Zertifizierung zu Cyber Essentials und Cyber Essentials Plus: Verfahren, Prüfung, Gültigkeit

Problem in der Praxis

Viele Organisationen unterschätzen Cyber Essentials, weil es eine Selbstbewertung ist, und überschätzen Cyber Essentials Plus, weil es eine Prüfung ist. Bei Cyber Essentials ist die Hürde nicht die Prüftiefe, sondern die Ehrlichkeit der Antworten und die Abzeichnung durch die Leitung: Wer falsch antwortet, hat ein Zertifikat, das bei einer Plus-Prüfung oder einem Vorfall nicht hält. Bei Cyber Essentials Plus wiederum liegt ein Prüfungsrisiko in der Stichprobe: Ein einziges ungepatchtes oder falsch konfiguriertes Gerät in der Auswahl kann einen Teiltest und damit den Testfall fallen lassen.

CISO-Einordnung

Der Ablauf von Cyber Essentials (nach NCSC und IASME):

• Vorbereitung: Der Fragenkatalog ist nach Angaben des NCSC und von IASME kostenfrei vorab einsehbar; IASME empfiehlt, die Antworten vor der Anmeldung vorzubereiten.
• Wege: selbst geführt über IASME oder unterstützt durch eine von IASME lizenzierte Zertifizierungsstelle.
• Bewertung: Antworten werden von einem Vorstandsmitglied oder Gleichwertigen abgezeichnet und von einem Assessor bewertet; nach IASME muss die Organisation nahezu alle Fragen erfüllen, nicht unterstützte Software im Scope führt zum Nichtbestehen.
• Fristen nach IASME: sechs Monate ab Antrag für die Einreichung, Zertifikat zwölf Monate gültig.

Der Ablauf von Cyber Essentials Plus (nach der Test Specification v3.2 und IASME):

• Voraussetzung: ein gültiges Cyber-Essentials-Zertifikat, dessen Scope dem Plus-Scope entspricht; liegt die Cyber-Essentials-Zertifizierung nach IASME weniger als drei Monate zurück, ist der Fragebogen nicht zu wiederholen.
• Vor dem Test: schriftliche Erlaubnis, Scope-Abgleich mit dem Zertifikat, technische Verifikation von Scope und Sub-Set-Trennung, Stichprobenplan; die Belege bewahrt die Zertifizierungsstelle mindestens für die Laufzeit des Zertifikats auf.
• Testfälle: externe Schwachstellenbewertung, authentifizierte Scans zum Patchstand, Malwareschutz (Zustellung per E-Mail und Browser, manuelle Prüfung oder Allow-Listing), MFA-Konfiguration, Kontentrennung.
• Ergebnis: Ein Testfall ist nur bestanden, wenn alle seine Teiltests bestanden sind, die Gesamtbewertung nur, wenn alle Testfälle bestanden sind, soweit die Spezifikation keine Ausnahme nennt.
• Prüfgegenstand und Stichprobe nach IASME: ein repräsentativer Satz von Endgeräten, alle Internet-Gateways und alle Server mit Diensten für nicht authentisierte Internetnutzer; aus diesen Systemen testet der Assessor eine Zufallsstichprobe, typischerweise etwa zehn Prozent, und entscheidet dann über weitere Tests.

Die Fassung der Anforderungen: Für Anträge ab dem 27.04.2026 gilt v3.3; vor diesem Tag begonnene Anträge dürfen v3.2 folgen. Die Plus Test Specification steht auf v3.2.

Umsetzungsperspektive

• Fragenkatalog vorab durcharbeiten und Lücken schließen, bevor der Antrag gestellt wird.
• Abzeichnung organisieren: Die Leitung muss wissen, was sie bestätigt.
• Für Plus Stichprobenreife herstellen: jedes Gerät im Scope muss bestehen können, nicht nur der Durchschnitt.
• Zeitplan: sechs Monate Einreichungsfenster nach IASME, für Plus den engen Anschluss an die Cyber-Essentials-Zertifizierung nutzen.
• Erneuerung jährlich und mit Fassungswechsel der Anforderungen planen.

Typische Fehler

1. Antworten werden geschönt, und das Zertifikat hält bei Plus oder im Vorfall nicht.
2. Die Leitung zeichnet ab, ohne den Inhalt zu kennen.
3. Für Plus wird nur auf Durchschnittswerte geachtet, und ein einzelnes Stichprobengerät fällt durch.
4. Nicht unterstützte Software bleibt im Scope und führt zum Nichtbestehen.
5. Die Erneuerung wird zu spät begonnen, und der vertraglich verlangte Nachweis entfällt.

Risiken und Trade-offs

Cyber Essentials ist günstig und schnell, bietet aber nur ein grundlegendes Sicherungsniveau; Cyber Essentials Plus kostet mehr Vorbereitung und Prüfung, belegt aber die Wirksamkeit der Kontrollen. Ein unterstützter Weg über eine Zertifizierungsstelle kostet mehr als der selbst geführte, senkt aber das Risiko von Fehlinterpretationen. Wer Plus anstrebt, sollte beide Stufen in kurzem Abstand planen, um den Fragebogen nicht zu wiederholen.

Entscheidungspunkte

• Genügt Cyber Essentials, oder verlangt der Auftraggeber Plus?
• Selbst geführt oder mit Zertifizierungsstelle?
• Ist die Leitung auf die Abzeichnung vorbereitet?
• Ist jedes Gerät der möglichen Stichprobe prüfungsreif?
• Wer plant Erneuerung und Fassungswechsel?

Praktische Empfehlungen

1. Arbeiten Sie den Fragenkatalog vor dem Antrag vollständig durch.
2. Lassen Sie die Leitung informiert abzeichnen.
3. Machen Sie für Plus jedes Gerät im Scope prüfungsreif.
4. Planen Sie Cyber Essentials und Plus in engem zeitlichem Abstand.
5. Verankern Sie die jährliche Erneuerung im Kalender und im Budget.

Relevante Normreferenzen

• NCSC, Cyber Essentials Plus Test Specification v3.2 (28.04.2025); NCSC Cyber-Essentials-Übersichts- und Ressourcenseiten; Open Government Licence v3.0.
• NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3.
• IASME (Delivery Partner): Verfahrensangaben zu Fristen, Gültigkeit und Stichproben.