Das NIST Cybersecurity Framework ist ein freiwilliges US-Rahmenwerk für Sicherheitsprogramme; Version 2.0 (2024) umfasst die Funktionen Govern, Identify, Protect, Detect, Respond und Recover.
Das Cybersecurity Framework (CSF) des US-amerikanischen National Institute of Standards and Technology (NIST) ist ein freiwilliges Rahmenwerk, das Organisationen hilft, ihr Sicherheitsprogramm zu strukturieren, zu bewerten und zu kommunizieren. Es entstand 2014 auf Grundlage einer Präsidentenverordnung für kritische Infrastrukturen und hat sich weltweit als gemeinsame Sprache zwischen Technik, Management und Aufsicht etabliert. Die aktuelle Version 2.0 wurde im Februar 2024 veröffentlicht und richtet sich ausdrücklich an Organisationen jeder Größe und Branche.
Anders als ISO 27001 ist das CSF kein zertifizierbarer Standard und schreibt keine konkreten Maßnahmen vor. Es beschreibt Ergebnisse („Outcomes“), die ein Sicherheitsprogramm erreichen sollte, und verweist für die Umsetzung auf andere Standards, etwa NIST SP 800-53, ISO 27002 oder die CIS Controls.
Aufbau: Funktionen, Profile, Tiers
Der Kern des CSF besteht aus sechs Funktionen, die zusammen den Lebenszyklus des Risikomanagements abbilden:
- Govern (neu in 2.0): Strategie, Rollen, Richtlinien, Risikobereitschaft und Lieferkettenrisiko werden auf Leitungsebene gesteuert.
- Identify: Werte, Abhängigkeiten, Schwachstellen und Risiken sind bekannt.
- Protect: Zugriffskontrolle, Awareness, Datensicherheit, Plattformhärtung und Resilienz der Infrastruktur.
- Detect: Anomalien und Angriffe werden zeitnah erkannt und analysiert.
- Respond: Vorfälle werden gesteuert, eingedämmt, analysiert und kommuniziert.
- Recover: Betrieb und Dienste werden wiederhergestellt, Lehren fließen zurück.
Jede Funktion gliedert sich in Kategorien und Unterkategorien mit konkreten Ergebnissen. Mit Profilen beschreibt eine Organisation ihren aktuellen und ihren angestrebten Zustand; die Tiers (Partial bis Adaptive) ordnen ein, wie systematisch und risikobasiert das Programm betrieben wird.
Bedeutung für Unternehmen
Das CSF ist besonders nützlich, um dem Management ohne Fachvokabular zu erklären, wo das Unternehmen steht. Die sechs Funktionen lassen sich auf einer Folie darstellen und mit Reifegraden hinterlegen. Deutsche Unternehmen nutzen es häufig ergänzend zu ISO 27001 oder IT-Grundschutz, etwa für Konzernberichte oder Anforderungen von US-Kunden und Versicherern.
Aus Red-Team-Sicht liefert das CSF eine wichtige Einsicht: Protect ist nur eine von sechs Funktionen. Viele Organisationen investieren fast ausschließlich dort und wundern sich, dass Angreifer trotzdem wochenlang unbemerkt bleiben. Laut Mandiant M-Trends 2026 wurden nur 52 Prozent der Vorfälle intern erkannt. Ein Red Teaming misst genau die Funktionen Detect und Respond, die sich mit Papierprüfungen kaum bewerten lassen.
Praxis-Hinweise
- Erstellen Sie ein Ist- und ein Zielprofil und priorisieren Sie die Lücken nach Geschäftsrisiko, nicht nach Reihenfolge der Unterkategorien.
- Nutzen Sie Purple Teaming, um Detect-Ergebnisse messbar zu machen: Welche Techniken aus MITRE ATT&CK werden erkannt, welche nicht?
- Testen Sie Respond und Recover in Übungen mit realistischen Szenarien, einschließlich Wiederanlauf aus dem Backup.
- Verankern Sie Govern tatsächlich auf Leitungsebene: Risikobereitschaft und Lieferkettenanforderungen sind Entscheidungen der Geschäftsführung, nicht der IT.