Mit Version 2.0 richtet sich das NIST Cybersecurity Framework erstmals ausdrücklich an Organisationen jeder Größe und Branche – und macht Governance zur eigenständigen Funktion. VamiSec nutzt das CSF als Steuerungsrahmen, der ISO/IEC 27001, NIS2 und DORA in einer Sprache zusammenführt.
Das NIST Cybersecurity Framework (CSF) ist der weltweit meistgenutzte Rahmen, um Cyber-Risiken zu strukturieren und zu kommunizieren. Mit Version 2.0 (NIST CSWP 29), veröffentlicht am 26. Februar 2024, hat das US-amerikanische National Institute of Standards and Technology die erste Vollrevision seit Einführung des Frameworks vorgelegt – und den Geltungsanspruch von kritischen Infrastrukturen auf Organisationen jeder Größe und Branche erweitert.
Der CSF Core gliedert sich in sechs Funktionen, 22 Kategorien (Categories) und rund 106 Unterkategorien (Subcategories). Organisationsprofile (Organizational Profiles, Ist/Ziel), Umsetzungsstufen (Implementation Tiers, 1–4) und Informative References – darunter Mappings auf ISO/IEC 27001, CIS Controls und NIST SP 800-53 – machen daraus ein Steuerungsinstrument: kostenlos, nicht zertifizierbar, aber ideal, um Reifegrad und Prioritäten gegenüber Vorstand und Aufsichtsrat zu kommunizieren.
GOVERN ist neu in Version 2.0 – und umschließt die fünf operativen Funktionen als Steuerungsebene.
Neu in 2.0: verankert Cyber-Risiko in der Unternehmenssteuerung – Organisationskontext, Risikomanagement-Strategie, Rollen und Verantwortlichkeiten, Richtlinien (Policies), Aufsicht sowie Lieferketten-Risikomanagement (Cybersecurity Supply Chain Risk Management).
Schafft Transparenz über Assets, Geschäftsprozesse und Risiken: Was schützen wir, und welche Schwachstellen und Verbesserungspotenziale bestehen?
Umfasst Schutzmaßnahmen wie Identitäts- und Zugriffsmanagement, Awareness und Schulung, Datensicherheit, Plattform-Härtung und eine widerstandsfähige Technologie-Infrastruktur.
Sorgt dafür, dass Angriffe und Anomalien rechtzeitig erkannt und analysiert werden – vom kontinuierlichen Monitoring bis zur Ereignisanalyse.
Strukturiert die Reaktion auf erkannte Vorfälle: Vorfallsmanagement (Incident Management), Analyse, Meldung und Kommunikation sowie Eindämmung (Mitigation).
Stellt Systeme und Dienste nach einem Vorfall wieder her – inklusive Wiederanlaufplanung und transparenter Krisenkommunikation an interne und externe Stakeholder.
Das CSF ersetzt keine Regulierung – es übersetzt zwischen ihnen.
Die Informative References verknüpfen CSF-Subcategories direkt mit ISO/IEC 27001-Controls. Ihr ISMS liefert den Nachweis, das CSF die Management-Sicht – ideal, wenn Zertifizierung und Steuerung zusammenspielen sollen.
GOVERN spiegelt die Leitungsverantwortung aus Art. 20 der NIS2-Richtlinie, die operativen Funktionen decken den Maßnahmenkatalog aus Art. 21 ab – vom Risikomanagement bis zur Sicherheit der Lieferkette.
Für Finanzunternehmen strukturiert das CSF das IKT-Risikomanagement nach DORA: IDENTIFY/PROTECT für Schutz und Prävention, DETECT/RESPOND/RECOVER für Erkennung, Reaktion und Wiederherstellung.
Die CIS Controls übersetzen CSF-Subcategories in priorisierte technische Maßnahmen (Safeguards) – der schnellste Weg von der Framework-Logik zur umsetzbaren Härtung.
Unser Vorgehen mit Organizational Profiles und Implementation Tiers.
Wir erfassen den Ist-Zustand entlang der sechs Funktionen und 22 Kategorien – auf Basis vorhandener Nachweise, Interviews und technischer Stichproben.
Gemeinsam mit der Geschäftsleitung definieren wir das Zielprofil und die angestrebte Umsetzungsstufe (Tier 1–4) – risikobasiert und am Geschäftsmodell ausgerichtet.
Aus der Lücke zwischen Ist- und Zielprofil entsteht eine priorisierte Roadmap mit Maßnahmen, Verantwortlichkeiten, Budgets und Quick Wins.
Kennzahlen je Funktion, regelmäßige Re-Assessments und Management-Reporting machen Fortschritt sichtbar – und das Cyber-Risiko dauerhaft steuerbar.
1GOVERN: Ist Cyber-Risiko fest in Ihrer Unternehmenssteuerung verankert – mit klaren Rollen und Verantwortlichkeiten bis zur Geschäftsleitung?
2IDENTIFY & PROTECT: Kennen Sie Ihre Assets vollständig, und ist ein Basisschutz (Zugriffe, Patches, Backups, Awareness) flächendeckend umgesetzt?
3DETECT & RESPOND: Können Sie Angriffe zuverlässig erkennen, und ist Ihr Reaktionsprozess dokumentiert und praktisch erprobt?
4RECOVER: Ist der Wiederanlauf kritischer Systeme getestet – inklusive geregelter Kommunikation an Kunden, Partner und Behörden?
Der Selbstcheck ersetzt kein Assessment, sondern liefert eine erste Standortbestimmung entlang der CSF-Funktionen.
Primärquellen des NIST und passende VamiSec-Leistungen.
Kompakte Antworten für Entscheider und Sicherheitsverantwortliche.
Nein. Das CSF ist ein freiwilliger, kostenloser Rahmen ohne Zertifizierungsschema. Es eignet sich als Steuerungs- und Kommunikationsinstrument – Nachweise erbringen Sie weiterhin über Standards wie ISO/IEC 27001 oder regulatorische Prüfungen.
Die wichtigste Neuerung ist die sechste Funktion GOVERN, die Governance, Strategie, Rollen, Richtlinien und Lieferketten-Risikomanagement bündelt. Zudem richtet sich das Framework nun ausdrücklich an alle Organisationen – nicht mehr nur an kritische Infrastrukturen – und wird von Quick-Start Guides, Organizational Profiles und dem CSF 2.0 Reference Tool flankiert.
Ein zertifiziertes ISMS und das CSF ergänzen sich: ISO/IEC 27001 liefert das Managementsystem und den Nachweis, das CSF die funktionsorientierte Sicht für Priorisierung und Vorstandskommunikation. Über die Informative References lassen sich beide Welten ohne Doppelarbeit verbinden.
Das CSF bietet eine gemeinsame Sprache: GOVERN adressiert die Leitungsverantwortung (NIS2 Art. 20), die operativen Funktionen strukturieren die Maßnahmen aus NIS2 Art. 21 und das IKT-Risikomanagement nach DORA. So steuern Sie mehrere Regulierungen über ein konsistentes Zielbild.
Wir erheben Ihr Current Profile entlang der sechs Funktionen, definieren gemeinsam Target Profile und Tier und leiten daraus eine priorisierte Gap-Roadmap ab. Der Aufwand hängt von Scope, Standorten und vorhandener Dokumentation ab – im Erstgespräch grenzen wir ihn gemeinsam ein.
Wir erheben Ihr Current Profile, definieren Ziele und liefern die Roadmap – pragmatisch, priorisiert und vorstandstauglich.
