Regelwerk
NIST Cybersecurity Framework 2.0
Ihr Kunde oder Versicherer fragt nach dem NIST Cybersecurity Framework? Complass führt Sie durch das Profilverfahren: vom Geltungsbereich über den aktuellen Stand und das Ziel bis zum Aktionsplan, mit Nachweisen, die Sie aus ISO 27001, NIS2 oder IEC 62443 übernehmen können.
Was ist NIST CSF 2.0?
Das NIST Cybersecurity Framework (CSF) 2.0 ist ein freiwilliges Rahmenwerk des US-amerikanischen National Institute of Standards and Technology. Es beschreibt in sechs Funktionen (Govern, Identify, Protect, Detect, Respond, Recover), 22 Kategorien und 106 Unterkategorien, welche Ergebnisse ein wirksames Management von Cyberrisiken erreichen soll. Es ist weltweit verbreitet und unabhängig von Branche und Größe nutzbar. Ein Zertifikat gibt es nicht.
Complass steht in keiner Verbindung zum NIST. Die englischen Ergebnisformulierungen stammen aus NIST CSWP 29, einem frei verwendbaren Werk der US-Bundesregierung.
Stand der Inhalte:
Bin ich betroffen?
Das CSF betrifft Unternehmen, deren Kunden, Konzernmütter oder Cyberversicherer ihre Informationssicherheit in der Sprache des CSF beschreiben lassen wollen: Zulieferer internationaler Konzerne, Anbieter von Software und Diensten, Betreiber vernetzter Anlagen und Organisationen, die ein einheitliches Bild ihres Standes brauchen.
Das CSF ist nicht verpflichtend und kein Ersatz für gesetzliche Pflichten wie NIS2. Es ergänzt sie als gemeinsame Sprache; viele Ergebnisse haben Sie bereits, wenn Sie nach ISO 27001 oder NIS2 arbeiten.
Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.
Grundlagen
- NIST CSWP 29The NIST Cybersecurity Framework (CSF) 2.0, veröffentlicht am 26.02.2024
Wichtige Fristen
Gesetzliche Fristen gibt es für das CSF nicht; den Zeitplan setzen Ihre Kunden oder Versicherer. Das Profil ist ein laufendes Dokument; wir empfehlen, es bei Änderungen und mindestens jährlich zu überprüfen.
Wie Complass hilft
- 5Phasen
- 10geführte Schritte
- 3Dokumentvorlagen
- 106Anforderungen im Katalog
Profilverfahren in fünf Phasen
Geltungsbereich, aktuelles Profil, Zielprofil mit Tier, Lückenanalyse und Aktionsplan, Umsetzung und Fortschreibung, Schritt für Schritt geführt.
106 Unterkategorien mit offiziellen Kennungen
Jedes Ergebnis mit Anwendbarkeit, Status, Begründung und Nachweis. Titel und Hinweise in eigenen Worten, die NIST-Formulierung im Original daneben.
Vorlagen
Organisationsprofil für Ist und Ziel, Tier-Bewertung und Aktionsplan.
Einmal umsetzen, mehrfach nachweisen
Maßnahmen, die Sie schon für ISO 27001, NIS2 oder IEC 62443 bewertet haben, schlägt Complass für das CSF zur Übernahme vor.
Die Phasen im Modul
- Ausgangslage und Geltungsbereich
- Aktuelles Profil erstellen
- Zielprofil und Tier festlegen
- Lückenanalyse und Aktionsplan
- Umsetzen und fortschreiben
Katalog: NIST CSF 2.0 Core – 106 Unterkategorien
Passende Bausteine
Compliance-Management
Regelwerke geführt umsetzen: Phasen, Vorlagen, Dokumentenpyramide, Kataloge, Gap-Analyse, Ziele und Maßnahmenplan bis zur Prüfung im Prüferportal.
Mehr erfahrenRisk-Management
Risikoregister mit qualitativer oder quantitativer Bewertung, Risikoappetit und Behandlungsplan, verzahnt mit Assets, Schwachstellen und Vorfällen.
Mehr erfahrenAsset-Management
IT- und OT-Assets an einem Ort, agentless erfasst, mit SBOM, Herstellerhinweisen, Support-Ende, Lizenzabgleich, Identitäten, Zusammenhängen und Zonen nach IEC 62443-3-2.
Mehr erfahrenHäufige Fragen
Gibt es ein CSF-Zertifikat?
Nein. Das CSF ist nicht zertifizierbar. Complass hilft Ihnen, Ihren Stand als Profil zu beschreiben und zu belegen; ein Zertifikat oder Label entsteht dadurch nicht.
Was ist ein Tier?
Die vier Tiers (Partial, Risk Informed, Repeatable, Adaptive) kennzeichnen, wie gefestigt Ihre Steuerung und Ihr Risikomanagement insgesamt sind. Sie halten das aktuelle und das angestrebte Tier in einer Vorlage fest.
Wir arbeiten schon nach ISO 27001. Müssen wir alles neu erfassen?
Nein. Über die gemeinsamen Maßnahmen schlägt Complass vor, Bewertungen und Nachweise zu übernehmen. Sie prüfen jeden Vorschlag fachlich, bevor Sie ihn bestätigen.
Ersetzt das CSF NIS2 oder ISO 27001?
Nein. Es ergänzt sie als Darstellung gegenüber Kunden und Versicherern. Gesetzliche Pflichten bleiben bestehen.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.