18 Controls
Die oberste Ebene bündelt verwandte Schutzziele – von Inventarisierung über Zugriffskontrolle und Datensicherung bis zu Incident Response und Pen-Testing.
GRC · Risikomanagement
CIS Critical Security Controls Priorisierte Cyber-Hygiene, die wirkt
Die CIS Controls v8.1 übersetzen abstrakte Compliance-Vorgaben in 18 konkrete, nach Wirkung priorisierte Maßnahmen. Wir bringen Sie strukturiert auf das Niveau essenzieller Cyber-Hygiene (IG1) und darüber hinaus.
v8.1 (2024)Aktuelle Version, veröffentlicht 25. Juni 2024
18 / 153Controls und Safeguards (Maßnahmen)
Nicht zertifizierbarHerstellerneutrales Best-Practice-Rahmenwerk
Basis für NIS2Priorisierte Maßnahmenebene unter ISO 27001 & NIS2
Was die CIS Controls leisten
Die CIS Critical Security Controls (herausgegeben vom Center for Internet Security, CIS) sind ein priorisierter, herstellerneutraler Katalog von Sicherheitsmaßnahmen. Statt zu fragen „Was fordert die Norm?", beantworten sie die praktische Frage „Was schützt uns zuerst und am wirksamsten?". Die aktuelle Version 8.1 gliedert sich in 18 Controls und 153 Safeguards (konkrete Einzelmaßnahmen).
Der Kern ist die Priorisierung über drei Implementation Groups (IG1–IG3). IG1 definiert die essenzielle Cyber-Hygiene für kleinere Organisationen mit begrenzten Ressourcen, IG2 und IG3 adressieren reifere und kritische Umgebungen. Damit sind die CIS Controls kein weiterer Compliance-Zwang, sondern eine pragmatische Umsetzungs-Roadmap unter ISO 27001, NIS2 und DORA.
Die Struktur der CIS Controls v8.1
Fünf Bausteine, die aus einem Katalog eine belastbare Roadmap machen.
153 Safeguards
Jedes Control zerfällt in konkrete, umsetzbare und messbare Einzelmaßnahmen (Safeguards). Diese Detailtiefe macht Fortschritt nachweisbar.
Implementation Group 1 (IG1)
Essenzielle Cyber-Hygiene: die Untermenge der Safeguards, die jede Organisation als Fundament umsetzen sollte. Der pragmatische Einstiegspunkt.
Implementation Groups 2 & 3
IG2 für Organisationen mit sensiblen Daten und mehreren Abteilungen, IG3 für reife bzw. kritische Umgebungen mit hohem Bedrohungsprofil.
Governance-Funktion (neu in v8.1)
Version 8.1 ergänzt die Sicherheitsfunktion „Govern" in Anlehnung an das NIST CSF 2.0 und stärkt so die organisatorische Steuerung.
Aktualisiertes Mapping
v8.1 enthält neu ausgerichtete Zuordnungen, u. a. zum NIST CSF 2.0, sowie präzisierte Asset-Klassen für eine sauberere Maßnahmenzuweisung.
Die Brücke zu Ihren Pflichten
Warum die CIS Controls der schnellste Weg zu belastbarer Compliance sind.
NIS2 & IT-Sicherheitsgesetz
NIS2 fordert „geeignete und verhältnismäßige" technische Maßnahmen, benennt sie aber nicht im Detail. Die CIS Controls liefern genau diese konkrete, priorisierte Maßnahmenebene als Nachweis.
ISO/IEC 27001
Wo ISO 27001 das Managementsystem und das „Was" beschreibt, liefern die CIS Controls das operative „Wie". Die Safeguards mappen direkt auf die Controls des Annex A.
DORA & CRA
Ob digitale Betriebsstabilität (DORA) oder Produktsicherheit (Cyber Resilience Act): Inventar, Patch-Management und Zugriffskontrolle aus IG1 bilden das gemeinsame technische Fundament.
NIST CSF 2.0, PCI DSS & DSGVO
Über das mitgelieferte Mapping lassen sich einmal umgesetzte Safeguards als Belege für mehrere Rahmenwerke gleichzeitig nutzen – „einmal umsetzen, mehrfach nachweisen".
So gehen wir vor
Von der Standortbestimmung zur nachweisbaren Cyber-Hygiene – in vier Schritten.
