Von CSF zu Controls: SP 800-53 als Maßnahmenkatalog

Problem in der Praxis

In vielen Organisationen existieren CSF und Control-Kataloge nebeneinander, aber nicht miteinander. Das Management formuliert auf CSF-Ebene Ziele wie "wir wollen Vorfälle schneller erkennen", die Technik betreibt parallel hunderte Einzelmaßnahmen. Zwischen beiden fehlt die Brücke: Welche Controls zahlen auf welches Outcome ein, und woran erkennen wir Zielerreichung?

Typisch ist auch das Gegenteil: Ein Team übernimmt SP 800-53 als Checkliste und versucht, möglichst viele der insgesamt 1196 Controls und Enhancements (324 Basis-Controls plus 872 Enhancements) abzuhaken. Das erzeugt Aufwand, ohne dass klar wird, welche Maßnahmen für das tatsächliche Risiko wesentlich sind. SP 800-53 ist ein Katalog, kein Pflichtprogramm; ohne Auswahllogik vom Outcome zum Control entstehen Maßnahmenpläne, die entweder zu breit oder zu zufällig sind. Erst eine Auswahl entlang von Schutzbedarf und Risiko macht den Katalog steuerbar.

CISO-Einordnung

Die zwei Werke sind in ihrer Rolle klar zu trennen.

CSF 2.0 (NIST.CSWP.29, 26.02.2024) gliedert sich in 6 Functions, 22 Categories und 106 Subcategories. Die sechs Funktionen sind Govern (GV), Identify (ID), Protect (PR), Detect (DE), Respond (RS) und Recover (RC). Govern ist in Version 2.0 neu und verklammert die operativen Funktionen mit Risikostrategie, Rollen, Policy, Oversight und Lieferkettenrisiko. Jede Subcategory ist ein angestrebtes Ergebnis, kein Umsetzungsschritt. CSF ist outcome- und governance-orientiert und im ISO-Sinn nicht zertifizierbar.

SP 800-53 Rev. 5 ist der Control-Katalog mit 20 Familien. Jede Familie bündelt Controls eines Themas, jedes Control beschreibt eine konkrete Anforderung, oft ergänzt um Enhancements für höheren Schutzbedarf. Die 20 Familien:

• AC Access Control, AT Awareness and Training, AU Audit and Accountability
• CA Assessment, Authorization, and Monitoring, CM Configuration Management, CP Contingency Planning
• IA Identification and Authentication, IR Incident Response, MA Maintenance, MP Media Protection
• PE Physical and Environmental Protection, PL Planning, PM Program Management, PS Personnel Security
• PT PII Processing and Transparency, RA Risk Assessment, SA System and Services Acquisition
• SC System and Communications Protection, SI System and Information Integrity, SR Supply Chain Risk Management

Die Funktions-zu-Control-Logik: Eine CSF-Subcategory (Outcome) wird durch ein oder mehrere 800-53-Controls realisiert, und ein Control kann auf mehrere Subcategories einzahlen. Beispiel: Das Detect-Outcome rund um Anomalieerkennung stützt sich auf Familien wie AU und SI, das Protect-Outcome rund um Zugriff auf AC und IA. NIST veröffentlicht offizielle CSF-zu-800-53-Mappings als Ausgangspunkt, die organisationsspezifisch geschärft werden müssen.

SP 800-53 steht nicht allein: Baselines (Low/Moderate/High) liefert SP 800-53B, Bewertungsverfahren SP 800-53A, den Auswahl- und Autorisierungsprozess das Risk Management Framework (SP 800-37), die Risikobewertung SP 800-30, das laufende Monitoring SP 800-137 (ISCM). CSF gibt die Richtung, dieses Methoden-Set das Verfahren.

Umsetzungsperspektive

Ein tragfähiger Weg von Outcome zu Control verläuft in nachvollziehbaren Schritten, nicht über das Abarbeiten des gesamten Katalogs:

1. Outcome festlegen: Welche CSF-Funktionen und -Subcategories sind prioritär? Govern und Identify schaffen die Grundlage, bevor Protect/Detect/Respond/Recover wirksam werden.
2. Schutzbedarf bestimmen: Daraus folgt eine Low-, Moderate- oder High-Orientierung (Logik aus SP 800-53B), auch außerhalb des US-Behördenkontexts.
3. Controls auswählen: Vom Outcome über das Mapping zu relevanten Familien und Controls; aus dem Katalog wird eine begründete, mit Owner dokumentierte Auswahl.
4. Implementieren und betreiben: Maßnahmen mit benannten Verantwortlichen und definierter Wirksamkeit umsetzen.
5. Bewerten und überwachen: Mit SP 800-53A prüfen, ob Controls vorhanden und wirksam sind, und statt Momentaufnahmen kontinuierliches Monitoring etablieren (Logik aus SP 800-137).

