Das New Zealand Information Security Manual (NZISM): Herausgeber, Aufbau, Fassung 3.9, Rechtsnatur, Lizenz und Verbindlichkeitssprache

Problem in der Praxis

In Vertragsentwürfen und Ausschreibungen neuseeländischer Regierungsstellen steht oft nur "NZISM-konform" oder "nach NZISM". Wer das in Deutschland liest, behandelt es leicht wie ein Gesetz mit festem Pflichtenkatalog oder wie ein Zertifikat, das ein Unternehmen erwerben kann. Beides trifft das NZISM nicht. Es ist ein Handbuch für Regierungsstellen, das für jedes System eine Auswahl der zutreffenden Controls verlangt, Abweichungen über ein formales Verfahren zulässt und den Betrieb eines Systems an eine Akkreditierung knüpft.

Daraus entstehen drei typische Missverständnisse. Erstens wird die Fassung nicht festgehalten, obwohl das NZISM nach eigener Aussage regelmäßig aktualisiert wird und Regierungsstellen anhält, die jeweils neueste Fassung zu verwenden. Zweitens wird die Verbindlichkeitsstufe übersehen: Eine SHOULD-Control wird als harte Pflicht behandelt oder eine MUST-Control als bloße Empfehlung. Drittens wird nicht geklärt, welche Einstufungsstufe die Informationen haben, mit denen das Unternehmen arbeitet, obwohl davon abhängt, ob nur die Baseline oder zusätzliche Controls gelten.

CISO-Einordnung

Herausgeber und Autorität

Nach NZISM 1.2.8 veröffentlicht der GCISO das NZISM. Die Rolle des GCISO hat die Te Kawa Mataaho Public Service Commission 2018 geschaffen; im Juli 2022 hat der Public Service Commissioner den GCISO zum System Lead for Information Security ernannt, und der Director-General des GCSB hat die Rolle inne (NZISM 2.1.20 und 2.1.21). Das NZISM ist nach 2.1.24 ein zentraler Teil der standardsetzenden Rolle des GCISO und wird vom NCSC erarbeitet; 2.1.13 bezeichnet das NCSC als die Stelle, die das NZISM veröffentlicht. Das NCSC unterstützt die Cybersicherheitsmission des GCSB (2.1.6); seit dem 31.08.2023 ist CERT NZ in das NCSC überführt (2.1.9).

Die gesetzliche Anknüpfung beschreibt das NZISM in 1.2.4: Nach dem Intelligence and Security Act 2017 gehört es zu den Aufgaben des GCSB, öffentliche Stellen im In- und Ausland und vom zuständigen Minister autorisierte Stellen zur Sicherheit von Kommunikation und für die Regierung wichtigen Informationsstrukturen zu beraten und zu unterstützen. Das NZISM ist nach dieser Stelle ein Teil dieser Beratung und Unterstützung. Nach 1.2.2 gehört es zu einer Reihe von Vorgaben des GCSB zur Informationssicherheit und soll einen einheitlichen Ansatz über alle Regierungsstellen fördern.

Neben dem GCSB beschreibt Abschnitt 2.1 weitere Stellen, darunter den New Zealand Security Intelligence Service (NZSIS), der nach 2.1.43 die Protective Security Requirements (PSR, das Schutzsicherheitsrahmenwerk der Regierung) verwaltet und das Klassifizierungssystem pflegt, sowie den Government Chief Digital Officer (GCDO). Für Auslegungsfragen können sich Regierungsstellen nach 2.1.13 an das NCSC wenden.

Geltungsbereich und Zielgruppe in Grundzügen

Nach NZISM 1.1.2 ist das NZISM für neuseeländische Ministerien, Regierungsstellen und Organisationen der Regierung bestimmt; Crown entities, Kommunalverwaltung und Privatwirtschaft werden zur Nutzung ermutigt. Nach 1.2.3 gilt es für Informationen und Systeme, die von oder im Auftrag ("on behalf of") der in den Anhängen des Ombudsmen Act 1975 und des Official Information Act 1982 genannten Regierungsstellen oder von oder im Auftrag von Organisationen betrieben werden, die mit der Regierung eine formale Vereinbarung über den Zugang zu eingestuften Informationen geschlossen haben. Erfasst sein kann damit auch ein Dienstleister, der für eine solche Organisation tätig ist, ohne selbst Partei der Vereinbarung zu sein. Zielpublikum sind nach 1.1.9 vor allem Sicherheitsfachleute in einer Regierungsstelle oder im Auftrag einer Regierungsstelle, ausdrücklich einschließlich Dienstleistern (service providers). Was das für Dienstleister und Auftragnehmer bedeutet, behandelt nzism-002.

