Die NIST-Rahmenwerke sind eine Sammlung freiwilliger Leitlinien, Standards und bewährter Verfahren, die vom National Institute of Standards and Technology veröffentlicht wurden, um Organisationen dabei zu unterstützen, Cybersicherheitsrisiken zu bewältigen, sensible Daten zu schützen und Compliance-Anforderungen zu erfüllen. Wenn Sie Ihre Sicherheitslage bewerten oder sich auf ein SOC-2- oder ISO-27001-Audit vorbereiten, ist die Entscheidung, welches NIST-Rahmenwerk auf Ihre Situation zutrifft, der erste Schritt, den Sie unternehmen müssen.
NIST-Rahmenwerke sind nicht nur bürokratische Checklisten. Auftragnehmer der US-Bundesregierung sind gemäß FISMA gesetzlich verpflichtet, sich an sie anzupassen, und Organisationen aus der Privatwirtschaft nutzen sie zunehmend als Grundlage, um Kunden, Prüfern und Cyberversicherern ihre Sicherheitsreife nachzuweisen.
Drei Faktoren machen NIST-Rahmenwerke heute für die meisten IT-Teams in mittelständischen und großen Unternehmen relevant:
Das Verständnis der Rahmenwerke hilft Ihnen zudem, bei Audits glaubwürdig zu argumentieren. Auditoren erwarten strukturiertes Risikodenken und keine improvisierten Antworten.
Das NIST hat Dutzende von Dokumenten veröffentlicht, doch vier Rahmenwerke machen den Großteil der praktischen Anwendung in IT- und Sicherheitsprogrammen aus.
Das NIST-Cybersicherheits-Rahmenwerk ist die am weitesten verbreitete NIST-Veröffentlichung außerhalb der US-Bundesregierung. Version 2.0, die im Februar 2024 veröffentlicht wurde, erweiterte die ursprünglichen fünf Funktionen um eine sechste: „Govern“.
Die sechs CSF-Funktionen sind:
Das CSF ist ergebnisorientiert konzipiert. Es gibt vor, was erreicht werden soll, nicht jedoch, wie genau dies zu erreichen ist. Diese Flexibilität ist für kleinere Teams von Vorteil, bedeutet aber auch, dass Sie die Funktionen in konkrete technische Kontrollmaßnahmen umsetzen müssen.
Das NIST-Risikomanagement-Framework ist ein strukturierter, siebenstufiger Prozess, der ursprünglich für Informationssysteme der US-Bundesbehörden konzipiert wurde. Es ist für US-Bundesbehörden und deren Auftragnehmer gemäß FISMA verbindlich.
Die sieben RMF-Schritte sind:
RMF ist präskriptiver als CSF. Wenn Sie ein SaaS-Unternehmen sind, das an die US-Bundesregierung verkauft oder eine FedRAMP-Zulassung anstrebt, ist RMF Ihr primäres Betriebsrahmenwerk.
Die NIST Special Publication 800-53 ist der Kontrollkatalog, der dem RMF zugrunde liegt. Revision 5 enthält über 1.000 Kontrollmaßnahmen und Kontrollverbesserungen, die in 20 Familien gegliedert sind, darunter Zugriffskontrolle (AC), Konfigurationsmanagement (CM), Reaktion auf Vorfälle (IR) sowie System- und Kommunikationsschutz (SC).
SP 800-53 bildet zudem das technische Rückgrat von FedRAMP. Wenn Sicherheitsexperten von „NIST-Kontrollen“ sprechen, meinen sie in der Regel die Kontrollen aus SP 800-53.
Für die praktische IT-Arbeit sind die SP 800-53-Kontrollen CM-6 (Konfigurationseinstellungen) und CM-7 (Mindestfunktionalität) direkt für das Endpunktmanagement relevant, da sie dokumentierte Baselines und Einschränkungen für unnötige Software und Dienste vorschreiben. Hier kommt Ihr Leitfaden zur Endpunktabsicherung ins Spiel.
NIST SP 800-171 ist eine vereinfachte Version der SP 800-53-Kontrollen, die speziell auf den Schutz von „Controlled Unclassified Information“ (CUI) in nicht-föderalen Systemen ausgerichtet ist. Sie dient als Compliance-Grundlage für Auftragnehmer des Verteidigungsministeriums und ist direkt mit dem CMMC-Programm (Cybersecurity Maturity Model Certification) verknüpft.
Wenn Ihre Organisation mit CUI umgeht, ist SP 800-171 nicht optional, und für eine CMMC-Zertifizierung der Stufe 2 oder 3 ist eine unabhängige Bewertung anhand dieser Norm erforderlich.
