NIST vs. ISO 27001: wann welcher Rahmen, wie sie zusammenspielen

Problem in der Praxis

In der Praxis entsteht häufig ein vermeidbarer Konflikt. Ein Teil der Organisation arbeitet mit ISO/IEC 27001, weil Kunden oder die Konzernmutter ein Zertifikat verlangen. Ein anderer Teil, oft technisch geprägt oder mit US-Bezug, nutzt das NIST CSF oder orientiert sich an SP 800-53. Beide Welten pflegen eigene Begriffe, Kontrolllisten und Reportings.

Daraus folgen drei wiederkehrende Muster. Erstens werden Maßnahmen doppelt gepflegt und doppelt auditiert, weil niemand die Frameworks aufeinander abgebildet hat. Zweitens entsteht ein Zuständigkeitsstreit, ob "wir jetzt ISO oder NIST machen", obwohl die Frage falsch gestellt ist. Drittens wird das CSF wie ein Zertifizierungsstandard behandelt oder ISO 27001 als reine Technik-Checkliste missverstanden. Der wirtschaftliche Schaden ist real: redundante Arbeit, widersprüchliche Statusberichte und eine Geschäftsführung, die zwei Sicherheitsbilder nicht zusammenführen kann.

CISO-Einordnung

Der wesentliche Unterschied liegt im Zweck, nicht in der Qualität. ISO/IEC 27001 definiert Anforderungen an ein Managementsystem und ist gegen ein akkreditiertes Zertifikat prüfbar. Prüfgegenstand sind die Managementsystem-Klauseln (Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung) sowie die Behandlung der Controls aus Annex A, ausgestaltet über ISO/IEC 27002.

Das NIST CSF 2.0 (veröffentlicht als NIST.CSWP.29 am 26.02.2024) ist dagegen ein Outcome- und Governance-Rahmen. Sein Core gliedert sich in sechs Functions: Govern (GV), Identify (ID), Protect (PR), Detect (DE), Respond (RS) und Recover (RC), darunter 22 Categories und 106 Subcategories. Govern ist in Version 2.0 neu hinzugekommen und verklammert die operativen Functions strategisch. Genau hier liegt die Brücke zur ISO-Welt.

Grob abgebildet entspricht die CSF-Function Govern den ISO-Managementsystem-Klauseln rund um Kontext, Führung und Planung (sinngemäß die Klauseln 4 bis 6) sowie der Managementbewertung (sinngemäß 9.3). Strategischer Kontext, Risikostrategie, Rollen, Policy, Oversight und Lieferkettenrisiko sind in beiden Welten Führungsthemen, nur unterschiedlich verpackt. Die operativen Functions Identify, Protect, Detect, Respond und Recover korrespondieren eher mit Betrieb und Schutzmaßnahmen, also mit dem Bereich, den ISO über Annex A und 27002 adressiert.

Die dritte Ebene ist die Tiefe. SP 800-53 Rev. 5 ist der granulare Control-Katalog: 20 Control-Familien mit 324 Basis-Controls und 872 Control Enhancements, begleitet von SP 800-53B (Baselines Low, Moderate, High sowie Privacy) und SP 800-53A (Assessment-Verfahren). Er ist damit das deutlich detailliertere, ursprünglich auf den US-Behördenkontext zugeschnittene Tiefen-Pendant zu Annex A plus ISO/IEC 27002. Wichtig: Offizielle NIST-Mappings zwischen SP 800-53 und CSF existieren, sodass die Verbindung der Ebenen nicht selbst erfunden werden muss.

Umsetzungsperspektive

Eine tragfähige Architektur nutzt jedes Framework für das, wofür es gebaut ist. ISO/IEC 27001 liefert die zertifizierbare Hülle und damit den marktfähigen Nachweis. Das NIST CSF liefert über die sechs Functions die Steuerungs- und Kommunikationssprache, eignet sich gut für Reifegrad-Darstellungen und das Gespräch mit Geschäftsführung und Aufsicht. SP 800-53 liefert die Tiefe dort, wo Annex A bewusst knapp bleibt.

Praktisch heißt das: Ein Unternehmen kann sein ISMS nach ISO/IEC 27001 betreiben und zertifizieren und parallel die CSF-Functions als Ordnungsraster für Risiko-Reporting und Reifegradmessung verwenden. Wo eine Maßnahme mehr Detailtiefe braucht, etwa bei Zugriffskontrolle oder Lieferkette, dient SP 800-53 als Referenz für die Ausgestaltung. Ein gepflegtes Mapping verbindet die Ebenen, sodass eine Maßnahme einmal umgesetzt und mehrfach nachgewiesen wird.

Wer aus dem US-Umfeld kommt, sollte die methodischen NIST-Bausteine kennen: SP 800-37 (Risk Management Framework, RMF), SP 800-30 (Risikobewertung) und SP 800-137 (kontinuierliches Monitoring, ISCM). Sie lassen sich gut mit den ISO-Prozessen für Risikobehandlung und Wirksamkeitsmessung verzahnen.

