Was sind die NIST-Rahmenwerke?

Die NIST-Rahmenwerke sind eine Sammlung freiwilliger Leitlinien, Standards und bewährter Verfahren, die vom National Institute of Standards and Technology veröffentlicht wurden, um Organisationen dabei zu unterstützen, Cybersicherheitsrisiken zu bewältigen, sensible Daten zu schützen und Compliance-Anforderungen zu erfüllen. Wenn Sie Ihre Sicherheitslage bewerten oder sich auf ein SOC-2- oder ISO-27001-Audit vorbereiten, ist die Entscheidung, welches NIST-Rahmenwerk auf Ihre Situation zutrifft, der erste Schritt, den Sie unternehmen müssen.

Warum NIST-Rahmenwerke für IT- und Sicherheitsteams wichtig sind

NIST-Rahmenwerke sind nicht nur bürokratische Checklisten. Auftragnehmer der US-Bundesregierung sind gemäß FISMA gesetzlich verpflichtet, sich an sie anzupassen, und Organisationen aus der Privatwirtschaft nutzen sie zunehmend als Grundlage, um Kunden, Prüfern und Cyberversicherern ihre Sicherheitsreife nachzuweisen.

Drei Faktoren machen NIST-Rahmenwerke heute für die meisten IT-Teams in mittelständischen und großen Unternehmen relevant:

• In Anträgen auf Cyberversicherungen wird mittlerweile routinemäßig gefragt, ob Sie sich am NIST CSF orientieren
• Beschaffungsteams in Unternehmen nutzen die NIST-Konformität als Indikator für die Eignung von Anbietern
• Die NIST-Kontrollen lassen sich direkt auf SOC 2, ISO 27001 und HIPAA abbilden, wodurch doppelter Compliance-Aufwand reduziert wird

Das Verständnis der Rahmenwerke hilft Ihnen zudem, bei Audits glaubwürdig zu argumentieren. Auditoren erwarten strukturiertes Risikodenken und keine improvisierten Antworten.

Die wichtigsten NIST-Rahmenwerke erklärt

Das NIST hat Dutzende von Dokumenten veröffentlicht, doch vier Rahmenwerke machen den Großteil der praktischen Anwendung in IT- und Sicherheitsprogrammen aus.

NIST-Cybersicherheits-Rahmenwerk (CSF)

Das NIST-Cybersicherheits-Rahmenwerk ist die am weitesten verbreitete NIST-Veröffentlichung außerhalb der US-Bundesregierung. Version 2.0, die im Februar 2024 veröffentlicht wurde, erweiterte die ursprünglichen fünf Funktionen um eine sechste: „Govern“.

Die sechs CSF-Funktionen sind:

1. Govern: Festlegung und Überwachung Ihrer Strategie, Richtlinien und Rollen für das Cybersicherheits-Risikomanagement
2. Identify: Erfassen Sie Ihre Ressourcen, Lieferanten und Cybersicherheitsrisiken (hier fließt die Hardware-Bestandsverwaltung direkt in das CSF ein)
3. „Protect“: Implementieren Sie Sicherheitsmaßnahmen, darunter Zugriffskontrollen, Konfigurationsmanagement und die Absicherung von Endgeräten
4. Detect: Überwachen Sie kontinuierlich auf Anomalien und Vorfälle
5. Reagieren: Führen Sie Ihren Plan zur Reaktion auf Vorfälle durch
6. Wiederherstellung: Stellen Sie betroffene Systeme wieder her und nehmen Sie auf der Grundlage der gewonnenen Erkenntnisse Verbesserungen vor

Das CSF ist ergebnisorientiert konzipiert. Es gibt vor, was erreicht werden soll, nicht jedoch, wie genau dies zu erreichen ist. Diese Flexibilität ist für kleinere Teams von Vorteil, bedeutet aber auch, dass Sie die Funktionen in konkrete technische Kontrollmaßnahmen umsetzen müssen.

NIST-Risikomanagement-Rahmenwerk (RMF)

Das NIST-Risikomanagement-Framework ist ein strukturierter, siebenstufiger Prozess, der ursprünglich für Informationssysteme der US-Bundesbehörden konzipiert wurde. Es ist für US-Bundesbehörden und deren Auftragnehmer gemäß FISMA verbindlich.

Die sieben RMF-Schritte sind:

1. Vorbereitung
2. Kategorisierung des Informationssystems
3. Auswahl von Sicherheitsmaßnahmen
4. Maßnahmen umsetzen
5. Kontrollen bewerten
6. Das System autorisieren
7. Kontinuierlich überwachen

RMF ist präskriptiver als CSF. Wenn Sie ein SaaS-Unternehmen sind, das an die US-Bundesregierung verkauft oder eine FedRAMP-Zulassung anstrebt, ist RMF Ihr primäres Betriebsrahmenwerk.

