Organizational Profiles und Tiers: Ist- und Soll-Standortbestimmung mit NIST CSF 2.0

Problem in der Praxis

Viele Organisationen starten Sicherheitsinitiativen ohne belastbare Standortbestimmung. Maßnahmen werden aus Audit-Findings, Vorfällen oder Anbieterempfehlungen abgeleitet, nicht aus einem konsistenten Zielbild, und es entsteht eine Liste von Aktivitäten ohne erkennbare Prioritätenlogik.

Wo CSF-Profile genutzt werden, geraten sie häufig zu einem einmaligen Self-Assessment kurz vor einem Audit: Das Current Profile wird optimistisch ausgefüllt, ein Target Profile fehlt oder bleibt die pauschale Forderung nach "Tier 4 überall", und die Tiers werden mit Reifegradmodellen verwechselt. So entsteht ein Dokument, das niemand für Entscheidungen nutzt, und der CISO verliert sein wichtigstes Argument für Ressourcen: einen priorisierten Soll-Ist-Vergleich.

CISO-Einordnung

Profile und Tiers adressieren unterschiedliche Fragen und dürfen nicht vermischt werden. Das Organizational Profile beschreibt Outcomes: Welche der Ergebnisse des CSF Core (6 Functions, 22 Categories, 106 Subcategories) erreicht die Organisation heute (Current Profile), und welche sollen künftig in welcher Ausprägung erreicht werden (Target Profile, unter Berücksichtigung kommender Anforderungen, neuer Technologie und Bedrohungslage)? NIST sieht zusätzlich Community Profiles vor, also branchen- oder verbundbezogene Basisprofile als Ausgangspunkt.

Die Tiers (1 Partial, 2 Risk Informed, 3 Repeatable, 4 Adaptive) beschreiben demgegenüber die Rigorosität der Risikosteuerung in den Dimensionen Cybersecurity Risk Governance und Cybersecurity Risk Management: von ad-hoc/reaktiv ohne organisationsweite Strategie (Tier 1) über gebilligte, aber nicht durchgängig verankerte Praktiken (Tier 2) und formalisierte, als Policy etablierte, wiederholbare Praktiken (Tier 3) bis zur adaptiven Organisation, die aus Vorfällen und Indikatoren lernt (Tier 4).

Wichtig für die Managementkommunikation: Tiers sind ausdrücklich keine Reifegradstufen und kein Selbstzweck. NIST empfiehlt einen höheren Tier nur, wenn er die Risikolage kosteneffektiv verbessert; nicht jede Organisation muss Tier 4 anstreben.

Umsetzungsperspektive

NIST CSF 2.0 skizziert einen wiederholbaren Ablauf, den ein CISO als Steuerungszyklus etablieren sollte:

1. Scope festlegen. Sinnvoll sind mehrere Profile nach Geschäftseinheit, Standort, Systemklasse oder Datenkritikalität statt eines unscharfen Gesamtprofils.
2. Informationen sammeln. Policies, Risikoregister, Audit-Ergebnisse, Anforderungen aus Verträgen und Regulierung sowie Bedrohungsinformationen.
3. Current und Target Profile erstellen. Ist-Zustand und priorisierten Soll-Zustand bestimmen; das Target Profile sollte vom Management getragen sein, nicht vom Security-Team allein.
4. Gaps analysieren und Aktionsplan ableiten. Die Lücken werden bewertet, priorisiert und in einen Maßnahmen- und Meilensteinplan überführt.
5. Umsetzen und Profile aktualisieren. Fortschritt messen, Current Profile fortschreiben, Target Profile bei veränderter Lage anpassen.

Die Brücke zur Umsetzung schlägt der CISO über Controls: Wo CSF die Outcomes beschreibt, liefert NIST SP 800-53 Rev. 5 mit 20 Control-Familien den Maßnahmenkatalog zum Schließen der Gaps, SP 800-53B mit den Baselines Low/Moderate/High vorpriorisierte Ausgangsmengen. Risikoseitig liefern das RMF (SP 800-37) und SP 800-30 den methodischen Rahmen, die laufende Wirksamkeit adressiert SP 800-137. Das Profile bleibt die Steuerungsebene, die diese Bausteine zusammenhält.