Rechtsnatur

NZISM 1.2.6 trägt den Kern: Das NZISM soll die Umsetzung von Regierungspolitik strukturieren und unterstützen, nach der Ministerien und Regierungsstellen Vertraulichkeit, Integrität und Privatsphäre ihrer Informationen schützen müssen. Diese übergeordneten Anforderungen sind für Ministerien und Regierungsstellen verpflichtend; die Befolgung des NZISM selbst ist dagegen nicht gesetzlich vorgeschrieben ("not required as a matter of law"). Die Controls könnten durch Gesetz oder durch Kabinettsanweisung für Ministerien und Regierungsstellen verbindlich gemacht werden.

Zwei weitere Stellen gehören dazu. Nach 1.2.7 hat das PSR-Rahmenwerk über die Kabinettsanweisung CAB MIN (14) 39/38 ein eigenes Mandat, und nach 1.1.12 verlangt die PSR-Vorgabe INFOSEC2 von den Regierungsstellen, das neuseeländische Klassifizierungssystem und das NZISM für Einstufung, Kennzeichnung und Handhabung von Informationen zu verwenden. Nach 1.2.8 und 1.2.9 bestätigt das GCISO-Mandat unter anderem die Befugnis des GCISO, Informationssicherheitsstandards für die mandatierten Stellen zu setzen; welche Stellen das sind, ergibt sich aus den PSR. Kabinettsanweisung, PSR und GCISO-Mandat liegen diesem Track nicht im Wortlaut vor; ob und wie weit sie die Controls für eine bestimmte Stelle verbindlich machen, beantwortet dieser Artikel deshalb nicht.

Zu sonstigem Recht sagt das NZISM in 1.2.13, Regierungsstellen sollen eigene Erkundigungen einholen; es nennt zwar Beispiele einschlägiger Gesetze (Tabelle 1.1.63), behandelt Gesetzgebung aber nicht umfassend. Nach 1.2.14 können alle Controls Grundlage interner und externer jährlicher Prüfprogramme, von Prüfungen des Controller and Auditor-General und von Assurance-Aktivitäten des GCDO sein.

Aufbau

Das NZISM gliedert sich in 24 Kapitel mit 124 Abschnitten. Thematisch lassen sie sich so zusammenfassen:

• Kapitel 1 und 2: Verständnis und Anwendung des NZISM, Geltung, Autorität und Befolgung, die beteiligten Regierungsstellen, Zusammenarbeit mit Nichtregierungsorganisationen und Outsourcing, Nutzung von Cloud-Diensten und die Vorbereitung auf Post-Quanten-Kryptografie.
• Kapitel 3 bis 7: Governance, also Rollen und Verantwortlichkeiten, Zertifizierung und Akkreditierung von Systemen, Sicherheitsdokumentation, Überwachung und Vorfälle (Einzelheiten in nzism-003 und nzism-004).
• Kapitel 8 bis 13: physische und personelle Sicherheit, Infrastruktur und Verkabelung, Funk-, Telefon- und sonstige Kommunikationsgeräte, Produktsicherheit und der Umgang mit Medien und Geräten bis zur Entsorgung.
• Kapitel 14 bis 21: technische Leitlinien zu Software, E-Mail, Authentisierung und Zugriff, Kryptografie, Netzen, Gateways, Unternehmenssystemen wie Virtualisierung und Cloud sowie Datenmanagement (nzism-006).
• Kapitel 22 und 23: verteiltes Arbeiten mit mobilen und fremden Geräten sowie Public Cloud Security (nzism-005).
• Kapitel 24: Abkürzungs- und Begriffsverzeichnis.

