Relevante Normreferenzen

• NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3 (wirksam ab 27.04.2026) und v3.2 (seit 28.04.2025); Open Government Licence v3.0.
• NCSC, Cyber Essentials Plus Test Specification v3.2 (28.04.2025).
• Cabinet Office, Procurement Policy Note 014 (17.02.2025).
• IASME (Delivery Partner): Verfahrensangaben zu Gültigkeit und Fristen.