NIST SP 800-53

Die NIST Special Publication 800-53 ist der Kontrollkatalog, der dem RMF zugrunde liegt. Revision 5 enthält über 1.000 Kontrollmaßnahmen und Kontrollverbesserungen, die in 20 Familien gegliedert sind, darunter Zugriffskontrolle (AC), Konfigurationsmanagement (CM), Reaktion auf Vorfälle (IR) sowie System- und Kommunikationsschutz (SC).

SP 800-53 bildet zudem das technische Rückgrat von FedRAMP. Wenn Sicherheitsexperten von „NIST-Kontrollen“ sprechen, meinen sie in der Regel die Kontrollen aus SP 800-53.

Für die praktische IT-Arbeit sind die SP 800-53-Kontrollen CM-6 (Konfigurationseinstellungen) und CM-7 (Mindestfunktionalität) direkt für das Endpunktmanagement relevant, da sie dokumentierte Baselines und Einschränkungen für unnötige Software und Dienste vorschreiben. Hier kommt Ihr Leitfaden zur Endpunktabsicherung ins Spiel.

NIST SP 800-171

NIST SP 800-171 ist eine vereinfachte Version der SP 800-53-Kontrollen, die speziell auf den Schutz von „Controlled Unclassified Information“ (CUI) in nicht-föderalen Systemen ausgerichtet ist. Sie dient als Compliance-Grundlage für Auftragnehmer des Verteidigungsministeriums und ist direkt mit dem CMMC-Programm (Cybersecurity Maturity Model Certification) verknüpft.

Wenn Ihre Organisation mit CUI umgeht, ist SP 800-171 nicht optional, und für eine CMMC-Zertifizierung der Stufe 2 oder 3 ist eine unabhängige Bewertung anhand dieser Norm erforderlich.

Wie die NIST-Rahmenwerke zueinander in Beziehung stehen

Stellen Sie sich diese Rahmenwerke als Schichten vor:

• Das CSF bietet Ihnen ein strategisches, ergebnisorientiertes Vokabular für das Cybersicherheits-Risikomanagement
• RMF bietet Ihnen einen Prozess zur Autorisierung und kontinuierlichen Überwachung spezifischer Systeme
• SP 800-53 bietet Ihnen die spezifischen Kontrollmaßnahmen, die im Rahmen des RMF-Prozesses umgesetzt werden müssen
• SP 800-171 bietet Ihnen eine auf CUI-Umgebungen zugeschnittene Teilmenge der SP 800-53-Kontrollmaßnahmen

Für die meisten IT-Teams im privaten Sektor ist das CSF der Einstiegspunkt. Organisationen, die sich um Bundesaufträge oder eine FedRAMP-Zulassung bemühen, wechseln zu RMF und SP 800-53. Unternehmen in der Lieferkette des Verteidigungssektors arbeiten nach SP 800-171.

NIST CSF und gängige Compliance-Rahmenwerke

Ein praktischer Vorteil der Ausrichtung am NIST CSF besteht darin, dass sich dessen Kontrollmaßnahmen gut auf die Rahmenwerke abbilden lassen, anhand derer Auditoren tatsächlich prüfen. Das NIST veröffentlicht Zuordnungsdokumente, die zeigen, wie sich die CSF-Unterkategorien auf folgende Rahmenwerke beziehen:

• SOC 2 Trust Services Criteria (siehe unseren Leitfaden zur SOC-2-Konformität)
• ISO/IEC 27001
• HIPAA-Sicherheitsvorschrift
• PCI DSS
• CIS Controls v8

Das bedeutet: Wenn Sie Ihr Sicherheitsprogramm auf der Grundlage des CSF aufbauen, müssen Sie nicht bei jedem Audit von vorne beginnen. Sie erfassen die Nachweise einmalig und ordnen sie mehreren Rahmenwerken zu – das ist das Kernprinzip der Compliance-Automatisierung.

NIST und Endpunktsicherheit

Endgeräte werden in den NIST-Rahmenwerken ausdrücklich behandelt. Die „Protect“-Funktion des CSF fordert Konfigurationsmanagement und den Zugriff nach dem Prinzip der geringsten Berechtigungen. SP 800-53 CM-6 verlangt dokumentierte Konfigurations-Baselines für alle Geräte. SP 800-171 enthält entsprechende Anforderungen in der Kategorie „System- und Kommunikationsschutz“.