Typische Fehler

1. Die Frage als "ISO oder NIST" zu stellen, obwohl Zertifizierungsbedarf und Steuerungsbedarf zwei verschiedene Ziele sind.
2. Das CSF wie einen Zertifizierungsstandard zu behandeln und ein "CSF-Zertifikat" zu erwarten, das es in dieser Form nicht gibt.
3. ISO/IEC 27001 auf Annex A zu reduzieren und die Managementsystem-Klauseln zu vernachlässigen, in denen die eigentliche Führungsverantwortung steckt.
4. SP 800-53 vollständig auf eine Nicht-Behörden-Organisation zu übertragen, statt risikobasiert eine passende Auswahl zu treffen.
5. Mappings einmalig in einer Tabelle anzulegen und danach nie zu pflegen, sodass Drift zwischen den Frameworks entsteht.
6. Zwei getrennte Statusberichte an die Geschäftsführung zu geben, die dasselbe Risiko unterschiedlich darstellen.

Risiken und Trade-offs

Die Kombination mehrerer Frameworks erhöht den Abstimmungsaufwand. Wer ISO, CSF und 800-53 gleichzeitig führt, braucht ein belastbares Mapping und klare Verantwortlichkeiten, sonst entsteht genau die Doppelpflege, die man vermeiden wollte. Der Trade-off lautet: mehr Aussagekraft und Anschlussfähigkeit gegen mehr Pflegeaufwand.

Ein Single-Framework-Ansatz ist schlanker, aber riskanter, wenn Markt- und Steuerungsanforderungen auseinanderfallen. Nur ISO erfüllt den Zertifizierungsbedarf, liefert aber weniger fertige Outcome-Sprache und Control-Tiefe; nur CSF oder nur 800-53 liefert Struktur und Tiefe, aber kein marktanerkanntes Zertifikat im ISO-Sinn. Hinzu kommt: SP 800-53 ist im Kern für US-Bundesbehörden konzipiert, eine unkritische Vollanwendung erzeugt Overhead. Eine risikobasierte Auswahl ist wirksamer, verlangt aber eigene Begründung und Dokumentation.

Entscheidungspunkte

• Brauchen wir ein marktanerkanntes Zertifikat, oder reicht ein belegbarer, intern geführter Sicherheitsstatus? Das entscheidet über die Rolle von ISO/IEC 27001.
• Haben wir relevanten US-Bezug, Behördengeschäft oder FedRAMP-Nähe? Das erhöht das Gewicht von NIST CSF, SP 800-53 und dem RMF.
• Welche Ebene fehlt uns aktuell: zertifizierbarer Nachweis, gemeinsame Outcome-Sprache oder Control-Tiefe?
• Wer besitzt das Mapping zwischen den Frameworks und hält es aktuell?
• Welche Berichtssprache wollen wir gegenüber Geschäftsführung und Aufsicht etablieren, und passt sie zu beiden Welten?

Praktische Empfehlungen

1. Trennen Sie sauber zwischen Zertifizierungsziel (ISO/IEC 27001) und Steuerungs- bzw. Tiefenziel (NIST CSF und SP 800-53), bevor Sie über Tools und Tabellen sprechen.
2. Nutzen Sie die sechs CSF-Functions als gemeinsames Ordnungsraster für Risiko-Reporting und Reifegrad, gerade in der Kommunikation mit der Leitung.
3. Verankern Sie die Brücke über Govern: Behandeln Sie strategischen Kontext, Rollen, Policy, Oversight und Lieferkettenrisiko als gemeinsame Führungsthemen, die sinngemäß sowohl die ISO-Klauseln 4 bis 6 als auch die Managementbewertung (9.3) bedienen.
4. Verwenden Sie SP 800-53 risikobasiert als Tiefen-Referenz für einzelne Annex-A-Themen, nicht als Pflichtkatalog in voller Breite.
5. Stützen Sie sich auf die offiziellen NIST-Mappings zwischen SP 800-53 und CSF und pflegen Sie das Mapping als lebendes Artefakt mit benanntem Owner.
6. Berichten Sie der Geschäftsführung ein einziges, konsolidiertes Sicherheitsbild statt zweier konkurrierender Statusberichte und verweisen Sie für verbindliche Anforderungen stets auf die Originalpublikation (ISO lizenzpflichtig, NIST Public Domain).

Relevante Normreferenzen

• ISO/IEC 27001: zertifizierbare Norm für ein Informationssicherheitsmanagementsystem (Managementsystem-Klauseln und Annex A); konkrete Edition vor Nutzung prüfen.
• ISO/IEC 27002: Leitfaden zur Ausgestaltung der Controls aus Annex A.
• NIST Cybersecurity Framework (CSF) 2.0 (NIST.CSWP.29, 26.02.2024): 6 Functions, 22 Categories, 106 Subcategories; Public Domain.
• NIST SP 800-53 Rev. 5: Control-Katalog mit 20 Familien (324 Basis-Controls, 872 Enhancements); Public Domain.
• NIST SP 800-53B (Baselines), SP 800-53A (Assessment), SP 800-37 (RMF), SP 800-30 (Risikobewertung), SP 800-137 (ISCM).