Die Abschnitte sind nach NZISM 1.1.10 einheitlich gegliedert: Objective (das angestrebte Ergebnis), Context (Umfang, Anwendbarkeit und Ausnahmen), References (externe Hilfsquellen) und Rationale & Controls. Die Rationale erläutert die Gründe, die Controls sind die eigentlichen Maßnahmen mit ihrer Verbindlichkeitsstufe; die Begründungstexte sollen nach 1.1.55 zusammen mit den Controls gelesen werden. Jede Control trägt eine Kennung (CID), einen Einstufungsbereich und eine Verbindlichkeitsstufe. In der ausgewerteten Fassung gelten 1.210 der 1.422 Controls für "All Classifications"; 206 betreffen nur Kombinationen aus CONFIDENTIAL, SECRET und TOP SECRET, die übrigen sechs andere Bereiche.

Das NZISM verlangt nicht, jede Control auf jedes System anzuwenden. Nach 1.1.41 bestimmt die Regierungsstelle bei der Entwicklung eines Systems dessen Umfang und die darauf anwendbaren Controls; nach 1.1.42 gilt das Abweichungsverfahren für Controls außerhalb dieses Umfangs nicht, wohl aber, wenn eine Control in den Umfang fällt und trotzdem nicht umgesetzt wird.

Verbindlichkeitssprache in Grundzügen

Die Sprache der Controls beruht nach NZISM 1.1.40 auf RFC 2119 der Internet Engineering Task Force. Daraus ergeben sich vier Stufen; gemessen an der Fassung 3.9 sind es 681 MUST-, 81 MUST-NOT-, 615 SHOULD- und 45 SHOULD-NOT-Controls.

• MUST und MUST NOT kennzeichnen nach 1.1.45 Controls, deren Anwendung oder Unterlassung für die wirksame Behandlung des Risikos wesentlich ist, es sei denn, die Control ist für das System nachweislich nicht relevant. Das sind die baseline controls (Grundschutz-Mindestmaßnahmen, im NZISM auch "systems hygiene" genannt). Nach 1.1.46 gehen sie den SHOULD-Controls vor.
• SHOULD und SHOULD NOT kennzeichnen nach 1.1.47 gute und empfohlene Praxis. Es kann triftige Gründe geben, sie nicht umzusetzen, etwa weil die Control in der Stelle nicht relevant ist, die betroffene Technik nicht existiert oder eine gleich starke Maßnahme an ihre Stelle tritt.

Auch die Nichtanwendung einer SHOULD-Control ist nicht folgenlos: Nach 1.1.7 muss sie auf der Bewertung des Restrisikos durch die Regierungsstelle beruhen, und nach 1.1.48 und 1.1.49 ist das Restrisiko von der Accreditation Authority (der Stelle, die den Betrieb eines Systems formal freigibt und Risiken annimmt) anzuerkennen und die Entscheidung prüfbar zu dokumentieren; nach der Tabelle in 1.1.25 bestätigt die Accreditation Authority förmlich, dass das Restrisiko im Risikoappetit der Stelle liegt. Für Abweichungen von Baseline-Controls verlangt das NZISM eine formale Dispensation (Befreiung) durch die Accreditation Authority, die sie nach der Tabelle in 1.1.25 nur gewähren kann, wenn das Restrisiko im Risikoappetit der Regierungsstelle liegt. Es unterscheidet dabei den waiver, der nur kurzfristig gilt, voraussetzt, dass die volle Erfüllung oder Ersatzmaßnahmen innerhalb einer von der Accreditation Authority gesetzten Zeit erreicht werden, und bis zur Erfüllung aller seiner Bedingungen eine volle Akkreditierung ausschließt, von der exception, die für die Laufzeit der Akkreditierung oder kürzer gilt (1.1.23, 1.1.24). Das NZISM hält zugleich fest, dass manche Baseline-Controls von einer Regierungsstelle nicht einzeln risikobasiert behandelt werden können, ohne ressortübergreifende, gesamtstaatliche (All-of-Government) oder internationale Systeme und Informationen zu gefährden (Tabelle in 1.1.25, 1.1.64). Das Verfahren im Einzelnen und seine Bedeutung für Dienstleister behandelt nzism-002.