Typische Fehler

1. Tiers werden als Reifegradnoten interpretiert und pauschal Tier 4 als Ziel gesetzt, ohne Kosten-Nutzen-Bezug.
2. Das Current Profile wird optimistisch geschönt, wodurch die Gap-Analyse wertlos wird.
3. Es entsteht ein Target Profile ohne Management-Beteiligung, das später keine Budgetdeckung findet.
4. Ein einziges Gesamtprofil verdeckt, dass Kronjuwelen und Randsysteme unterschiedliche Zielzustände brauchen.
5. Die Gap-Analyse bleibt auf Function-Ebene stehen, liefert keine owner-gebundenen Maßnahmen und wird nach der Ersterstellung nie fortgeschrieben.

Risiken und Trade-offs

Detailtiefe gegen Steuerbarkeit: Ein Profile über alle 106 Subcategories ist präzise, aber aufwändig; eine Bewertung nur auf Function- oder Category-Ebene ist schnell, verliert aber Schärfe für die Priorisierung. Für den Einstieg ist die Category-Ebene oft tragfähig, kritische Bereiche werden vertieft.

Ehrgeiz gegen Realismus: Ein hohes Target Profile und ein hoher Ziel-Tier signalisieren Ambition, binden aber Budget und können Prozesse verlangsamen; ein zu niedriges Ziel spart Aufwand, lässt aber Risiken offen. Der Zielzustand muss an Risikoappetit und Kritikalität ausgerichtet sein.

Self-Assessment gegen Objektivität: Selbstbewertete Profile sind günstig, neigen aber zur Selbsttäuschung; externe Validierung oder Evidenzpflicht je Bewertung erhöht die Belastbarkeit, kostet aber Zeit.

Entscheidungspunkte

• Für welche Scopes (Geschäftseinheiten, Systemklassen, Datenkritikalität) führen wir getrennte Profile?
• Auf welcher Granularität bewerten wir: Function, Category oder Subcategory?
• Welchen Ziel-Tier streben wir je Scope an, und ist diese Stufe kosteneffektiv begründet?
• Wer verantwortet das Target Profile fachlich und budgetseitig auf Managementebene?
• In welcher Taktung werden Profile und Gap-Analyse fortgeschrieben, und verlangen wir dabei Evidenz je Bewertung oder genügt ein Self-Assessment?

Praktische Empfehlungen

1. Trennen Sie sauber: Profile beschreiben Outcomes (Was wird erreicht?), Tiers beschreiben die Rigorosität der Risikosteuerung (Wie diszipliniert wird gesteuert?).
2. Starten Sie schlank auf Category-Ebene und vertiefen Sie nur kritische Bereiche auf Subcategory-Ebene, statt sofort alle 106 Subcategories zu bewerten.
3. Lassen Sie das Target Profile vom Management mitentscheiden, damit Zielzustand und Budget zusammengehören.
4. Leiten Sie aus jeder Gap einen owner-gebundenen Maßnahmeneintrag mit Meilenstein ab und führen Sie ihn in Roadmap und Risikoregister.
5. Begründen Sie Ziel-Tiers über Kosten-Nutzen, nicht über das Streben nach der höchsten Stufe, und betreiben Sie die Standortbestimmung als wiederkehrenden Zyklus mit fester Taktung statt als Audit-Vorbereitung.

Relevante Normreferenzen

Alle folgenden NIST-Publikationen sind Public Domain und mit Quellenangabe zitierbar.

• NIST Cybersecurity Framework 2.0 (NIST.CSWP.29, 26.02.2024): Organizational Profiles (Current/Target/Community) und die vier Tiers.
• NIST SP 800-53 Rev. 5: Control-Katalog (20 Familien) zur Umsetzung identifizierter Gaps.
• NIST SP 800-53B: Control Baselines (Low/Moderate/High) als vorpriorisierte Ausgangsmengen.
• NIST SP 800-37 (RMF) und SP 800-30 (Risikobewertung): methodischer Risikorahmen.
• NIST SP 800-137: Information Security Continuous Monitoring für die laufende Fortschreibung.