Messen Sie Ihre Cybersicherheit mit dem NIST CSF 2.0
Ist-Profil, Soll-Profil und Maßnahmenplan auf einer Plattform. Die sechs Funktionen des Frameworks sind direkt mit Ihren realen Kontrollen verknüpft.
Was das NIST CSF ist und was man von Ihnen erwartet
Das Cybersecurity Framework des NIST, des US-amerikanischen Normungsinstituts, ist ein Rahmenwerk für das Management von Cyberrisiken. Version 2.0 erschien im Februar 2024, richtet sich jetzt an Organisationen jeder Größe und Branche und ergänzt eine sechste Funktion: Govern.
Es ist freiwillig und nicht zertifizierbar, hat sich aber zur gemeinsamen Sprache für Cybersicherheit gegenüber Konzernmüttern, Kunden und Versicherern entwickelt, vor allem wenn Sie mit US-Unternehmen arbeiten. Gefragt wird nach einem Profil: wo Sie stehen, wo Sie hinwollen und wie Sie die Lücke schließen.
- Herausgeber
- NIST, US-Handelsministerium
- Version
- CSF 2.0, Februar 2024
- Aufbau
- 6 Funktionen, 22 Kategorien und 106 Subkategorien
- Charakter
- Freiwillig, keine Zertifizierung
- Ergebnis
- Ist-Profil, Soll-Profil und Maßnahmenplan
1
Geltungsbereich
Sie legen fest, welcher Teil der Organisation dazugehört und was das Geschäft verlangt.
2
Ist-Profil
Sie bewerten jede Subkategorie mit Ihren heutigen Kontrollen und Nachweisen.
3
Soll-Profil
Sie legen fest, wo Sie hinwollen, abhängig von Risiko und Pflichten.
4
Maßnahmenplan
Aus der Lücke zwischen beiden Profilen wird ein priorisierter Plan.
Die sechs Funktionen
GV
Govern
Strategie, Rollen, Richtlinien und Aufsicht über Cyberrisiken, auch in der Lieferkette.
ID
Identify
Assets, Risiken und Verbesserungspotenziale.
PR
Protect
Zugriffe, Schulung, Schutz von Daten und Plattformen.
DE
Detect
Kontinuierliches Monitoring und Analyse von Ereignissen.
RS
Respond
Management, Analyse, Kommunikation und Eindämmung von Vorfällen.
RC
Recover
Rückkehr zum Normalbetrieb und Kommunikation zur Wiederherstellung.
Umsetzungsstufen (Tiers):
1 · Partiell
2 · Risikoinformiert
3 · Wiederholbar
4 · Adaptiv
Ihr NIST CSF Profil in GlobalSuite®
Vom Geltungsbereich bis zum Maßnahmenplan an einem Ort, jede Subkategorie mit ihren Kontrollen, ihrer verantwortlichen Person und ihrem Nachweis verknüpft.
Compliance›NIST CSF 2.0›Ist-Profil
Ist-Profil106 Subkategorien · 81 bewertet
CodeSubkategorieVerantwortlichStatus
GV.RM-01
Ziele des Risikomanagements vereinbart
Govern · Risikostrategie
CROTeilweiseID.AM-01
Hardware-Inventar
Identify · Asset-Management
ITUmgesetztPR.AA-01
Identitäten und Zugangsdaten verwaltet
Protect · Zugriffe
CISOUmgesetztDE.CM-01
Netzwerk-Monitoring
Detect · kontinuierliches Monitoring
SOCOffenCompliance›NIST CSF 2.0›Ist gegenüber Soll
2
Funktionen im Soll
4
Unter Soll
25
Subkategorien unbewertet
FunktionNameIst / SollStufe
GVGovern2
IDIdentify3
PRProtect3
DEDetect2
RSRespond2
Compliance›NIST CSF 2.0›Maßnahmenplan
Maßnahmenplan16 Maßnahmen · 5 abgeschlossen
MaßnahmeVerantwortlichTerminStatus
Risikobereitschaft für Cyberrisiken freigegebenFCF. Castro15. Dez.In Arbeit
Netzwerk-Monitoring an allen StandortenEPE. Prieto30. Nov.Offen
Cybersicherheitsanforderungen in LieferantenverträgenIMI. Méndez10. Dez.In Arbeit
Übung zur Reaktion auf VorfälleSGS. Gil8. Nov.Erledigt
Compliance›NIST CSF 2.0›Mappings
MappingsBewertungen aus anderen Standards übernommen
Subkategorie und zugehörige KontrolleStatusStandard
PR.AA-01 · IdentitätsmanagementÜbernommenISO 27001
RS.MA-01 · Reaktion auf VorfälleÜbernommenNIS2
ID.AM-01 · Hardware-InventarÜbernommenISO 27001
GV.SC-01 · LieferkettenrisikoPrüfenDORA
Einmal bewerten
Wenn Sie ISO 27001, NIS2 oder DORA bereits in GlobalSuite® steuern, übernehmen Sie diese Bewertungen in die passenden Subkategorien.