Dies muss als wiederholbarer Prozess verankert werden, nicht als Einmalprojekt: Das Management diskutiert auf Funktionsebene, die Umsetzung erfolgt auf Control-Ebene, das Mapping macht beides konsistent.

Typische Fehler

1. CSF und SP 800-53 werden als konkurrierende Frameworks behandelt, statt als Outcome- und Control-Ebene desselben Vorgehens.
2. Der gesamte 800-53-Katalog wird als Pflichtliste interpretiert, ohne Auswahl entlang von Schutzbedarf und Risiko.
3. Baselines (800-53B) werden ignoriert, sodass die Maßnahmentiefe nicht zum Schutzbedarf passt.
4. Mappings werden ungeprüft übernommen, ohne organisationsspezifische Anpassung und ohne benannte Owner.
5. Bewertung (800-53A) und Monitoring (800-137) fehlen, sodass Controls nicht auf Wirksamkeit geprüft werden.
6. Govern wird übersprungen, operative Controls werden ohne Risikostrategie und Rollenklarheit eingeführt.

Risiken und Trade-offs

Die Granularität von SP 800-53 ist Stärke und Falle zugleich. Ein vollständiger Katalog erlaubt präzise Steuerung, verleitet aber zu Vollständigkeitsdenken und Aufwand ohne Risikobezug. Nur CSF auf Outcome-Ebene zu nutzen ist kommunikativ angenehm, bleibt aber ohne Controls unverbindlich und schwer nachweisbar.

Ein weiterer Trade-off liegt in der Herkunft: SP 800-53 stammt aus dem US-Behördenkontext und ist sehr detailliert. Außerhalb dieses Kontexts ist die Auswahllogik nützlich, eine 1:1-Übernahme aller Controls aber selten verhältnismäßig. Und ein einmal erstelltes Mapping veraltet, wenn es nicht gepflegt wird.

Entscheidungspunkte

• Welche CSF-Funktionen und -Subcategories sind in den nächsten 12 Monaten prioritär?
• Welcher Schutzbedarf gilt für welche Systeme, und welche Baseline-Orientierung (Low/Moderate/High) folgt daraus?
• Nutzen wir die offiziellen NIST-Mappings als Ausgangspunkt, und wer verantwortet deren Anpassung?
• Welche 800-53-Familien sind für unser Risikoprofil wesentlich, und welche Controls wählen wir begründet ab?
• Wie sichern wir Bewertung (800-53A) und laufendes Monitoring (800-137), statt nur einmalig zu implementieren?

Praktische Empfehlungen

1. Trennen Sie in Kommunikation und Dokumentation klar zwischen Outcome (CSF) und Control (800-53) und halten Sie die Verbindung als explizites Mapping fest.
2. Starten Sie bei Govern und Identify: Ohne Risikostrategie, Rollen und Asset-Verständnis bleibt jede Control-Auswahl beliebig.
3. Behandeln Sie SP 800-53 als Auswahlkatalog und begründen Sie Aufnahme und Abwahl von Controls dokumentiert, abgestuft nach Schutzbedarf (Baseline-Logik aus 800-53B).
4. Verankern Sie Bewertung und Monitoring (800-53A, 800-137) fest im Regelbetrieb, nicht erst vor Prüfungen, und pflegen Sie das Mapping als lebendes Artefakt mit Ownern und Review.
5. Verweisen Sie für verbindliche Control-Texte und Mappings stets auf die NIST-Originalpublikationen, statt Kataloge intern zu rekonstruieren.

Relevante Normreferenzen

• NIST CSF 2.0 (NIST.CSWP.29, 26.02.2024): Outcome-Ebene, 6 Functions, 22 Categories, 106 Subcategories. Public Domain.
• NIST SP 800-53 Rev. 5: Control-Katalog, 20 Familien (324 Basis-Controls, 872 Enhancements). Public Domain.
• NIST SP 800-53B: Control Baselines (Low/Moderate/High, Privacy). NIST SP 800-53A: Assessment-Verfahren.
• NIST SP 800-37: Risk Management Framework. NIST SP 800-30: Risikobewertung. NIST SP 800-137: Continuous Monitoring (ISCM).
• ISO/IEC 27001/27002: ergänzende Mapping-Betrachtung, konkrete Editionen vor Nutzung prüfen.