01
1 · Gap-Assessment gegen IG1
Wir bewerten Ihren Ist-Zustand gegen die IG1-Safeguards und identifizieren die kritischsten Lücken – priorisiert nach Risiko und Aufwand.
02
2 · Priorisierte Roadmap
Sie erhalten eine umsetzbare Roadmap: welche Safeguards zuerst, mit welchem Aufwand, welcher Wirkung und welcher Verantwortlichkeit (RACI).
03
3 · Umsetzung & Automatisierung
Wir begleiten die technische Umsetzung – Inventarisierung, Patch- und Schwachstellenmanagement, MFA, Backup – und automatisieren die Messung.
04
4 · Nachweis & Weiterentwicklung
Kontinuierliches Reporting belegt den Reifegrad und bildet die Brücke Richtung IG2/IG3 sowie zu ISO 27001 und NIS2.
Selbstcheck: Erreichen Sie IG1 (essenzielle Cyber-Hygiene)?
Vier Fragen zu den tragenden Säulen der Implementation Group 1. Antworten Sie ehrlich mit Ja, Teilweise oder Nein.
1Führen Sie ein aktuelles, gepflegtes Inventar aller Hardware-Assets und autorisierten Software (inkl. Cloud-Dienste)?
2Betreiben Sie ein zentrales, kontinuierliches Schwachstellen- und Patchmanagement mit definierten Fristen?
3Ist Multi-Faktor-Authentifizierung (MFA) für alle relevanten Zugänge aktiv und die Zugriffskontrolle nach Least-Privilege geregelt?
4Erstellen Sie regelmäßige Backups – und haben Sie die Wiederherstellung nachweislich getestet?
Der Selbstcheck ist eine erste Orientierung und ersetzt kein vollständiges Assessment der 153 Safeguards.
Ressourcen & weiterführende Themen
Primärquellen zum Standard und passende Leistungen von VamiSec.
Primärquellen (extern)
CIS Critical Security Controls v8.1 Offizielle Übersichtsseite des Center for Internet Security zur aktuellen Version 8.1.CIS Controls – Download & Guide Vollständige Liste der 18 Controls und 153 Safeguards inklusive Implementation-Group-Zuordnung.CIS Implementation Groups Erläuterung der drei Implementation Groups (IG1–IG3) und ihrer Priorisierungslogik.
Passende Leistungen von VamiSec
Häufige Fragen
Die wichtigsten Fragen zu den CIS Controls kurz beantwortet.
Kann man sich nach den CIS Controls zertifizieren lassen?
Nein. Die CIS Controls sind ein herstellerneutrales Best-Practice-Rahmenwerk und nicht zertifizierbar. Sie liefern jedoch die priorisierte Maßnahmenebene, die eine ISO-27001-Zertifizierung oder einen NIS2-Nachweis operativ untermauert.
Was ist der Unterschied zwischen den CIS Controls und ISO 27001?
ISO 27001 beschreibt ein Managementsystem und das „Was" der Informationssicherheit. Die CIS Controls konkretisieren das operative „Wie" mit priorisierten, technischen Maßnahmen – beide ergänzen sich ideal.
Was bedeutet Implementation Group 1 (IG1)?
IG1 ist die Untermenge der Safeguards, die als essenzielle Cyber-Hygiene gilt. Sie ist der pragmatische Einstieg für kleinere Organisationen und schützt bereits gegen die häufigsten Angriffsmuster.
Was ist neu in Version 8.1 gegenüber v8?
Version 8.1 (Juni 2024) ergänzt die Sicherheitsfunktion „Govern", präzisiert Asset-Klassen und aktualisiert die Mappings – insbesondere die Ausrichtung auf das NIST CSF 2.0. Struktur (18 Controls) und Zählweise bleiben erhalten.
Helfen die CIS Controls bei der NIS2-Umsetzung?
Ja. NIS2 fordert geeignete technische Maßnahmen, ohne sie im Detail zu benennen. Die CIS Controls – insbesondere IG1 – liefern genau diese konkrete, priorisierte und nachweisbare Maßnahmenebene.
Bringen Sie Ihre Cyber-Hygiene auf ein nachweisbares Niveau
Wir bewerten Ihren Reifegrad gegen die CIS Controls v8.1, priorisieren die wirksamsten Schritte und begleiten die Umsetzung bis zum belastbaren Nachweis.