Einstufungsstufen als Begriff

Das NZISM verwendet die Stufen des NZ Government Security Classification System. Nach NZISM 1.1.4 gilt für Official Information und für Informationen mit den Kennzeichnungen UNCLASSIFIED, IN-CONFIDENCE, SENSITIVE und RESTRICTED ein einheitlicher Satz von Baseline-Controls; Official Information ist nach dem Begriffsverzeichnis jede Information, die ein Ministerium oder eine Regierungsstelle hält. Nach 1.1.5 gelten die Baseline-Controls für alle Regierungssysteme, zugehörigen Dienste und Informationen, und für Informationen der Stufen CONFIDENTIAL, SECRET und TOP SECRET sieht das NZISM zusätzliche Controls vor. Die Kategorie "All Classifications" umfasst nach 1.1.6 und 1.1.26 alle diese Stufen einschließlich zusätzlicher Vermerke (endorsements), Freigabevermerke (releasability markings) und weiterer Einschränkungen. Ein Beispiel für einen solchen Vermerk ist NZEO (New Zealand Eyes Only); Vermerke sind nach dem Begriffsverzeichnis keine eigenen Einstufungen.

Die Regeln, nach denen Informationen einer Stufe zugeordnet werden, stehen nicht im NZISM, sondern im Klassifizierungssystem der PSR (1.1.12), das dem Track nicht vorliegt. Welche Stufe die Informationen und Systeme eines Auftrags haben, ist deshalb mit dem Kunden zu klären.

Fassungsstand und sein Beleg

Ausgewertet ist das NZISM in der Fassung 3.9 vom November 2025, vom Betreiber am 27.10.2026 als XML- und als PDF-Ausgabe von nzism.gcsb.govt.nz geladen. Die Fassung ist belegt durch den Dateinamen ("NZISM-ISM Document-V.-3.9-November-2025"), das Erzeugungsdatum der PDF-Ausgabe (06.11.2025) und die Fußzeile "Version_3.9__November-2025" auf jeder Seite der PDF-Ausgabe. Der Text der XML-Ausgabe selbst nennt keine Versionsnummer. Beide Ausgaben führen dieselben 1.422 Controls.

Release Notes oder ein Änderungsregister zu Fassung 3.9 liegen nicht vor. Was sich gegenüber 3.8 oder früheren Fassungen geändert hat, sagt dieser Track deshalb nicht. Für die Praxis wichtig ist, dass das NZISM die Fassung selbst zum Maßstab macht: Es wird nach 1.1.8 regelmäßig aktualisiert, Regierungsstellen sollen sicherstellen, die neueste Fassung zu verwenden, und nach 1.2.15 müssen Regierungsstellen bei der Gestaltung eigener oder ausgelagerter Systeme die neueste Fassung zugrunde legen und neue Anforderungen samt Umsetzungsfristen befolgen, wenn das GCSB sie für besonders wichtig erklärt. Vor jeder Verwendung ist auf nzism.gcsb.govt.nz zu prüfen, ob eine neuere Fassung erschienen ist.

Lizenz

Das Dokument selbst trägt keinen Rechtevermerk. Die Rechteseite des NCSC, das zum GCSB gehört, weist Material auf den Websites des NCSC als Crown copyright des GCSB im Namen der Crown aus und lizenziert es zur Wiederverwendung unter Creative Commons Attribution 4.0 International, ausgenommen Logos, Embleme und Marken, Gestaltungselemente der Websites, Fotografien und Bilder sowie Material Dritter. Für diesen Track gilt deshalb: Crown copyright, Herausgeber GCSB/GCISO; Wiederverwendung nach der Rechteseite des NCSC unter CC BY 4.0, die Geltung für das NZISM selbst ist nicht ausdrücklich vermerkt. Ob eine bestimmte Übernahme zulässig ist, beurteilt dieser Korpus nicht; er gibt unabhängig davon keine Control-Texte im Wortlaut und keine Kennungslisten wieder.

