Regulierung

NIST Cybersecurity Framework

Abkürzung: NIST CSF

Vom US-amerikanischen National Institute of Standards and Technology entwickeltes, freiwilliges Rahmenwerk zur Verbesserung der Cybersicherheit kritischer Infrastrukturen.

🧒

Einfach erklärt

Für jeden verständlich — ohne Vorkenntnisse

“Das NIST CSF ist ein amerikanisches Sicherheits-Handbuch, das weltweit verwendet wird. Es sagt: Um sicher zu sein, musst du sechs Dinge tun: Regeln festlegen, deine Risiken kennen, Schutzmaßnahmen aufbauen, Angriffe erkennen, darauf reagieren und dich danach erholen. Einfach aber vollständig.”

Ausführliche Erklärung

Das NIST CSF (aktuelle Version 2.0, 2024) strukturiert Cybersicherheitsaktivitäten in sechs Funktionen: Govern, Identify, Protect, Detect, Respond, Recover. Jede Funktion enthält Kategorien und Subkategorien mit konkreten Outcomes. Das Framework ist technologieneutral, international anerkannt und sowohl für Behörden als auch Privatunternehmen nutzbar. NIST CSF wird oft als Basis für Reifegradmessungen (Tier 1-4) verwendet. Eng verzahnt mit anderen NIST-Standards (SP 800-53, SP 800-171).

>Wie funktioniert das?

Govern: Governance-Strukturen, Rollen und Risikomanagement-Strategie definieren

Identify: Assets, Risiken und Schwachstellen inventarisieren und bewerten

Protect: Schutzmaßnahmen für kritische Dienste implementieren

Detect: Monitoring und Erkennungsprozesse für Sicherheitsereignisse

Respond: Incident-Response-Pläne entwickeln und üben

Recover: Recovery-Pläne und Lessons Learned nach Vorfällen.

?Häufig gestellte Fragen

Antwort

Ursprünglich US-Behörden und KRITIS-Betreiber, heute weltweit von Unternehmen jeder Größe genutzt — besonders verbreitet in der Finanz-, Energie- und Gesundheitsbranche.

Antwort

NIST CSF ist ein Rahmenwerk zur Strukturierung von Sicherheitsaktivitäten — keine Zertifizierung möglich. ISO 27001 ist ein zertifizierbarer Standard. NIST CSF ist praxisnäher in der Kommunikation mit Führungsebenen.

Antwort

Die vier Reifegrade (Partial, Risk-Informed, Repeatable, Adaptive) beschreiben wie systematisch und ausgereift das Cybersicherheitsprogramm einer Organisation ist — als Messinstrument und Verbesserungsziel.

Antwort

Weil erkannt wurde, dass Governance (Verantwortlichkeiten, Strategie, Richtlinien) die Grundlage aller anderen Sicherheitsaktivitäten ist — und viele Organisationen genau hier Defizite haben.

Antwort

Man bewertet für jede Subkategorie den aktuellen Stand (Ist) und den angestrebten Stand (Soll), identifiziert Lücken und priorisiert Maßnahmen nach Business Impact und Risiko.

Alle Begriffe im Glossar

APT Brute-Force-Angriff Botnet CVE Credential Stuffing DDoS EDR Firewall Honeypot IDS KI-Angriff (Adversarial AI)Lateral Movement LLM-Sicherheit Malware MFA Netzwerksegmentierung OSINT Passkeys Patch Management Phishing Prompt Injection Ransomware SIEM Social Engineering SQL-Injection Threat Intelligence TTP WAF XDR Zero-Day Zero Trust XSS CSRF MitM Supply-Chain-Angriff Spear-Phishing Vishing Smishing Watering-Hole-Angriff Drive-by-Download Insider-Bedrohung Typosquatting Clickjacking DNS-Spoofing Session-Hijacking BEC Cryptojacking SIM-Swapping SOC Pentest Threat Hunting Red Team Blue Team DevSecOps Security Awareness Training Vulnerability Management SAST DAST 3-2-1 Backup-Strategie Cyber-Versicherung NIS2 DSGVO ISO/IEC 27001 BSI IT-Grundschutz NIST CSF KRITIS — Kritische Infrastrukturen PCI-DSS CRA TISAX — Automotive Informationssicherheit BCM Meldepflicht bei Datenpannen Adversarial Machine Learning Model Poisoning Deepfake KI-Halluzination LLM-Jailbreak Federated Learning Shadow AI Trojaner Computerwurm Spyware Rootkit Keylogger Fileless Malware Backdoor Infostealer Wiperware Adware OAuth 2.0 SAML SSO PAM IAM RBAC Passwort-Manager Biometrische Authentifizierung Hardware-Sicherheitsschlüssel VPN DMZ VLAN Port-Scanning BGP-Hijacking IPS NAC TLS SSH HTTPS — HyperText Transfer Protocol Secure SPF, DKIM & DMARC — E-Mail-Authentifizierung IPsec — Internet Protocol Security API-Sicherheit DNSSEC