Govern, mit Daten
Die neue Funktion GV stützt sich auf das Risikomodul: Risikobereitschaft, Verantwortliche und Reporting an die Geschäftsleitung.
Die Lieferkette gleich dabei
Bewerten Sie Ihre Lieferanten im Modul für Drittparteienrisiken und übernehmen Sie das Ergebnis direkt in GV.SC.
NIST CSF passt zu dem, was Sie schon tun
NIST CSF
Ist- und Soll-Profil, Maßnahmenplan und Mappings zu anderen Standards.
Sie sind hierISO 27001
Das zertifizierbare Managementsystem, mit dem es viele Kontrollen teilt.
Zur Lösung →NIS2
Die EU-Pflicht zur Cybersicherheit für wesentliche und wichtige Einrichtungen.
Zur Lösung →DORA
Die EU-Verordnung zur digitalen operationalen Resilienz im Finanzsektor.
Zur Lösung →
Häufige Fragen zum NIST CSF
Ist das NIST CSF verpflichtend?
Nein. Es ist ein freiwilliges Rahmenwerk und nicht zertifizierbar. Trotzdem setzen es viele Organisationen ein, weil Konzernmutter, Kunden oder Versicherer es verlangen, oder weil sie eine gemeinsame Sprache brauchen, um mit der Geschäftsleitung über Cybersicherheit zu sprechen.
Was ändert sich mit Version 2.0?
Version 2.0 erschien im Februar 2024. Sie gilt für alle Organisationen, nicht nur für kritische Infrastrukturen, und ergänzt die Funktion Govern mit Strategie, Rollen, Richtlinien und Lieferkettenrisiken.
Was sind die Tiers?
Vier Stufen (partiell, risikoinformiert, wiederholbar und adaptiv), die beschreiben, wie konsequent eine Organisation ihre Cyberrisiken steuert und managt. Sie sind keine Compliance-Note. Sie helfen Ihnen, sich einzuordnen und zu entscheiden, wie weit Sie gehen wollen.
Was ist ein Profil?
Eine Momentaufnahme der Organisation entlang der Subkategorien des Frameworks. Das Ist-Profil zeigt, wo Sie stehen, das Soll-Profil, wo Sie hinwollen. Die Lücke dazwischen ist Ihr Maßnahmenplan.
Wie hängt es mit ISO 27001 zusammen?
Beide teilen viele Kontrollen, und NIST veröffentlicht selbst Referenzen, die die Subkategorien des Frameworks anderen Standards zuordnen. Wenn Sie bereits ein ISMS betreiben, ist ein guter Teil der Arbeit erledigt.
Hilft es mir bei NIS2?
Ja, weil sich viele Maßnahmen überschneiden, aber es ersetzt NIS2 nicht. NIS2 hat eigene Pflichten, etwa die Meldung von Vorfällen und die Verantwortung der Leitungsorgane, die Sie gesondert abdecken müssen.
Das Cybersecurity Framework ist eine Veröffentlichung des US-amerikanischen National Institute of Standards and Technology (NIST).
Ihr NIST CSF Profil,
immer aktuell.
Wir zeigen Ihnen Ihr Ist- und Soll-Profil in GlobalSuite®.