Was gesperrt ist

Nicht beschafft sind die PSR einschließlich der Kabinettsanweisung CAB MIN (14) 39/38, das GCISO-Mandat im Wortlaut, der Intelligence and Security Act 2017, der Official Information Act 1982, der Ombudsmen Act 1975, der Privacy Act 2020, das NZ Government Security Classification System als eigenes Dokument und die Release Notes zu 3.9. Aussagen daraus stehen in diesem Track nur, soweit das NZISM sie selbst trägt, und dann als Aussage des NZISM.

Umsetzungsperspektive

1. Fassung festhalten. In jedem Angebot, Vertrag und Nachweis die NZISM-Fassung nennen (hier 3.9, November 2025). Ohne Fassungsangabe ist "NZISM-konform" nicht prüfbar.
2. Anlass klären. Feststellen, woraus sich die Anforderung ergibt: Vertrag, Ausschreibung, Kundenrichtlinie oder eine formale Vereinbarung über den Zugang zu eingestuften Informationen. Das NZISM selbst begründet für das Unternehmen keine gesetzliche Pflicht.
3. Einstufung erfragen. Mit dem Kunden klären, welche Einstufung die Informationen und das System haben und ob Vermerke wie NZEO betroffen sind. Davon hängt ab, ob nur die Baseline für "All Classifications" oder zusätzliche Controls für CONFIDENTIAL und höher gelten.
4. Verbindlichkeitsstufen getrennt führen. In der eigenen Umsetzung MUST- und SHOULD-Controls unterscheidbar halten und für jede nicht umgesetzte Control festhalten, ob sie außerhalb des Systemumfangs liegt oder bewusst nicht umgesetzt wird; nur im zweiten Fall greift das Abweichungsverfahren des Kunden.
5. An das bestehende ISMS andocken. Ein Managementsystem nach ISO/IEC 27001 oder IT-Grundschutz bleibt der Rahmen; das NZISM liefert die neuseeländischen Anforderungen, die der Kunde für sein System zugrunde legt.
6. Fassungswechsel verfolgen. Bei jeder neuen Fassung die eigene Auswahl sichten und mit dem Kunden klären, ab wann sie gilt.

Typische Fehler

1. Das NZISM wird als Gesetz gelesen, obwohl es nach 1.2.6 nicht kraft Gesetzes befolgt werden muss und nur durch Gesetz oder Kabinettsanweisung für Ministerien und Regierungsstellen verbindlich gemacht werden könnte.
2. Die Fassung wird nicht dokumentiert, obwohl das NZISM regelmäßig aktualisiert wird und Regierungsstellen für die Systemgestaltung die neueste Fassung verwenden müssen.
3. SHOULD-Controls werden als Pflicht ohne Ausweg behandelt, oder MUST-Controls werden wie Empfehlungen behandelt, obwohl ihre Nichtanwendung, soweit sie in den Systemumfang fallen und nicht nachweislich irrelevant sind, eine Dispensation der Accreditation Authority voraussetzt.
4. Der Einstufungsbereich der Controls wird übersehen, sodass Controls für CONFIDENTIAL und höher auf ein Baseline-System angewendet werden oder umgekehrt.
5. Das NZISM wird als Liste behandelt, die vollständig abzuarbeiten ist, obwohl die Regierungsstelle zuerst den Systemumfang und die anwendbaren Controls bestimmt.
6. Aus der CC-BY-Lizenz der NCSC-Rechteseite wird gefolgert, Control-Texte könnten ohne Weiteres in eigene Unterlagen übernommen werden, obwohl die Geltung für das NZISM nicht ausdrücklich vermerkt ist und die Namensnennung zu den Lizenzbedingungen gehört.
7. Aussagen über Änderungen in Fassung 3.9 werden aus Sekundärquellen übernommen, obwohl keine Release Notes vorliegen.

Risiken und Trade-offs

Wer das NZISM vertraglich an eine bestimmte Fassung bindet, gewinnt Planbarkeit, riskiert aber, dass der Kunde bei neuen Systemen oder nach einer Wichtigkeitserklärung des GCSB die neue Fassung oder neue Anforderungen samt Fristen verlangt; das NZISM verpflichtet Regierungsstellen dazu ausdrücklich. Wer dagegen "jeweils neueste Fassung" zusagt, übernimmt einen laufenden Änderungsaufwand, zu dessen Takt das NZISM nur sagt, dass es regelmäßig aktualisiert wird.