Stellen Sie sich diese Rahmenwerke als Schichten vor:
Für die meisten IT-Teams im privaten Sektor ist das CSF der Einstiegspunkt. Organisationen, die sich um Bundesaufträge oder eine FedRAMP-Zulassung bemühen, wechseln zu RMF und SP 800-53. Unternehmen in der Lieferkette des Verteidigungssektors arbeiten nach SP 800-171.
Ein praktischer Vorteil der Ausrichtung am NIST CSF besteht darin, dass sich dessen Kontrollmaßnahmen gut auf die Rahmenwerke abbilden lassen, anhand derer Auditoren tatsächlich prüfen. Das NIST veröffentlicht Zuordnungsdokumente, die zeigen, wie sich die CSF-Unterkategorien auf folgende Rahmenwerke beziehen:
Das bedeutet: Wenn Sie Ihr Sicherheitsprogramm auf der Grundlage des CSF aufbauen, müssen Sie nicht bei jedem Audit von vorne beginnen. Sie erfassen die Nachweise einmalig und ordnen sie mehreren Rahmenwerken zu – das ist das Kernprinzip der Compliance-Automatisierung.
Endgeräte werden in den NIST-Rahmenwerken ausdrücklich behandelt. Die „Protect“-Funktion des CSF fordert Konfigurationsmanagement und den Zugriff nach dem Prinzip der geringsten Berechtigungen. SP 800-53 CM-6 verlangt dokumentierte Konfigurations-Baselines für alle Geräte. SP 800-171 enthält entsprechende Anforderungen in der Kategorie „System- und Kommunikationsschutz“.
In der Praxis bedeuten diese Anforderungen:
Wenn Ihr Gerätebestand nicht verwaltete private Geräte umfasst, weist Ihre CSF Identify- und Protect-Abdeckung sichtbare Lücken auf. Die NIST-Leitlinien zu diesem Punkt stehen im Einklang mit der Notwendigkeit einer strukturierten BYOD-Geräteverwaltungsrichtlinie, die definiert, welche Kontrollmaßnahmen gelten und wie Sie diese überprüfen.
Die Erfüllung der NIST-Anforderungen ist keine reine Dokumentationsaufgabe. Die Kontrollmaßnahmen erfordern eine tatsächliche Durchsetzung auf Geräteebene, und genau hier kommt es auf die Wahl der richtigen Tools an.
Iru Endpoint erfüllt die Anforderungen auf Geräteebene, die CSF und SP 800-53 vorgeben. Für MacOS-, iOS-, iPadOS- und tvOS-Geräteflotten setzt es aus den CIS-Benchmarks abgeleitete Konfigurations-Baselines durch, führt ein Hardware-Inventar in Echtzeit für die „CSF Identify“-Abdeckung, schränkt die Softwareinstallation ein und deckt Konfigurationsabweichungen auf, bevor ein Prüfer sie entdeckt. Diese Funktionen lassen sich direkt den SP 800-53-Kontrollfamilien CM, AC und SI zuordnen, ohne dass manuelle Korrelationsarbeiten durch Ihr Team erforderlich sind.
Iru Compliance übernimmt die von Iru Endpoint generierten Kontrollnachweise und ordnet sie den Rahmenwerken zu, anhand derer Ihre Prüfer Tests durchführen, darunter SOC 2, ISO 27001 und HIPAA. Wenn in einem Sicherheitsfragebogen für Kunden gefragt wird, ob Sie NIST CSF befolgen, stammt die Antwort aus den Daten der kontinuierlichen Überwachung – und nicht aus einer Tabelle, die in der Woche vor einer Überprüfung aktualisiert wurde.
Speziell für IT-Teams, die Apple-Geräteflotten verwalten, bedeutet der Ansatz von Iru, dass NIST-relevante Konfigurationen bereits bei der Registrierung durchgesetzt werden und nicht erst nachträglich angepasst werden müssen, nachdem eine Lückenanalyse das Problem aufgedeckt hat.
Die meisten Organisationen müssen nicht alle NIST-Rahmenwerke gleichzeitig implementieren. Nutzen Sie dies als Entscheidungshilfe:
Die Rahmenwerke schließen sich nicht gegenseitig aus. Viele Organisationen nutzen das CSF als Organisationsschicht und SP 800-53 als Katalog technischer Kontrollmaßnahmen, unabhängig davon, ob sie im Bundeskontext tätig sind.
Wenn Ihr Team bereit ist, vom Verständnis der Rahmenwerke zur aktiven Umsetzung in Ihrer gesamten Geräteflotte überzugehen, vereinbaren Sie eine Demo, um zu sehen, wie Iru Endpunktkontrollen in der Praxis den NIST-Anforderungen zuordnet.