In der Praxis bedeuten diese Anforderungen:

• Durchsetzung der CIS-Benchmark-Konfigurationen auf allen verwalteten Geräten
• Führen eines aktuellen Bestandsverzeichnisses aller Hardware (vorgeschrieben sowohl durch „Identify“ des CSF als auch durch SP 800-53 CM-8)
• Beschränkung der Softwareinstallation auf genehmigte Anwendungen
• Implementierung einer kontinuierlichen Überwachung auf Konfigurationsabweichungen
• Systematisches Management von Schwachstellen, einschließlich CVE-Priorisierung und Behebungsprozessen

Wenn Ihr Gerätebestand nicht verwaltete private Geräte umfasst, weist Ihre CSF Identify- und Protect-Abdeckung sichtbare Lücken auf. Die NIST-Leitlinien zu diesem Punkt stehen im Einklang mit der Notwendigkeit einer strukturierten BYOD-Geräteverwaltungsrichtlinie, die definiert, welche Kontrollmaßnahmen gelten und wie Sie diese überprüfen.

Wie Iru die Anpassung an das NIST-Framework angeht

Die Erfüllung der NIST-Anforderungen ist keine reine Dokumentationsaufgabe. Die Kontrollmaßnahmen erfordern eine tatsächliche Durchsetzung auf Geräteebene, und genau hier kommt es auf die Wahl der richtigen Tools an.

Iru Endpoint erfüllt die Anforderungen auf Geräteebene, die CSF und SP 800-53 vorgeben. Für MacOS-, iOS-, iPadOS- und tvOS-Geräteflotten setzt es aus den CIS-Benchmarks abgeleitete Konfigurations-Baselines durch, führt ein Hardware-Inventar in Echtzeit für die „CSF Identify“-Abdeckung, schränkt die Softwareinstallation ein und deckt Konfigurationsabweichungen auf, bevor ein Prüfer sie entdeckt. Diese Funktionen lassen sich direkt den SP 800-53-Kontrollfamilien CM, AC und SI zuordnen, ohne dass manuelle Korrelationsarbeiten durch Ihr Team erforderlich sind.

Iru Compliance übernimmt die von Iru Endpoint generierten Kontrollnachweise und ordnet sie den Rahmenwerken zu, anhand derer Ihre Prüfer Tests durchführen, darunter SOC 2, ISO 27001 und HIPAA. Wenn in einem Sicherheitsfragebogen für Kunden gefragt wird, ob Sie NIST CSF befolgen, stammt die Antwort aus den Daten der kontinuierlichen Überwachung – und nicht aus einer Tabelle, die in der Woche vor einer Überprüfung aktualisiert wurde.

Speziell für IT-Teams, die Apple-Geräteflotten verwalten, bedeutet der Ansatz von Iru, dass NIST-relevante Konfigurationen bereits bei der Registrierung durchgesetzt werden und nicht erst nachträglich angepasst werden müssen, nachdem eine Lückenanalyse das Problem aufgedeckt hat.

Die Wahl des richtigen NIST-Rahmenwerks für Ihr Unternehmen

Die meisten Organisationen müssen nicht alle NIST-Rahmenwerke gleichzeitig implementieren. Nutzen Sie dies als Entscheidungshilfe:

• Sie sind ein Unternehmen der Privatwirtschaft, das ein Sicherheitsprogramm aufbaut: Beginnen Sie mit NIST CSF 2.0. Seine sechs Funktionen bieten Ihnen eine gemeinsame Sprache für die Berichterstattung an die Geschäftsleitung und eine Struktur, die sich auf die meisten Audit-Rahmenwerke abbilden lässt.
• Sie liefern an die US-Bundesregierung oder streben die FedRAMP-Zertifizierung an: Orientieren Sie sich am RMF und an SP 800-53 Rev. 5. Beziehen Sie frühzeitig eine 3PAO mit ein.
• Sie sind Auftragnehmer oder Subunternehmer des Verteidigungsministeriums (DoD) und gehen mit CUI um: Richten Sie sich nach SP 800-171 Rev. 3 aus und bereiten Sie sich auf die CMMC-Bewertung vor.
• Sie müssen mehrere Rahmenwerke erfüllen (SOC 2, ISO 27001, HIPAA): Nutzen Sie das CSF als einheitliche Struktur und setzen Sie Zuordnungsübersichten ein, um doppelte Nachweiserhebungen zu vermeiden.

Die Rahmenwerke schließen sich nicht gegenseitig aus. Viele Organisationen nutzen das CSF als Organisationsschicht und SP 800-53 als Katalog technischer Kontrollmaßnahmen, unabhängig davon, ob sie im Bundeskontext tätig sind.

Wenn Ihr Team bereit ist, vom Verständnis der Rahmenwerke zur aktiven Umsetzung in Ihrer gesamten Geräteflotte überzugehen, vereinbaren Sie eine Demo, um zu sehen, wie Iru Endpunktkontrollen in der Praxis den NIST-Anforderungen zuordnet.