Ein zweiter Zielkonflikt liegt zwischen Baseline und Einzelfall. Die Baseline für "All Classifications" ist breit und für alle Regierungssysteme vorgesehen; zusätzliche Controls für CONFIDENTIAL und höher verlangen erheblich mehr. Wer die Einstufung nicht früh klärt, plant entweder zu wenig oder baut Maßnahmen, die der Kunde nicht braucht.

Schließlich das Verhältnis zum eigenen ISMS: Eine parallele neuseeländische Dokumentation verursacht Doppelaufwand, eine reine Zuordnung zu ISO/IEC 27001 oder IT-Grundschutz reicht dem Kunden möglicherweise nicht, weil das NZISM eigene Governance-Schritte wie Zertifizierung und Akkreditierung des Systems vorsieht.

Entscheidungspunkte

• Welche NZISM-Fassung legen wir in Angeboten und Verträgen fest, und wer verfolgt neue Fassungen und Wichtigkeitserklärungen des GCSB?
• Woraus ergibt sich die Anforderung im Einzelfall: Vertrag, Ausschreibung, Kundenrichtlinie oder formale Vereinbarung über eingestufte Informationen?
• Welche Einstufung haben die Informationen und Systeme unserer neuseeländischen Aufträge, und ist sie schriftlich festgehalten?
• Führen wir eine eigene NZISM-Sicht auf unsere Maßnahmen oder bilden wir sie aus dem bestehenden ISMS ab?
• Wer beantwortet bei uns Fragen zum neuseeländischen Recht, die das NZISM ausdrücklich offen lässt?

Praktische Empfehlungen

• Im Vertrag NZISM-Fassung, Einstufung der Informationen und Systeme, Umgang mit SHOULD-Controls und den Weg für Abweichungen ausdrücklich festhalten.
• Das NZISM als Handbuch zur Auswahl und Begründung behandeln, nicht als vollständig abzuarbeitende Liste; die Auswahl mit Begründung dokumentieren.
• MUST- und SHOULD-Controls in der eigenen Dokumentation getrennt führen.
• Bei jeder neuen Fassung die eigene Auswahl sichten und das Ergebnis datieren.
• Auslegungsfragen über den Kunden an die zuständige Stelle richten; das NCSC bietet Regierungsstellen nach 2.1.13 Beratung zur Auslegung an.
• Fragen zu neuseeländischen Rechtspflichten an den Kunden oder an neuseeländische Rechtsberatung geben; das NZISM behandelt Gesetzgebung nach eigener Aussage nicht umfassend.

Relevante Normreferenzen

• GCSB/GCISO, New Zealand Information Security Manual, Fassung 3.9 (November 2025): Abschnitte 1.1 (Understanding and using the NZISM), 1.2 (Applicability, Authority and Compliance), 2.1 (Overview of Key Agencies) und Kapitel 24 (Glossary of Abbreviations, Glossary of Terms); Gliederung über alle 24 Kapitel.
• NCSC, Rechteseite "Legal, privacy and copyright" (abgerufen 27.10.2026).
• Im NZISM genannt, Inhalt nicht im Quellensatz: Intelligence and Security Act 2017, Ombudsmen Act 1975, Official Information Act 1982, Protective Security Requirements einschließlich CAB MIN (14) 39/38, NZ Government Security Classification System, GCISO-Mandat.
• Abgrenzung: Das australische Gegenstück des ASD steht im Track ism-australien; das NZISM selbst hält in 5.8.46 fest, dass sich ISM und NZISM im Detail unterscheiden und eine unterschiedliche gesetzliche und regulatorische Grundlage haben. Die NIST-Rahmenwerke selbst stehen im Track nist; das NZISM nennt sich in 5.8.48 das neuseeländische Gegenstück zu NIST SP 800-53 Revision 4, eine Zuordnung enthält dieser Track nicht. IT-Grundschutz steht im Track it-grundschutz und die CIS Controls im Track cis; Zuordnungstabellen zum NZISM enthält dieser Track nicht.